Finti addebiti Nexi via SMS: come funziona la truffa e cosa fare

La truffa dei falsi messaggi di pagamento Nexi parte da un SMS che segnala un addebito consistente o un’operazione ancora in attesa. Per bloccare il presunto pagamento, il destinatario viene invitato a chiamare un numero oppure ad aprire un collegamento.

L’obiettivo è creare ansia e spingere la vittima ad agire senza controllare. Dietro il messaggio non c’è Nexi, ma un tentativo di sottrarre credenziali, codici di sicurezza e denaro.

Focus sui finti messaggi Nexi

Truffa dei falsi messaggi di pagamento Nexi: come inizia

Il messaggio fraudolento comunica generalmente una richiesta di pagamento di diverse centinaia o migliaia di euro.

L’operazione può essere descritta come pendente, sospetta oppure in fase di autorizzazione. Il testo aggiunge poi un numero telefonico da contattare immediatamente per bloccarla.

In altre versioni è presente un link che dovrebbe permettere di verificare il movimento o mettere in sicurezza la carta.

La comunicazione viene costruita per sembrare urgente. Chi la riceve teme che il denaro possa essere prelevato nel giro di pochi minuti e tende quindi a seguire le istruzioni senza effettuare ulteriori controlli.

Perché il falso addebito provoca una reazione immediata

La truffa sfrutta soprattutto la paura di perdere denaro.

Leggere sul telefono che una spesa elevata sta per essere addebitata genera uno stato di allarme. La vittima può pensare che ogni minuto di attesa renda più difficile bloccare l’operazione.

Il messaggio offre subito una soluzione apparente: chiamare l’assistenza indicata oppure accedere a una pagina per annullare il pagamento.

In realtà, sia il numero sia il sito appartengono ai truffatori. L’urgenza serve proprio a impedire all’utente di aprire l’app ufficiale, controllare i movimenti o contattare autonomamente il servizio clienti.

La truffa telefonica con il falso operatore

La prima modalità è chiamata vishing, cioè phishing realizzato attraverso una telefonata.

La vittima compone il numero presente nell’SMS e viene messa in contatto con una persona che si presenta come operatore dell’assistenza Nexi o dell’istituto bancario.

Il falso addetto può conoscere alcune informazioni generiche e utilizzare un linguaggio professionale. Spiega che la carta è sotto attacco e che, per bloccare la transazione, è necessario effettuare una verifica di sicurezza.

Durante la conversazione può chiedere:

• dati anagrafici;
• numero della carta;
• credenziali di accesso;
• password;
• PIN;
• codici OTP ricevuti via SMS;
• e codici di conferma dell’app;
• chiavi di associazione del dispositivo.

Questi codici non servono a bloccare il pagamento. Possono invece consentire ai truffatori di accedere al conto, collegare un nuovo dispositivo oppure autorizzare operazioni.

Il falso sito raggiunto attraverso il link

La seconda modalità utilizza un collegamento inserito direttamente nel messaggio.

Il link apre un sito contraffatto che riproduce colori, logo e impostazione grafica del portale autentico. A prima vista, quindi, la pagina può apparire credibile.

All’utente viene chiesto di compilare un modulo per verificare la propria identità o annullare la presunta transazione.

I dati inseriti non vengono inviati a Nexi. Finiscono direttamente nelle mani dei responsabili della frode.

Il modulo può richiedere numero di carta, data di scadenza, codice di sicurezza, credenziali personali e password temporanee. In alcuni casi il sito accompagna la vittima attraverso più schermate, simulando una vera procedura antifrode.

Perché il messaggio può comparire nella conversazione ufficiale

Uno degli aspetti più insidiosi riguarda il nome del mittente.

Attraverso una tecnica conosciuta come spoofing, i truffatori possono falsificare l’identità visualizzata dal telefono. Il messaggio può quindi apparire con il nome Nexi o Nexi Alert.

In alcuni smartphone, l’SMS fraudolento può essere inserito nella stessa conversazione che contiene precedenti comunicazioni autentiche.

La posizione del messaggio non dimostra però che sia stato realmente inviato dall’azienda. Il nome mostrato sul display può essere manipolato e non deve essere considerato una garanzia sufficiente.

Per valutare il contenuto bisogna osservare soprattutto ciò che viene richiesto.

I segnali che devono far sospettare una truffa

Il primo segnale è la richiesta di intervenire immediatamente attraverso un numero o un link fornito nell’SMS.

Bisogna diffidare anche quando il messaggio:

• annuncia un pagamento che non si riconosce;
• minaccia il blocco del conto o della carta;
• impone una scadenza di pochi minuti;
• chiede di comunicare un codice OTP;
• invita a installare applicazioni;
• richiede una password o un PIN;
• rimanda a un sito diverso da quello ufficiale;
• impedisce di chiudere la chiamata per effettuare controlli.

