"Acquisto non riconosciuto su Amazon": la finta chiamata o SMS per "annullarlo"

"La chiamiamo dal reparto sicurezza di Amazon. Abbiamo rilevato l'acquisto di un iPhone da 1.149 euro sul suo account. Se non è stato lei, prema 1." A volte è una voce registrata, a volte una persona con un copione ben collaudato, a volte un SMS con un link per "annullare l'ordine". Il nome può essere Amazon, PayPal, AliExpress, una grande catena o qualsiasi negozio noto. Quello che non cambia mai è l'obiettivo: che, nella fretta di bloccare un addebito che non esiste, tu consegni i dati della carta, un codice della tua banca o il controllo del tuo telefono o computer.

Come funziona questa truffa?

Il copione si ripete con poche varianti:

1. L'esca. Una chiamata automatica, un SMS o un messaggio WhatsApp ti avvisa di un ordine costoso che non riconosci: uno smartphone, un portatile, una console, carte regalo. L'importo è alto apposta, per spaventarti.
2. Il passaggio a un "operatore". Se premi un tasto, richiami o tocchi il link, risponde qualcuno che si presenta come ufficio sicurezza o assistenza clienti. Spesso conosce il tuo nome, a volte il tuo indirizzo, perché questi dati circolano da vecchie fughe di dati.
3. L'"annullamento". Per "annullare l'acquisto" o "rimborsarti" ti chiedono una di queste cose:
   • i dati completi della carta, "per verificare che sei il titolare";
   • il codice che ti è appena arrivato via SMS, che in realtà autorizza un pagamento o una modifica nel tuo home banking;
   • di installare un'app di "assistenza" o "accesso remoto" (AnyDesk, TeamViewer, QuickSupport o simili) perché "un tecnico risolva il problema";
   • di entrare nel tuo home banking "mentre loro guardano" per "elaborare il rimborso".
4. Il colpo. Con la carta fanno acquisti; con il codice autorizzano pagamenti o aggiungono la tua carta al loro telefono; con l'accesso remoto vedono lo schermo, leggono i tuoi SMS e spostano i tuoi soldi mentre tu credi che ti stiano aiutando.

C'è una variante particolarmente subdola: il finto "rimborso in eccesso". Con l'accesso remoto, il truffatore manipola ciò che vedi sullo schermo per far sembrare che ti abbiano rimborsato 1.000 euro invece di 100, e ti chiede agitato di "restituire la differenza" con un bonifico o con carte regalo. Non c'è mai stato nessun rimborso: i soldi che invii sono tuoi.

Quali sono i segnali d'allarme?

• Ti avvisano di un acquisto che non vedi nell'app ufficiale del negozio. Se l'ordine non compare in "I miei ordini", non esiste.
• Ti mettono fretta: "l'acquisto verrà elaborato tra 30 minuti", "se riattacca non potremo bloccarlo".
• Ti chiedono di installare un'app per annullare un ordine. Nessun negozio ha bisogno di controllare il tuo dispositivo per annullare un acquisto.
• Ti chiedono codici ricevuti via SMS. Quei codici sono la tua firma: chi te li chiede al telefono vuole usarli.
• Ti chiedono di pagare per ricevere denaro: carte regalo, bonifici o "restituire la differenza".
• Il link dell'SMS non porta al sito ufficiale, ma a un indirizzo simile con lettere o parole in più.
• Il numero sembra legittimo. Non fidarti: il numero che compare sullo schermo può essere falsificato (spoofing) e un nome noto sull'identificativo del chiamante non prova nulla.

Cosa faccio subito se mi chiamano o arriva l'SMS?

1. Riattacca o non rispondere. Non premere alcun tasto, non richiamare il numero che ti danno e non toccare il link.
2. Controlla da solo, per conto tuo. Apri l'app ufficiale del negozio o digita a mano il suo indirizzo nel browser e verifica i tuoi ordini. Se non c'è niente di strano, hai già la risposta.
3. Se c'è davvero un ordine che non riconosci, annullalo dall'app stessa o contatta il negozio tramite la sezione di assistenza del sito o dell'app ufficiale, mai al numero datoti da chi ti ha chiamato.
4. Non fornire dati, codici o password, anche se la persona conosce il tuo nome, il tuo indirizzo o le ultime cifre della carta.
5. Non installare nulla su richiesta di qualcuno che ti ha contattato senza che tu lo avessi chiesto.
6. Blocca il numero e segnalalo nell'elenco dei numeri spam per avvisare altre persone.

