SMS «pagamento non autorizzato»: truffa

Redazione: Andrew Pickett · Pubblicato il 24/10/2026 · Linee guida editoriali

Arriva un SMS firmato Nexi o con il nome della tua banca: un pagamento è «in attesa di autorizzazione» e per fermarlo devi chiamare un numero. A volte è una voce registrata a dirtelo. È uno schema di smishing (SMS) e vishing (telefonata). Qui trovi come funziona, cosa banche e Nexi non chiedono mai, cosa fare se hai già risposto e come segnalare.

Come funziona, passo per passo

1. L'esca. Secondo Nexi un SMS finto segnala una frode in corso e invita a chiamare un numero che non si trova sul sito Nexi. Oppure una chiamata automatica chiede di premere un tasto per essere ricontattati dal «Servizio Clienti».
2. Il falso operatore. La guida «Truffe online» della Polizia di Stato descrive un truffatore che conosce ogni dettaglio del tuo conto e dei tuoi dati, perché è già nell'home banking della vittima.
3. La richiesta. Chiede aiuto per completare l'operazione: il codice di sicurezza della carta (CVV2), le password temporanee (OTP) via SMS o di confermare con l'impronta digitale. Con quei codici vengono autorizzati trasferimenti, a volte di decine di migliaia di euro.
4. La copertura. A volte la vittima è invitata a rimuovere l'app della banca «per un aggiornamento» e a reinstallarla dopo 24 ore: nel frattempo non vede movimenti né notifiche.

La variante con l'app (NFCGate)

Nexi descrive questa versione così: il falso operatore convince a scaricare un'app malevola, non presente negli store ufficiali, e chiede di cambiare il PIN scrivendo quello vecchio nell'app. Poi, con la scusa di trascrivere il nuovo PIN sulla carta, chiede di avvicinare la carta fisica allo smartphone. Così il truffatore può fare un pagamento a tua insaputa. Nexi collega questa frode al malware NFCGate.

La Banca d'Italia spiega perché funziona: se qualcuno ti convince a pagare, l'autenticazione forte non aiuta, perché sei tu a superare i controlli.

Cosa non ti chiederanno mai

• Nexi: non chiede dati della carta, PIN o codici di accesso per telefono, mail o SMS, e non ti chiama per farti confermare un pagamento con l'OTP. Se la telefonata è così, va interrotta.
• Le banche: secondo il vademecum di ABI e Polizia non chiedono mai credenziali di accesso e codici delle carte, né per mail, né per telefono, né per SMS.
• Nel dubbio: l'ABI consiglia di interrompere e contattare la banca o la Polizia Postale.

Il controllo più semplice: riaggancia e usa un numero che trovi tu, sul retro della carta, sul sito o nell'app. Mai quello scritto nell'SMS.

Perché il mittente sembra vero

Per gli SMS con un nome al posto del numero (gli «alias») l'AGCOM ha adottato nel 2023 la delibera 12/23/CIR, anche per contrastare i tentativi di frode. Secondo il regolamento:

• l'alias si può usare solo se è stato registrato prima nel registro dell'AGCOM;
• non si può associare un alias a una SIM: non può comparire come mittente di messaggi inviati da un terminale con SIM;
• gli operatori devono bloccare i messaggi dall'estero con mittente non numerico, salvo eccezioni come le SIM in roaming.

Il registro è un elenco delle imprese autorizzate a usare gli alias. Un SMS da un normale numero 3xx che dice di essere la banca non è un alias: è un numero qualunque, da trattare come sconosciuto.

Il contrario non vale: un mittente con il nome non garantisce nulla, perché Nexi spiega che un messaggio falso può comparire nella stessa conversazione di quelli veri. Per le chiamate il numero sul display può essere falsificato: vedi spoofing.

Cosa fare, a seconda di come è andata

Non hai risposto

Non richiamare, non aprire link, non scaricare app. Controlla i movimenti dall'app della banca. Nexi chiede di cestinare i messaggi con link esterni o di segnalarli; per una telefonata dubbia, interrompila e scrivi a segnalazioni.phishing@nexigroup.com. Se hai ricevuto solo uno squillo, leggi Uno squillo e silenzio: richiamare?

Hai chiamato o hai parlato con l'operatore

Interrompi, non dettare altri codici, non installare nulla e controlla i movimenti. Se arriva un finto carabiniere o un «collega» a ritirare la carta, vedi il finto carabiniere.

Hai dato codici o dati, o hai installato un'app

Nexi suggerisce di bloccare subito la carta dall'app Nexi Pay o chiamando il Servizio Blocchi (800.15.16.16). Se la carta è di un altro emittente, la Polizia Postale ricorda che ogni società ha un numero gratuito per il blocco: usa quello del sito della tua banca. Se hai installato un'app, dillo al servizio ufficiale che contatti per il blocco.