Gli SMS più recenti possono essere scritti in un italiano corretto e utilizzare un registro formale. L’assenza di errori grammaticali non basta quindi a dimostrare l’autenticità.

Cosa Nexi non chiede attraverso SMS o telefonate

I codici personali devono rimanere segreti.

PIN, password, Key6 e codici OTP non devono essere comunicati a una persona che telefona sostenendo di dover bloccare una transazione.

Non devono neppure essere inseriti in pagine raggiunte attraverso collegamenti ricevuti in messaggi sospetti.

Un codice OTP autorizza generalmente un’operazione oppure conferma un accesso. Chi riesce a ottenerlo può utilizzarlo per completare una procedura già avviata ai danni della vittima.

La richiesta di leggere un codice al telefono deve quindi essere considerata un segnale di pericolo.

Cosa fare quando arriva un falso SMS Nexi

La prima regola è non utilizzare gli strumenti contenuti nel messaggio.

Bisogna quindi:

1. non chiamare il numero indicato;
2. mai rispondere all’SMS;
3. non aprire eventuali collegamenti;
4. mai scaricare file o applicazioni;
5. non comunicare codici o password;
6. controllare i movimenti attraverso l’app Nexi Pay o l’Area Personale;
7. contattare l’assistenza utilizzando soltanto recapiti recuperati dai canali ufficiali.

Se il movimento segnalato non compare nell’app o nell’estratto conto, l’avviso ricevuto può essere cancellato dopo aver effettuato la segnalazione.

Come proteggersi subito

Come verificare se il pagamento esiste davvero

La verifica deve partire da un canale aperto autonomamente dall’utente.

È possibile entrare direttamente nell’app Nexi Pay, senza utilizzare il collegamento presente nell’SMS, e controllare l’elenco delle spese.

In alternativa si può digitare personalmente l’indirizzo del sito ufficiale nel browser oppure utilizzare il numero riportato sul retro della carta.

Non bisogna richiamare il recapito dal quale è arrivato il messaggio. Anche una telefonata ricevuta subito dopo l’SMS potrebbe far parte dello stesso tentativo di frode.

Chi chiama può conoscere l’importo indicato nel testo e utilizzare questa informazione per rendere la conversazione più convincente.

Cosa fare se sono già stati inseriti i dati

Se il link è stato aperto ma non è stato inserito alcun dato, bisogna chiudere la pagina senza proseguire.

Se invece sono state comunicate informazioni personali, credenziali o codici di sicurezza, occorre intervenire rapidamente.

La carta può essere sospesa temporaneamente attraverso l’app Nexi Pay o l’Area Personale. È inoltre possibile contattare il Servizio Blocchi al numero 800 15 16 16.

Bisogna controllare le operazioni recenti e segnalare immediatamente eventuali movimenti non riconosciuti.

È consigliabile anche cambiare le password compromesse, soprattutto quando la stessa combinazione viene utilizzata per altri servizi.

Cosa fare dopo aver comunicato un codice OTP

La condivisione di un codice OTP indica che una procedura potrebbe essere già stata autorizzata.

In questo caso non bisogna attendere la comparsa del movimento sull’estratto conto. È necessario bloccare o sospendere subito la carta e contattare l’assistenza ufficiale.

Occorre spiegare quali dati sono stati comunicati, a quale numero e in quale momento.

Più precise sono le informazioni fornite, più semplice sarà individuare le operazioni sospette e mettere in sicurezza gli strumenti di pagamento.

Anche se la persona al telefono sostiene che il codice serva per annullare un addebito, non deve mai essere condiviso.

Come segnalare il falso messaggio

Le comunicazioni sospette possono essere inoltrate all’indirizzo:

segnalazioni.phishing@nexigroup.com

Nella segnalazione è utile inserire:

• il testo completo dell’SMS;
• il nome visualizzato come mittente;
• il numero telefonico indicato;
• l’indirizzo del collegamento, senza aprirlo;
• la data e l’ora di ricezione;
• uno screenshot del messaggio.

Non bisogna invece allegare fotografie della carta, credenziali, codici OTP o altri dati riservati.

La segnalazione permette di analizzare la campagna e individuare numeri, siti e modalità utilizzati dai truffatori.

Perché non bisogna fidarsi del solo nome Nexi

Il marchio presente nel messaggio può essere copiato facilmente.

Anche logo, colori e formule utilizzate dal servizio clienti possono essere riprodotti in pochi minuti. Inoltre, i testi possono essere scritti senza errori evidenti.

La sicurezza non dipende quindi dall’aspetto del messaggio, ma dal comportamento richiesto.

Un contenuto che spinge a comunicare codici, aprire pagine esterne o chiamare numeri sconosciuti deve essere trattato con estrema prudenza, anche quando sembra provenire da una conversazione già presente sul telefono.

FAQ – Quando un messaggio Nexi è una truffa