Truffa bancaria: dieci regole che una banca vera non infrange mai

Nessuno sta forzando il caveau. Ti chiamano e ti chiedono di aprirlo dall’interno.

Ultima verifica: luglio 2026

Una truffa con il nome di una banca è una frode in cui dei criminali assumono l’identità di un istituto finanziario regolamentato per ottenere denaro o credenziali dai suoi clienti o dal pubblico. I sistemi della banca non vengono mai toccati. Ciò che viene attaccato è la fiducia legata al suo nome.

Gli strumenti sono migliorati parecchio. I siti clonati riproducono fedelmente il design di una banca, i numeri falsificati mostrano un identificativo plausibile e l’audio generato imita una voce abbastanza bene da reggere una telefonata breve. Ciò che non è cambiato è la struttura sottostante. Quasi ogni caso rientra in uno di tre schemi.

Tutti e tre condividono un principio. I criminali non possono aprire il caveau, quindi l’obiettivo è che sia il titolare ad aprirlo volontariamente. È anche il motivo per cui la contromisura non è tecnica. Si chiama riconoscimento.

Non sono le promesse di un singolo istituto. Sono le condizioni operative che derivano dall’essere una banca autorizzata e vigilata in Svizzera. Se un’interazione con una presunta banca svizzera ne viola anche solo una, non sta avvenendo con la banca.

1. Nessun rendimento garantito. Nella gestione patrimoniale regolamentata rendimento e rischio sono inseparabili, e nessun istituto vigilato può presentare una performance come certa. La certezza è uno strumento di vendita, non un prodotto finanziario.
2. Il denaro resta nel perimetro regolamentato. Una banca autorizzata detiene e gestisce i patrimoni dei clienti nella propria struttura vigilata. La richiesta di trasferire denaro su un wallet crypto esterno, una piattaforma di trading straniera o un conto di deposito di terzi è il punto in cui il denaro lascia il sistema protetto.
3. Nessuna gestione patrimoniale via messaggistica. La consulenza regolamentata è documentata e passa da canali ufficiali. Un consulente che esegue ordini o chiede fondi via WhatsApp, Telegram o Signal da un numero privato non lavora per la banca.
4. Nessuna pressione temporale. Un’offerta che scade in dieci minuti esiste per eliminare proprio l’intervallo in cui avresti verificato. Una banca seria non chiede mai di sospendere il tuo giudizio, e una questione reale sarà ancora lì dopo una telefonata di verifica.
5. I codici di verifica non vengono mai chiesti. Una password monouso è la chiave del conto. Nessun collaboratore di una banca vera ti chiederà mai di leggerla al telefono, digitarla in una chat o inviarla via e-mail. Non esiste alcuno scenario legittimo per questa richiesta.
6. Un dominio, nessuna variante. Chi impersona registra indirizzi che differiscono dall’originale per un trattino, una parola o un suffisso. Alpian, per esempio, pubblica i falsi che circolano a suo nome, fra cui alpianmanagement.com, alpian.private-eu.com e alpian-egibilite.com, e conferma che alpian.com è il suo unico indirizzo web. Se cambia anche un solo carattere, chiudi la scheda.
7. Nessun consulente esternalizzato che chiama dall’estero. La relazione di consulenza di una banca svizzera è interna e ha sede in Svizzera. Una chiamata non richiesta da un broker o partner di un altro Paese, che offre accesso ai prodotti di un istituto svizzero, non è il modo in cui quella relazione nasce.
8. Nessun software di accesso remoto. Chiedere di installare TeamViewer, AnyDesk o strumenti simili perché il supporto possa risolvere un problema equivale a chiedere il controllo del tuo dispositivo. Con accesso a schermo e tastiera, chi chiama può autorizzare bonifici senza avere mai bisogno della tua password.
9. Una banca vera accetta volentieri di essere verificata. Chiudere una chiamata e raggiungere l’istituto tramite un canale trovato da te è normale, previsto e non viene mai preso male. Non usare mai un numero, un link o un indirizzo forniti da chi ti ha contattato.
10. Segnalare fa parte del sistema. Le banche tracciano e fanno chiudere le infrastrutture di impersonificazione, e le segnalazioni dei clienti sono il modo in cui la maggior parte viene individuata. Alpian chiede di inoltrare chiamate, messaggi, annunci e siti sospetti a fraud-report@alpian.com, con screenshot e numeri quando possibile.