Per recuperare i soldi la Banca d'Italia indica questi passi:

1. segnala subito le operazioni alla banca e chiedi il rimborso;
2. se rifiuta, e ritieni di aver agito correttamente, manda un reclamo;
3. se rifiuta, o non risponde alla segnalazione entro 15 giorni lavorativi, puoi ricorrere all'Arbitro Bancario Finanziario (ABF);
4. in ogni caso puoi inviare un esposto alla Banca d'Italia.

Attenzione: il rimborso spetta solo se hai agito con diligenza, e in generale non spetta a chi ha comunicato al telefono i dati per accedere al conto. Su un'altra pagina la Banca d'Italia precisa che, prima del ricorso all'ABF, serve aver presentato un reclamo alla banca. Denunciare non è indispensabile per il rimborso.

Segnalare e denunciare

La segnalazione online della Polizia Postale serve a segnalare fatti presumibilmente illegali, come un sito di phishing. Non sostituisce querela o denuncia.

La denuncia, secondo la Polizia Postale, si presenta al pubblico ministero o a un ufficiale di polizia giudiziaria (questure, commissariati, Carabinieri). Puoi ottenere un'attestazione di ricezione.

Il portale Denunce online permette una pre-denuncia, anche per truffa, frode informatica e indebito utilizzo di carte. Si accede con SPID o CIE e va formalizzata entro 48 ore presso un ufficio di Polizia, con appuntamento fissato sul portale, altrimenti viene cancellata. Al 24 ottobre 2026 la pagina della Polizia di Stato parla ancora di «fase di sperimentazione» in un elenco limitato di uffici, in gran parte nel Lazio: controlla l'elenco prima di contarci.

Cosa raccogliere (elenco pratico, non ufficiale): schermate dell'SMS con mittente, data e ora; numero chiamante e registro chiamate; il numero richiamato; le app installate; importi e orari delle operazioni; le comunicazioni con la banca. La denuncia, ricorda la Polizia Postale, consiste nell'esposizione degli elementi essenziali del fatto.

Come usare questo sito

Cerca nella ricerca inversa il numero che ti ha scritto o chiamato. Vedi il titolare del blocco di numerazione, secondo il registro del MIMIT (metodologia), e le segnalazioni dei visitatori. Il titolare del blocco non è per forza chi ha chiamato. Nessuna segnalazione, o una scheda tranquilla, non prova che un SMS sia autentico: conta il numero sulla carta o l'app della banca. Se l'SMS è comparso nella conversazione della tua banca, non c'è un numero da cercare, e può comunque essere falso: se chiede un codice monouso o una password, secondo Nexi è un truffatore.

Cosa segnalano i visitatori di questo sito

Dati di questo sito al 24 ottobre 2026, su 461 segnalazioni approvate dal 5 settembre al 23 ottobre: opinioni dei visitatori, non fatti accertati. Conteggio per parole chiave; una segnalazione può rientrare in più gruppi.

• 84 citano pagamento, bonifico, addebito o autorizzazione (74 numeri): 44 da numeri fissi, 40 da mobili.
• 29 citano «Nexi» (26 numeri): 15 da fissi, 14 da mobili.
• 62 citano SMS o «messaggio» (59 numeri); 35 di queste parlano anche di un pagamento.

Racconti tipici: una voce automatica o un operatore dice che un pagamento o bonifico non riconosciuto sta per essere autorizzato e chiede di richiamare; un SMS firmato Nexi o banca indica un importo alto e un numero da chiamare. «Nexi» è ciò che ha detto il mittente, non prova che abbia chiamato Nexi.

Fonti

• Nexi: Prevenzione frodi: smishing, vishing, Servizio Blocchi.
• Nexi: NFCgate, la truffa via App: variante con app.
• Polizia di Stato: Truffe online, conoscerle per evitarle (PDF): finto operatore, OTP.
• Polizia di Stato: Truffe online, come difendere i propri dati personali: vademecum con ABI.
• ABI: nuova guida di protezione contro le truffe: canali ufficiali.
• Banca d'Italia: Truffe, come difendersi: rimborso e diligenza.
• Banca d'Italia: Cosa fare se si è stati vittima di truffe o frodi: reclamo, ABF.
• AGCOM: Delibera 12/23/CIR: scopo anti-frode.
• AGCOM: Regolamento SMS Alias (Allegato A): regole sugli alias.
• AGCOM: Registro Alias: imprese autorizzate.
• Polizia Postale: La denuncia di privati: come si denuncia.
• Polizia Postale: Segnala online: segnalazione e denuncia.
• Polizia di Stato: Denunce online: pre-denuncia, uffici.
• Polizia Postale: Denunce online: 48 ore.
• Polizia Postale: Come bloccare la carta di credito: numeri di blocco.

Fonti consultate il 24 ottobre 2026.