Una regola semplice riassume tutto: se chiamano loro, riattacca e chiama tu tramite un canale che hai cercato tu stesso.

E se ho già dato i dati o installato l'app?

Agisci in fretta e in quest'ordine:

1. Interrompi la connessione. Se hai installato un'app di accesso remoto, chiudi la sessione, scollega il dispositivo da internet (modalità aereo o Wi-Fi spento) e disinstalla l'app.
2. Chiama subito la tua banca, al numero ufficiale riportato sul retro della carta o nella sua app, non a uno che ti hanno dato. Chiedi di bloccare la carta, verificare le operazioni recenti e fermare eventuali bonifici in corso. Prima chiami, più possibilità ci sono.
3. Cambia le password, da un altro dispositivo pulito se puoi: prima l'email, poi l'home banking e l'account del negozio. Attiva la verifica in due passaggi.
4. Controlla l'account del negozio: dispositivi collegati, nuovi indirizzi di spedizione, carte salvate e saldo delle carte regalo. Elimina ciò che non riconosci.
5. Controlla il dispositivo. Se qualcuno ha avuto accesso remoto, esegui un antivirus affidabile e, nel dubbio, fai un backup dei dati e ripristina il dispositivo.
6. Conserva le prove: screenshot degli SMS, il numero che ti ha chiamato, l'ora, le ricevute di pagamento e il nome dell'app installata.
7. Sporgi denuncia. In Spagna, alla Policía Nacional o alla Guardia Civil; altrove, alla polizia del tuo Paese (in Italia, Polizia di Stato, Polizia Postale o Carabinieri), portando tutto il materiale. La banca di solito chiede la denuncia per gestire un reclamo.

Se ci sono già stati addebiti o bonifici, in come recuperare i soldi dopo una truffa telefonica spieghiamo le vie di reclamo.

Dove denuncio e a chi chiedo aiuto?

• Polizia: in Spagna, la Policía Nacional (091) o la Guardia Civil (062), in commissariato o in caserma; altrove, la polizia del tuo Paese. Se sei in pericolo immediato, chiama il 112, numero di emergenza in tutta l'UE.
• Linea di aiuto per la sicurezza informatica: in Spagna, il 017 di INCIBE, gratuito e riservato, che ti orienta su cosa fare con account e dispositivi; altrove, l'agenzia nazionale per la cybersicurezza o il servizio di segnalazione frodi del tuo Paese.
• OSI (Oficina de Seguridad del Internauta), di INCIBE in Spagna: pubblica avvisi sulle campagne di frode attive, utili per verificare se il messaggio ricevuto è già in circolazione. Molti Paesi hanno un servizio pubblico di avvisi simile.
• La tua banca, sempre attraverso i canali ufficiali.
• Il negozio stesso: le grandi piattaforme hanno nella sezione di assistenza un'area per segnalare messaggi o chiamate sospette che usano il loro nome.

Domande frequenti

Amazon mi chiama mai per un acquisto sospetto? Un negozio può contattarti, ma non ti chiederà al telefono i dati della carta, codici della banca né di installare programmi di accesso remoto. In caso di dubbio, riattacca e controlla i tuoi ordini nell'app ufficiale.

Non ho un account Amazon e mi hanno chiamato lo stesso. Perché? Perché le chiamate sono di massa. Usano il nome del negozio più famoso sapendo che molte persone avranno un account. Il fatto che tu non lo abbia conferma che è una frode.

Ho solo premuto 1 e ho riattaccato. Succede qualcosa? Di solito no. Molto probabilmente hanno verificato che il tuo numero è attivo e riceverai altri tentativi. Non fornire dati nelle chiamate successive e blocca i numeri.

Ho dato i dati della carta ma non il codice SMS. Sono al sicuro? Non del tutto. Chiama la banca per bloccare la carta: con quei dati possono tentare acquisti presso esercenti che non richiedono verifiche aggiuntive, e ti richiameranno per ottenere il codice.

In sintesi

Un acquisto che non riconosci si verifica nell'app ufficiale del negozio, mai dalla chiamata o dal link che te lo annuncia. Nessuno di legittimo ha bisogno dei tuoi codici, della tua carta o del controllo del tuo telefono per annullare un ordine. Se ci sei già cascato, interrompi l'accesso, chiama la banca, cambia le password e denuncia. Un'app come NoCall può avvisarti che un numero è già stato segnalato da altre persone prima che tu risponda e, se ricevi una di queste chiamate, segnalala nell'elenco dei numeri spam di NoCall: la tua segnalazione aiuta altre persone a riattaccare in tempo.