In Svizzera la verifica è pubblica, gratuita e rapida. Quattro controlli in questa sequenza risolvono quasi ogni caso, e nessuno richiede di contattare il fornitore in esame.

1. Consulta la lista di allerta FINMA. La FINMA tiene un elenco pubblicato di società e persone sospettate di prestare servizi finanziari senza l’autorizzazione necessaria. L’elenco non pretende esplicitamente di essere esaustivo e non viene aggiornato ogni giorno, quindi l’assenza non è un nullaosta.
2. Verifica l’autorizzazione stessa. Una banca svizzera è autorizzata dalla FINMA e compare nel suo registro degli istituti autorizzati. Chi dichiara di essere regolato in Svizzera ma non è reperibile lì dichiara qualcosa che non ha.
3. Confronta il dominio con quello ufficiale. Trova l’indirizzo reale dell’istituto in modo indipendente, con una ricerca o dall’app che hai già installato, e confronta carattere per carattere. Non navigare mai dal link che ti è stato inviato.
4. Consulta le altre liste di allerta. La polizia cantonale di Zurigo tiene una lista pubblica su cybercrimepolice.ch, e la IOSCO gestisce un portale internazionale di allerta agli investitori con i fornitori segnalati dalle autorità di tutto il mondo.

Un punto strutturale vale la pena ricordarlo. La maggior parte dei fornitori nella lista di allerta FINMA non ha alcuna presenza fisica in Svizzera. Dichiarano un ufficio svizzero perché la credibilità della piazza finanziaria svizzera è esattamente il bene che stanno rubando. Un nome dal suono svizzero, una bandiera e un indirizzo a Zugo non provano nulla di per sé.

L’asimmetria è utile. Una truffa ha bisogno di velocità e isolamento, perché entrambi impediscono di verificare. Un istituto regolamentato può permettersi la lentezza, perché tutto ciò che fa regge un controllo. Qualunque interazione che resista alla verifica ti sta dicendo cos’è.

Agisci subito e in quest’ordine. Contatta la tua banca tramite l’app ufficiale o il numero pubblicato e chiedi il richiamo del pagamento, perché le prime ore sono quelle in cui un conto ricevente può ancora essere bloccato. Sporgi denuncia alla polizia, necessaria per la maggior parte dei passi successivi. Cambia le credenziali del conto e dell’indirizzo e-mail collegato, e rimuovi qualsiasi software di accesso remoto installato.

Poi segnala l’impersonificazione in sé, all’istituto di cui è stato usato il nome e al Centro nazionale per la cibersicurezza. È la parte che si salta, perché il denaro sembra già perso. È anche la parte che fa chiudere un dominio clonato prima che raggiunga la persona successiva.

L’infrastruttura di una banca svizzera non è il punto debole, e i criminali attivi in questo mercato lo sanno meglio di chiunque altro. I depositi presso un istituto autorizzato dalla FINMA si collocano in un quadro vigilato e sono protetti fino a CHF 100.000 per cliente, che la banca sia digitale o abbia un atrio di marmo. Ciò che viene attaccato è il breve intervallo fra una frase convincente e una decisione. Dieci regole, quattro controlli e l’abitudine di verificare in modo indipendente chiudono gran parte di quello spazio. I prodotti d’investimento veri sono ancora lì dopo che hai verificato. Quelli fraudolenti raramente.

Fonti

• Lista di allerta FINMA dei fornitori non autorizzati
• FINMA, come gli investitori possono proteggersi dai fornitori non autorizzati
• Centro nazionale per la cibersicurezza NCSC, rapporto annuale 2025
• Pagina sicurezza di Alpian, con i domini fraudolenti noti