Truffe wallet digitali, la tua carta può finire sul telefono di uno sconosciuto

Le truffe wallet digitali stanno cambiando il volto del crimine informatico. Non serve più necessariamente impossessarsi di una carta bancaria o entrare nel conto corrente della vittima.

In alcuni casi, ai criminali basta convincere il sistema che quella carta appartenga anche a loro, associandola a uno smartphone controllato dai truffatori. Il proprietario può continuare ad avere il proprio bancomat nel portafoglio e il telefono in tasca, senza rendersi conto che qualcun altro sta tentando di utilizzare i suoi soldi. È uno degli aspetti più inquietanti di una frode che sta attirando crescente attenzione nei mercati clandestini della rete.

Il fenomeno emerge da un’indagine condotta dai ricercatori di NordVPN e NordLayer Intelligence by NordStellar. La ricerca descrive un’evoluzione precisa: le informazioni bancarie rubate acquistano maggiore valore quando consentono di attivare uno strumento di pagamento su un dispositivo diverso da quello del legittimo titolare.

Una trasformazione che riguarda milioni di consumatori, ben oltre il mondo delle criptovalute, e che solleva una domanda: quanto è sicuro un pagamento quando il criminale riesce a farsi riconoscere come un utente autorizzato?

Truffe wallet digitali: il vero obiettivo è ottenere il controllo dei pagamenti

Per comprendere il problema bisogna partire da una distinzione. Rubare i dati di una carta non significa automaticamente poterla utilizzare. Le banche impiegano controlli antifrode, sistemi di autenticazione e verifiche aggiuntive che possono impedire numerose operazioni sospette.

Il passaggio più delicato arriva quando qualcuno tenta di registrare quelle informazioni su un portafoglio elettronico. Servizi come Apple Pay e Google Wallet permettono di effettuare acquisti attraverso lo smartphone, evitando di estrarre fisicamente la tessera dal portafoglio.

Normalmente, aggiungere una carta richiede una procedura di verifica. L’istituto emittente deve accertarsi che chi sta effettuando l’operazione sia autorizzato a farlo. È proprio questo controllo che i truffatori cercano di aggirare.

Una volta ottenuti i dati necessari, il criminale può tentare di associare lo strumento bancario al proprio telefono. Se riesce anche a superare le verifiche previste, il dispositivo dell’aggressore può diventare un mezzo per effettuare pagamenti non autorizzati.

Non significa che ogni carta sottratta sia automaticamente utilizzabile. Le verifiche possono bloccare l’attivazione e le protezioni differiscono tra banche, circuiti e dispositivi. Il problema è che le organizzazioni criminali hanno iniziato a concentrare parte delle loro attività proprio sui sistemi utilizzati per riconoscere il titolare.

In altre parole, non cercano soltanto il denaro. Cercano il permesso di spenderlo.

Il mercato delle carte rubate: prezzi, annunci e identità in vendita

La dimensione del fenomeno emerge dai numeri raccolti da NordVPN. I ricercatori hanno esaminato oltre 24.000 annunci relativi a carte di pagamento, pubblicati nel febbraio 2026 su nove mercati clandestini, oltre ad analizzare nel settembre successivo circa 3.900 messaggi unici riguardanti diverse attività criminali.

Dal monitoraggio risulta che le discussioni dedicate all’inserimento di carte sottratte nei portafogli elettronici sono quasi triplicate rispetto all’anno precedente. Il dato misura l’interesse manifestato negli ambienti osservati, non un aumento equivalente delle frodi effettivamente riuscite.

Altrettanto interessante è il prezzo attribuito alle informazioni.

Il valore mediano di una carta rubata nei mercati analizzati si aggira intorno ai 10 dollari. Quelle presentate come particolarmente affidabili raggiungono una mediana di 22 dollari, mentre gli annunci riguardanti strumenti già predisposti per l’utilizzo nei wallet possono indicare prezzi corrispondenti al 3-5% del saldo disponibile.

Le informazioni personali fanno salire ulteriormente le quotazioni. In uno dei mercati esaminati, una carta accompagnata dal numero previdenziale statunitense e dalla data di nascita del titolare veniva offerta a 18,15 dollari. Un altro annuncio, contenente dati identificativi aggiuntivi, raggiungeva i 23 dollari. Per confronto, nello stesso mercato il prezzo mediano delle carte prive di quelle informazioni era di 11,70 dollari.

Questi importi non indicano quanto costi compiere una frode né quanto guadagnino realmente i criminali. Sono prezzi richiesti negli annunci illegali, utili però a comprendere quali informazioni vengano considerate più appetibili.

La considerazione più significativa è un’altra: nel commercio clandestino dei dati bancari, conoscere l’identità di una persona può valere quasi quanto possedere i numeri della sua carta.

