Vendo su Wallapop o Vinted e il "compratore" mi chiede i dati o mi manda un link

Pubblichi su Wallapop, Vinted o Milanuncios (piattaforme dell'usato molto diffuse in Spagna; la stessa truffa gira su Subito, Facebook Marketplace e siti simili ovunque) qualcosa che non usi più e, dopo pochi minuti, compare un compratore entusiasta. Non tratta, non fa domande sul prodotto e ha molta fretta. Ti chiede il WhatsApp o l'email "per fare prima" e poco dopo ti manda un link: "Ti ho già pagato, entra qui per ricevere i soldi" oppure "Ho prenotato il corriere, conferma i tuoi dati così passa a ritirare". Se lo apri, vedrai una pagina identica a quella della piattaforma che ti chiede il numero della carta, la data di scadenza e il CVV. Non è un incasso: è un furto. E la regola che smonta tutto è semplice: per ricevere denaro non devi mai dare i dati della tua carta né alcun codice.

Come funziona la truffa del falso compratore?

Lo schema ha varianti, ma segue quasi sempre gli stessi passaggi:

• Ti porta fuori dalla piattaforma. La prima mossa è spostare la conversazione su WhatsApp, SMS, Telegram o email. Fuori dalla chat ufficiale la piattaforma non può individuare l'inganno né proteggerti, e il truffatore può mandarti link senza filtri.
• Ti manda un link falso. Il sito copia la grafica di Wallapop, Vinted, Milanuncios, delle poste o di un corriere. Dice che il pagamento è "bloccato" o "in attesa di conferma" e che per sbloccarlo devi inserire la carta. Con quei dati fanno acquisti o addebiti a tuo nome.
• Ti chiede dei codici. Dopo aver inserito la carta ti arriva un SMS della banca con un codice per autorizzare un'operazione. Il sito falso te lo chiede "per verificare che sei il titolare". Quel codice è la tua firma: con esso autorizzi un pagamento, non un incasso.
• Variante Bizum. Invece di mandarti denaro, ti inviano una richiesta Bizum (Bizum è il sistema spagnolo di pagamenti tra cellulari; altri Paesi hanno equivalenti) e ti dicono di accettarla per ricevere i soldi. Se la accetti, sei tu a pagare.
• Variante del "pagamento in eccesso". Dicono di averti pagato troppo per errore (o "per il corriere") e ti chiedono di restituire la differenza. Il pagamento originale non è mai esistito.

Ciò che le accomuna è la pressione: il compratore "parte per un viaggio", "il corriere passa oggi" o "il pagamento scade tra 30 minuti". La fretta serve a impedirti di fermarti a pensare.

Come capisco che il compratore è falso?

Nessun segnale da solo è una prova, ma diversi insieme sono una diagnosi piuttosto affidabile:

1. Vuole proseguire su WhatsApp, SMS o email fin dall'inizio, senza un motivo chiaro.
2. Non chiede nulla sul prodotto e non tratta sul prezzo. Non gli importa cosa compra.
3. Ti manda un link per incassare. Le piattaforme gestiscono pagamento e spedizione nella propria app; i soldi non si "ritirano" su un sito esterno.
4. Il dominio non è quello ufficiale. Indirizzi con trattini, parole aggiunte ("pagamento-sicuro", "conferma-spedizione") o estensioni strane. Guardalo con calma, non di sfuggita.
5. Ti chiede carta, CVV, PIN o codici SMS. Per ricevere denaro ti serve al massimo il tuo IBAN, e solo se vendi fuori dalla piattaforma. Mai il CVV né un codice.
6. Profilo nuovo o senza recensioni, spesso con un nome generico e senza foto.
7. Urgenza e scuse logistiche: un parente ritirerà il pacco, un corriere "privato", una spedizione all'estero.

Cosa faccio subito?

