Non condividere mai il codice di verifica: come funzionano le truffe OTP

Non condividere mai il tuo codice di verifica: questa sola frase è la difesa più importante contro le truffe OTP (one-time password, password monouso). Un codice a sei cifre che arriva via SMS è la chiave per accedere a un account o approvare una transazione. Per questo i truffatori non si preoccupano di decifrare la tua password; cercano di convincerti a leggere loro il codice. In questo articolo spieghiamo come funzionano le truffe OTP e come proteggersi.

Cos'è un OTP e perché è così prezioso?

Un OTP, o password monouso, è un codice a validità breve inviato durante un accesso o una transazione per confermare che l'account appartiene davvero a te. Ti arriva via SMS, email o notifica di un'app.

Il codice è prezioso perché è il secondo passaggio: anche chi conosce la tua password non può entrare senza di esso. Ma se il codice viene detto a qualcun altro, quella protezione scompare. Per questo nessuna organizzazione seria, nessun dipendente e nessun amico ti chiederà di leggere un codice al telefono, in un messaggio o con qualunque altro canale.

La regola d'oro: un codice arriva solo per un'azione che hai avviato tu stesso, e si inserisce solo nella schermata dell'app o del sito interessato. Non va mai comunicato a nessuno, in nessun altro posto.

Come funziona una truffa OTP?

Il truffatore prova ad accedere a un account o ad avviare una transazione, e in quel momento il servizio invia un codice al tuo numero. Poi cerca di convincerti a dirgli quel codice. Per farlo, ti costruisce un "motivo". Gli schemi più comuni includono:

• Una falsa chiamata di banca o ente: "Ci sono attività sospette sul tuo conto; leggi il codice arrivato sul tuo telefono per verificare."
• Un acquirente di un annuncio di usato: "Ho inviato il pagamento; inoltrami il codice che hai ricevuto per confermare."
• Un messaggio che finge di essere qualcuno che conosci: "Ho digitato il tuo numero per sbaglio, mi potresti mandare il codice che hai ricevuto?"
• Un corriere o un addetto alle consegne: "Dimmi il codice per la consegna."
• Falso supporto tecnico: "Condividi il codice così recuperiamo il tuo account."
• Un omaggio o un premio: "Dobbiamo verificare la tua identità per il tuo regalo."

Tutti arrivano allo stesso punto: il codice sostituisce la tua approvazione. Leggendolo, autorizzi di fatto l'azione del truffatore con le tue mani.

Segnali d'allarme: come riconoscere il truffatore

1. Urgenza e pressione: "Dimmelo ora, o il tuo account verrà chiuso / i tuoi soldi spariranno."
2. Un codice che non ti aspettavi: se un codice arriva senza alcuna tua azione, qualcuno potrebbe cercare di entrare nel tuo account. Non condividerlo con nessuno.
3. Chiunque ti chieda di leggere un codice: qualunque sia il motivo, chi chiede un codice è falso.
4. Sembrare conoscere i dettagli dell'organizzazione: un truffatore può conoscere il tuo nome, la tua banca o la tua ultima transazione; questo non dimostra che sia autentico.
5. Non farti riattaccare: tenerti al telefono o dirti "non consultare nessuno" è un avviso serio.
6. Creare un clima di fiducia: un tono amichevole o molto professionale non è una prova di onestà.

I codici nei messaggi di solito riportano l'avviso "Non condividere questo codice con nessuno". Prendilo sul serio.

Cosa fare se hai condiviso il codice?

Agisci in fretta, senza farti prendere dal panico:

1. Interrompi subito la conversazione e smetti di parlare con l'altra persona.
2. Da un dispositivo sicuro, cambia la password dell'account interessato e disconnetti tutte le sessioni.
3. Controlla le impostazioni della verifica in due passaggi e i dati di recupero (email, telefono) e rimuovi i dispositivi che non riconosci.
4. Se hai condiviso un codice bancario o di pagamento, chiama subito la banca e fai mettere sotto protezione la carta o il conto.
5. Se avevi riutilizzato la password altrove, cambiala anche lì.
6. Segnala l'accaduto al servizio, alla banca e alle autorità competenti, e conserva lo storico di messaggi e chiamate.