Non solo hacker: spesso la truffa comincia con una telefonata

Una parte delle frodi non richiede particolari capacità informatiche da parte dell’esecutore. Può essere sufficiente una telefonata costruita per ingannare la vittima.

Il meccanismo è quello del vishing, una forma di phishing che utilizza la voce. Qualcuno si presenta come dipendente della banca, operatore dell’assistenza o addetto alla sicurezza. Il pretesto può essere un pagamento sospetto, una verifica urgente oppure il presunto blocco del conto.

Durante la conversazione viene richiesto un codice temporaneo ricevuto via SMS o attraverso un altro canale. Il criminale può cercare di utilizzare quell’informazione per completare un’operazione che il titolare non ha realmente autorizzato, compresa, in determinate circostanze, l’associazione della carta a un nuovo dispositivo.

Un’altra tecnica è il SIM swapping. In questo caso, attraverso un trasferimento fraudolento del numero telefonico, gli aggressori tentano di impossessarsi degli SMS destinati all’utente. L’operazione può facilitare ulteriori abusi quando la sicurezza di un servizio dipende da verifiche effettuate tramite messaggio.

L’intelligenza artificiale introduce un’ulteriore complicazione. Le tecnologie di sintesi vocale possono rendere credibile una conversazione anche quando la voce riprodotta non appartiene alla persona che sembra parlare.

Ivano Asaro, direttore dell’Osservatorio Innovative Payments del Politecnico di Milano, intervistato dall’ANSA, ha richiamato l’importanza di non comunicare telefonicamente PIN, password e codici di sicurezza, neppure quando l’interlocutore sostiene di rappresentare un istituto bancario o una persona conosciuta.

Il punto è fondamentale: l’identità dichiarata durante una chiamata non costituisce una prova dell’identità reale di chi sta parlando.

Il caso Binance e il rischio di confondere due mondi diversi

Il tema della sicurezza dei portafogli digitali è tornato prepotentemente al centro dell’attenzione dopo l’attacco informatico subito da Binance il 29 ottobre 2026.

Secondo il rapporto preliminare diffuso dalla piattaforma il 3 novembre, l’incidente ha coinvolto circa 6,34 miliardi di dollari in asset digitali. Binance ha dichiarato che, al momento dell’aggiornamento, circa 2,85 miliardi risultavano congelati o intercettati e che avrebbe assorbito l’impatto economico della sottrazione senza trasferirlo ai propri utenti.

La ricostruzione iniziale descrive un’operazione complessa, sviluppata attraverso compromissioni di dispositivi aziendali, tecniche di ingegneria sociale e accessi non autorizzati ai sistemi interni responsabili della firma delle transazioni.

È necessario, tuttavia, evitare un equivoco.

Un wallet utilizzato per custodire criptovalute non funziona necessariamente come il portafoglio elettronico che contiene una carta di pagamento bancaria. Le architetture, le responsabilità degli operatori e le modalità di autorizzazione delle operazioni sono differenti.

L’attacco a Binance non dimostra che Apple Pay o Google Wallet siano stati violati, né permette di affermare che i loro utenti corrano lo stesso rischio tecnico.

Le due vicende condividono piuttosto una questione di fondo: quando un sistema attribuisce a qualcuno la facoltà di movimentare denaro, la sicurezza dipende dalla corretta gestione di quell’autorizzazione.

È questo il legame più interessante tra grandi infrastrutture finanziarie e piccoli pagamenti quotidiani. Non la somiglianza degli attacchi, ma la centralità della fiducia digitale.

Pagare con lo smartphone è davvero meno sicuro della carta fisica?

Sarebbe sbagliato dedurre dalle notizie sulle frodi che i pagamenti contactless effettuati tramite telefono siano intrinsecamente pericolosi.

Anzi, i portafogli elettronici moderni utilizzano strumenti progettati per limitare l’esposizione delle informazioni bancarie. Uno dei principali è la tokenizzazione, che sostituisce il numero effettivo della carta con un identificativo digitale utilizzabile secondo specifiche condizioni.

Il sistema, descritto negli standard di EMVCo, può limitare l’impiego del token a un determinato dispositivo, esercente o contesto di pagamento. A questo si aggiungono, secondo il servizio utilizzato, controlli biometrici, codici di sblocco e verifiche dell’emittente.

Queste protezioni non eliminano ogni possibilità di frode, ma costituiscono una differenza sostanziale rispetto alla semplice trasmissione dei dati riportati sulla tessera.

Un’indicazione importante arriva anche dalle autorità europee. Nel rapporto pubblicato nel dicembre 2025, Banca centrale europea e Autorità bancaria europea hanno rilevato che l’autenticazione forte continua a essere efficace contro molte delle frodi per le quali è stata introdotta, soprattutto nei pagamenti con carta.