1. Non aprire il link e non inserire alcun dato. Se l'hai aperto ma non hai scritto nulla, chiudilo; il solo aprirlo di solito non comporta danni.
2. Torna alla chat ufficiale della piattaforma. Se il compratore è reale, accetterà di acquistare con il sistema di pagamento e spedizione integrato. Se rifiuta, hai la tua risposta.
3. Controlla i pagamenti solo nell'app o nel tuo home banking, entrando tu dall'applicazione ufficiale, mai da un link ricevuto.
4. Conserva le prove: screenshot della chat, il numero o il profilo, il link (copialo come testo, senza aprirlo) e la data.
5. Blocca e segnala il profilo sulla piattaforma e il numero su WhatsApp o sul telefono. Così la piattaforma può rimuovere l'account prima che provi con altri venditori.

E se ho già inserito i miei dati o un codice?

Non colpevolizzarti: questi siti sono fatti molto bene. Conta la rapidità:

1. Chiama subito la tua banca al numero sul retro della carta o nella sua app ufficiale. Chiedi di bloccare la carta e di controllare le operazioni recenti.
2. Segnala gli addebiti che non riconosci come operazioni non autorizzate e chiedi che venga avviato il rimborso. Prima lo fai, più possibilità hai. Lo spieghiamo in come recuperare i soldi di una truffa telefonica.
3. Se hai accettato una richiesta Bizum (o una richiesta in un'app di pagamento simile), avvisa anche la banca: Bizum passa attraverso di essa. Più dettagli in la truffa del Bizum.
4. Cambia le password dell'account sulla piattaforma e dell'email, e attiva la verifica in due passaggi.
5. Se hai condiviso un codice WhatsApp, qualcuno potrebbe cercare di impossessarsi del tuo account: apri WhatsApp, attiva la verifica in due passaggi e avvisa i tuoi contatti di ignorare richieste di denaro.
6. Tieni d'occhio i tuoi conti nelle settimane successive. I tuoi dati possono essere riutilizzati in chiamate che si spacciano per la tua banca; prima di agire, impara a verificare se una chiamata o un SMS della tua banca è autentico.

Dove denuncio?

• In Spagna, alla Policía Nacional (091) o alla Guardia Civil (062): sporgi denuncia con tutti gli screenshot, il link e le ricevute bancarie. La banca potrebbe chiedertela per gestire il reclamo. Altrove, rivolgiti alla polizia del tuo Paese.
• In Spagna, l'INCIBE al 017: linea di aiuto gratuita e riservata sulla sicurezza informatica. Ti orientano e, sul sito del suo Ufficio di Sicurezza dell'Internauta (OSI), puoi consultare gli avvisi sulle campagne in corso. Altrove, l'agenzia nazionale per la cybersicurezza o il servizio ufficiale di segnalazione frodi.
• La piattaforma stessa: segnala il profilo e la conversazione dalla sua app.
• 112 (numero di emergenza europeo) solo in caso di vera emergenza, ad esempio minacce o qualcuno che si presenta a casa tua.

E se il contatto è arrivato da un numero di telefono, aggiungilo all'elenco dei numeri spam perché altri venditori lo riconoscano.

Domande frequenti

Possono derubarmi solo con il numero della carta? Con numero, scadenza e CVV si possono fare acquisti online, soprattutto se ottengono anche il codice di conferma che ti invia la banca. Per questo questi siti chiedono tutto insieme. Non condividerlo mai per incassare.

Il compratore dice che la piattaforma "richiede" di verificare la mia carta. È vero? No. Se la piattaforma avesse bisogno di qualcosa, te lo chiederebbe nella sua app ufficiale, non tramite un link inviato da uno sconosciuto su WhatsApp.

È sicuro vendere di persona? Incontrarsi in un luogo pubblico e farsi pagare in contanti o tramite il sistema della piattaforma è ragionevole. Diffida di qualsiasi "ricevuta di pagamento" in screenshot o email: conta il denaro che vedi sul conto o nell'app.

Il link mi è arrivato via SMS e non in chat. Cambia qualcosa? No. Cambia il canale, la trappola è la stessa. È la stessa logica del falso SMS di consegna pacchi.

In sintesi

Quando vendi, il denaro viene verso di te: non devi mai pagare, inserire la carta né dare codici per riceverlo. Tieni conversazione e pagamento dentro la piattaforma, diffida della fretta e dei link e, se hai già inserito dati, chiama prima di tutto la banca e poi denuncia. Se vuoi un avviso in più contro numeri e SMS sospetti, NoCall ti aiuta a capire chi c'è dall'altra parte prima di rispondere.