Codici di verifica via SMS: perché non vanno mai comunicati

Quando accedi a un account, autorizzi un pagamento o reimposti una password, spesso ricevi un codice di poche cifre via SMS, email o app. È il secondo fattore di autenticazione: anche se qualcuno conosce la tua password, senza quel codice non può entrare.

Per questo i truffatori, quando trovano un account protetto, hanno un solo obiettivo: convincerti a dare loro il codice.

Le truffe più comuni

Il finto operatore. Una telefonata dalla "banca", dall'"assistenza informatica" o dal "servizio clienti" segnala un problema e chiede di leggere il codice appena arrivato "per verificare la tua identità". Il codice in realtà autorizza un accesso o un pagamento fatto in quel momento dal truffatore.

Il messaggio dell'amico. Su WhatsApp un contatto ti scrive: "Ti ho mandato per errore un codice, me lo inoltri?". Spesso l'account del contatto è già stato violato, e il codice serve a prendere il controllo del tuo.

La pagina di accesso falsa. Dopo la password, un sito contraffatto chiede anche il codice di verifica. Il truffatore lo usa in tempo reale sul sito vero.

La notifica da approvare. Al posto del codice, arriva sul telefono una richiesta "Stai effettuando l'accesso? Approva". A volte decine di richieste di fila, sperando che tu ne approvi una per stanchezza.

La regola che vale sempre

Un codice di verifica non si comunica a nessuno. Né al telefono, né in chat, né per email. Nemmeno a chi dice di essere l'assistenza informatica, la banca o un collega. Chi gestisce davvero i sistemi non ha bisogno del tuo codice: è stato creato apposta perché lo conosca solo tu.

E per le notifiche: non approvare mai un accesso che non hai avviato tu, in quel momento.

Leggi il messaggio

Molti servizi scrivono nel testo del messaggio a cosa serve il codice: "Codice per autorizzare un pagamento di 950 euro", "Codice per accedere da un nuovo dispositivo", "Non comunicare questo codice a nessuno". Prendersi due secondi per leggerlo può rivelare che stai autorizzando qualcosa di molto diverso da ciò che ti è stato detto.

Se ricevi codici che non hai chiesto

Un codice inatteso, o una serie di notifiche di accesso, significa di solito che qualcuno conosce già la tua password e sta provando a entrare. In questo caso:

1. non approvare e non comunicare nulla;
2. cambia subito la password, accedendo al servizio in modo sicuro;
3. per gli account di lavoro, avvisa l'assistenza informatica;
4. controlla di non usare la stessa password altrove.

Se l'hai già comunicato

Agisci in fretta: cambia la password, avvisa l'assistenza o la banca, e chiedi di verificare gli accessi recenti e di disconnettere i dispositivi sconosciuti. Per WhatsApp e altri servizi di messaggistica, attiva anche la verifica in due passaggi con un PIN personale, così sarà più difficile prenderne il controllo in futuro.

In sintesi

Il secondo fattore è una protezione eccellente, ma solo finché il codice resta tuo. Una regola semplice, nessun codice a nessuno, rende inutile la maggior parte di queste truffe.