Il rapporto segnala però anche una crescita delle tecniche attraverso le quali i criminali manipolano gli utenti inducendoli ad autorizzare operazioni fraudolente.

Il rischio principale, quindi, non è necessariamente che il sistema di pagamento sia debole. Può essere che qualcuno riesca a ottenere un’autorizzazione apparentemente valida attraverso l’inganno.

Quanto costano realmente le frodi digitali in Europa e in Italia

La dimensione economica del problema merita attenzione, soprattutto per evitare che singoli episodi particolarmente clamorosi producano una percezione distorta del rischio.

Secondo il rapporto congiunto delle autorità europee, nel 2024 le frodi sui principali strumenti di pagamento nello Spazio economico europeo hanno raggiunto 4,2 miliardi di euro, rispetto ai 3,5 miliardi registrati nel 2023.

Si tratta di una cifra significativa, ma distribuita tra bonifici, carte, addebiti diretti, prelievi e moneta elettronica. Non rappresenta, pertanto, l’ammontare delle sole truffe ai wallet digitali.

Per comprendere meglio il fenomeno è utile osservare anche l’incidenza delle operazioni fraudolente sul totale dei pagamenti.

Nel primo semestre del 2025, secondo i dati pubblicati dalla Banca d’Italia nel febbraio 2026, il valore complessivo delle frodi sui principali strumenti monitorati è risultato pari a circa 3 euro ogni 100.000 euro transati.

Per le carte di pagamento, l’incidenza era di 18 euro ogni 100.000 euro. Nel caso della moneta elettronica, categoria che comprende anche strumenti differenti dai wallet telefonici, il rapporto raggiungeva 31 euro.

Sono indicatori che vanno interpretati correttamente: non descrivono la probabilità individuale di essere truffati e non isolano il rischio associato a una specifica applicazione.

Mostrano comunque che la grande maggioranza del valore movimentato attraverso i sistemi esaminati non è coinvolta in frodi.

Il fenomeno, dunque, non giustifica un abbandono dei pagamenti elettronici. Evidenzia invece l’esigenza di rafforzare le difese nei punti in cui tecnologia e comportamento umano entrano in contatto.

Come proteggersi dalle truffe wallet digitali e riconoscere i segnali

Il primo segnale da non sottovalutare è una richiesta di autorizzazione inattesa. Se arriva un messaggio relativo all’aggiunta della propria carta a un dispositivo sconosciuto, senza che sia stata avviata personalmente la procedura, è opportuno contattare immediatamente l’istituto emittente attraverso i canali ufficiali.

Lo stesso vale per i codici temporanei ricevuti senza aver richiesto alcuna operazione. Un OTP non va comunicato a chi telefona, neppure quando la persona conosce nome, cognome e altri dati personali.

È consigliabile inoltre mantenere attive le notifiche delle transazioni, controllare regolarmente i movimenti bancari e utilizzare i sistemi di protezione disponibili sullo smartphone. Aggiornamenti del sistema operativo, blocco dello schermo e metodi di autenticazione robusti contribuiscono a ridurre diversi rischi.

Chi perde improvvisamente la disponibilità del proprio numero telefonico, senza aver richiesto modifiche alla SIM, dovrebbe verificare tempestivamente la situazione con l’operatore. Un’anomalia di questo tipo può avere cause innocue, ma merita attenzione quando si accompagna a messaggi bancari sospetti o tentativi di accesso ai propri account.

Se emerge un pagamento non riconosciuto, bisogna segnalarlo subito alla banca e richiedere il blocco degli strumenti eventualmente compromessi. La tempestività è importante anche per avviare le procedure di contestazione previste dal rapporto contrattuale e dalla normativa applicabile.

La responsabilità, comunque, non può essere scaricata interamente sui consumatori. Banche, circuiti di pagamento e fornitori tecnologici devono continuare a migliorare i controlli sulle nuove attivazioni, sulle anomalie comportamentali e sulle richieste di accesso provenienti da dispositivi sconosciuti.

La crescente diffusione delle truffe wallet digitali racconta soprattutto un cambiamento economico e culturale. I criminali stanno imparando a sfruttare non soltanto il valore delle informazioni sottratte, ma anche le procedure che trasformano quei dati in autorizzazioni operative.

La tecnologia può rendere sempre più difficile copiare una carta o intercettare un pagamento. Ma se qualcuno riesce a convincere la vittima a consegnargli la chiave per superare i controlli, la sofisticazione degli strumenti rischia di diventare insufficiente.

Il futuro della sicurezza finanziaria si giocherà sempre più sulla capacità di distinguere un’autorizzazione autentica da una ottenuta con l’inganno. E forse il vero punto debole non è il telefono che usiamo per pagare, ma la facilità con cui possiamo essere indotti a fidarci della persona sbagliata.