Truffa SMS Nexi o banca: come riconoscerla e cosa fare

Come funziona la truffa SMS che imita Nexi o la tua banca

Nexi non è l'autrice di questi messaggi: è il nome che i truffatori usano, proprio perché milioni di persone in Italia hanno una carta col carta Nexi e il messaggio risulta plausibile a chiunque la abbia. Lo stesso identico schema gira, con lo stesso meccanismo, a nome di quasi tutte le banche italiane: cambia il nome, non il trucco.

Il link del messaggio porta quasi sempre a una pagina clone del sito vero — stesso logo, stessa grafica — dove ti viene chiesto di inserire il numero della carta, la scadenza e il codice CVV, oppure direttamente le credenziali del tuo home banking, a seconda di cosa i truffatori vogliono rubare in quel momento.

Perché questi SMS sembrano così credibili

Non serve essere disattenti per cascarci: questi messaggi sono costruiti apposta per aggirare il buon senso, su due leve precise.

1. La fretta. «La carta sarà bloccata», «conferma entro 24 ore», «transazione in corso, blocca subito»: come per il phishing via email, serve a impedirti di fermarti a controllare. Il blocco vero, quando c'è, passa dal canale ufficiale (l'app, o una chiamata che tu stesso verifichi richiamando un numero già tuo) — non da un link in un SMS che ti minaccia un blocco imminente.
2. Il mittente sembra vero — a volte anche nel nome. La Polizia Postale spiega che questi SMS partono spesso da utenze telefoniche identiche a quelle di noti istituti di credito (perché quel numero è già salvato nel tuo telefono o già comparso in una conversazione precedente), oppure mostrano direttamente il nome dell'ente al posto di un numero. I comunicati ufficiali non nominano Nexi, ma il meccanismo — lo spoofing del mittente — è lo stesso qualunque sia il nome copiato. Per questo il messaggio falso può finire proprio nella stessa conversazione di quelli veri che hai già ricevuto, e sembrare più credibile di uno arrivato da un numero mai visto prima.

I segnali per riconoscere il messaggio falso

Non serve indovinare se sia Nexi o la tua banca: bastano pochi controlli, sempre gli stessi.

1. Il link non porta al dominio ufficiale. Guarda con attenzione l'indirizzo prima di aprirlo (su alcuni telefoni basta tenerlo premuto per vederne un'anteprima, ma anche quello carica la pagina: il modo sicuro è non aprirlo affatto) e controlla la parte subito prima della prima barra: se non è esattamente nexi.it o il sito della tua banca, è falso — vedi la guida sul phishing per i dettagli su come si legge un indirizzo.
2. Ti chiede un dato che nessuno chiede così. Password, PIN, codice OTP, o il CVV della carta: la Guida Nexi ai codici della carta dichiara che Nexi non chiama né manda email o SMS con link a pagine esterne a nexi.it o al sito della tua banca per chiederteli — e vale lo stesso principio per qualunque banca. Un messaggio che li chiede con un link fuori da questi due domini non è mai legittimo.
3. Il controllo vero non passa da un link in un SMS. Il servizio antifrode reale di Nexi, chiamato «io SICURO», manda una notifica dentro l'app Nexi Pay quando rileva una transazione sospetta, e sospende la carta finché non confermi da lì dentro: mai cliccando un collegamento ricevuto per SMS. La tua banca, se ha un sistema simile, funziona allo stesso modo.
4. La fretta e la minaccia di blocco immediato. Vedi la sezione precedente: è la leva più usata.
5. Errori di battitura o formattazione strana. Possono esserci ancora, ma non contarci: molti di questi messaggi oggi sono scritti bene. È un indizio in più, non il segnale principale.

Cosa fare se hai cliccato o inserito dei dati

Conta la velocità: nelle prime ore si recupera di più, dopo diventa più difficile.

1. Non cliccare il link e non chiamare il numero scritto nel messaggio. Basta non interagire: non serve nemmeno rispondere per chiedere chiarimenti.
2. Se hai cliccato ma non hai inserito niente, chiudi la pagina e non riaprirla: di solito il solo clic non basta a fare danno, il problema nasce quando si inseriscono dei dati.
3. Se hai inserito i dati della carta (numero, scadenza, CVV): bloccala subito. Per una carta Nexi, dall'app Nexi Pay oppure chiamando il Servizio Blocchi, 800.15.16.16, gratuito e attivo 24 ore su 24; per un'altra banca, usa la sua app o il numero stampato sul retro della carta.
4. Se hai inserito le credenziali del tuo home banking (utente, password, o un codice OTP): cambia subito la password, possibilmente da un altro dispositivo, e contatta immediatamente la tua banca per segnalare l'accesso compromesso.
5. Controlla i movimenti delle ultime ore dall'app o dall'estratto conto, e segnala alla banca qualunque operazione che non riconosci: più la segnalazione è veloce, più aumentano le possibilità di recupero.
6. Se è già partito un bonifico dal tuo conto (perché un truffatore ha usato le tue credenziali rubate), chiama la banca nello stesso momento: se era un bonifico ordinario, finché non è accreditato si può chiedere il richiamo; se era istantaneo, è irrevocabile. Dal 9 ottobre 2025 le banche devono offrirti la verifica del beneficiario prima di un bonifico — ma qui aiuta poco: quando è il truffatore a muovere i soldi con le tue credenziali rubate, è lui a vedere l'esito della verifica, non tu, e il conto di destinazione è comunque il suo.
7. Segnala il tentativo a Nexi, anche se non ci sei cascato: scrivi a segnalazioni.phishing@nexigroup.com indicando mittente e testo del messaggio — aiuta a far bloccare prima la campagna in corso.

Dove segnalare la truffa

Oltre a segnalare a Nexi o alla tua banca, una truffa subita si segnala anche alla Polizia Postale.

1. Polizia Postale: su commissariatodips.it c'è un modulo di Segnalazioni, ma la stessa pagina dice che non accetta querele o denunce e che non sostituisce il pronto intervento.
2. Per denunciare davvero, la via online è denunceonline.poliziadistato.it con SPID o CIE, ma è attiva solo in via sperimentale in alcune sedi specifiche (questure di Rieti e Frosinone, alcuni commissariati e sezioni di polizia in Lazio): altrove la denuncia si fa di persona in un ufficio di polizia, portando le prove raccolte.
3. Conserva le prove prima di cancellare il messaggio: screenshot dell'SMS, del link, ed eventualmente della pagina dove hai inserito dei dati.
4. Se hai perso denaro, avvisa anche la tua banca il prima possibile: più tempo passa, meno probabile è recuperare un bonifico.