Non vergognarti: questi metodi sono costruiti per essere molto convincenti e anche gli utenti attenti possono cascarci. Ciò che conta è segnalare in fretta.

Abitudini protettive

• Fissa la regola nella mente: "Codice = non dirlo a nessuno." Parlane anche con la famiglia.
• Non fidarti delle chiamate che non hai avviato tu. Anche se chi chiama dice di appartenere a un'organizzazione, riattacca e chiama tu stesso il numero ufficiale.
• Verifica per quale azione serve il codice. Il messaggio di solito indica il servizio; se non hai avviato nulla con esso, non inserire il codice.
• Usa un metodo più forte dell'SMS. Le app di autenticazione e le passkey riducono il rischio di leggere un codice. Per un confronto, consulta il nostro articolo sulla verifica in due passaggi.
• Tieni attive le notifiche dell'account. Reagisci subito quando arriva un avviso di accesso da un nuovo dispositivo.
• Nascondi l'anteprima dei messaggi sulla schermata di blocco. Un codice visibile a schermo bloccato è un rischio se qualcuno è nelle vicinanze.

L'altro lato: limitare i luoghi in cui i tuoi codici possono essere raggiunti

Un altro modo per proteggersi dalle truffe sui codici è limitare i luoghi che contengono il tuo numero. Quando dai il tuo numero reale a ogni sito, aumenta la probabilità che il sito e i suoi partner ti raggiungano con chiamate e messaggi, e con essa la probabilità di ricevere messaggi truffa. Ne abbiamo parlato in perché non dovresti condividere il tuo numero di telefono ovunque.

Per registrazioni banali o temporanee, puoi usare un numero virtuale monouso al posto del tuo. Il codice arriva solo nel tuo pannello e non c'è nessuno a cui tu debba mai comunicarlo. Puoi vedere le opzioni nella pagina dei prezzi. I numeri virtuali non sono permanenti e alcune piattaforme potrebbero limitarli, quindi sui tuoi account importanti usa il tuo numero e metodi di verifica forti.

Quando un codice non arriva, mantieni la calma e non chiederlo a nessun altro; per le possibili cause, leggi perché il tuo codice SMS non arriva.

Errori comuni

Alcune abitudini rendono più facile il lavoro dei truffatori:

• Digitare o leggere il codice senza pensare, dicendo "sistemo tutto in fretta".
• Approvare senza leggere per quale azione serve il codice.
• Chiamare il numero indicato nel messaggio o dal chiamante per "verificare".
• Segnalare in ritardo per vergogna; le segnalazioni tempestive spesso riducono il danno.
• Non parlarne mai con i familiari.

Quando arriva una richiesta di codice, fermarsi un minuto e chiedersi "l'ho avviato io?" basta per bloccare la maggior parte degli attacchi.

Domande frequenti

La mia banca potrebbe chiedermi di leggere un codice al telefono?

No. Un vero dipendente della banca non ti chiederà mai un OTP, una password o un codice di verifica della carta. Se arriva una richiesta del genere, riattacca e chiama tu stesso il numero ufficiale della banca.

Un codice è arrivato anche se non ho fatto nulla. Cosa devo fare?

Non condividere né inserire il codice con nessuno. Qualcuno potrebbe cercare di entrare nel tuo account; cambia la password e controlla la verifica in due passaggi.

Posso condividere il codice se un conoscente me lo chiede?

No, perché la persona che ti scrive potrebbe aver preso il controllo dell'account del tuo conoscente e usare il tuo codice per un'altra azione. Contatta quella persona con un altro canale, ad esempio una telefonata, per confermare, e comunque non leggere il codice.

Ho letto un codice per sbaglio ma non è successo nulla all'account. Posso stare tranquillo?

No; prendi comunque delle precauzioni. Cambia la password, disconnetti le sessioni e controlla eventuali avvisi. Per maggiori informazioni, consulta la nostra pagina delle domande frequenti.