Una campagna di smishing — il termine tecnico che unisce SMS e phishing — sta circolando in Italia prendendo di mira i clienti di Nexi, uno dei principali operatori di pagamenti digitali del Paese. La truffa Nexi via SMS funziona simulando notifiche ufficiali di addebito o di presunta frode in corso, con l’obiettivo di sottrarre credenziali bancarie e PIN delle carte. A lanciare l’allarme è Cert-AgID, l’agenzia italiana che si occupa di cybersicurezza, che insieme a INPS ha segnalato la diffusione di messaggi fraudolenti progettati per sembrare comunicazioni istituzionali autentiche.
Come funziona la truffa: dal messaggio all’app malevola
Il meccanismo è studiato per essere credibile e rapido. La vittima riceve un SMS che simula una notifica ufficiale di Nexi: il testo segnala un addebito sospetto, un tentativo di frode in corso o un blocco imminente del conto. Il tono è urgente, quasi sempre allarmante. L’obiettivo è far agire il destinatario senza fermarsi a ragionare.
A quel punto il messaggio invita a chiamare un numero di telefono presentato come il servizio antifrode di Nexi. Chi chiama si trova a parlare con un finto operatore, un truffatore che conosce il copione e sa come guadagnare la fiducia dell’interlocutore. La conversazione porta la vittima a compiere due azioni decisive:
- scaricare un’applicazione malevola sul proprio smartphone, spacciata per uno strumento di sicurezza o verifica;
- inserire il PIN della carta all’interno di questa app, convinta di stare completando una procedura di autenticazione legittima.
Una volta ottenuto il PIN e installata l’app, i criminali hanno accesso a tutto ciò che serve per operare sulla carta della vittima. Non si tratta di un semplice furto di dati: la catena completa — messaggio, telefonata, app, PIN — consente di effettuare transazioni reali. È per questo che Nexi stessa ha dedicato materiale informativo specifico a questa tipologia di attacco sul proprio sito ufficiale.
→ Leggi anche: Allarme Tessera Sanitaria, il Ministero della Salute avverte: email truffa in circolazione, ecco come riconoscerle
Il ruolo del Cert-AgID e l’allarme sugli SMS senza link
Uno degli elementi più insidiosi di questa campagna è che i messaggi fraudolenti non sempre contengono link cliccabili. Cert-AgID e INPS hanno segnalato proprio questa caratteristica come un fattore di rischio sottovalutato: molti utenti si sono abituati a diffidare degli SMS con link sospetti, ma quando il messaggio contiene solo un numero di telefono da chiamare, la guardia si abbassa.
Il canale della truffa Nexi via SMS sfrutta questa zona grigia. Non c’è nulla da cliccare, nessun sito clone da visitare in prima battuta. Il vettore principale è la voce: il vishing, cioè il phishing telefonico, si combina con lo smishing iniziale per creare una trappola a più livelli. Cert-AgID ha incluso questa tipologia di attacco nelle proprie segnalazioni proprio perché la mancanza di link rende più difficile il riconoscimento automatico da parte dei filtri antispam.
I segnali che permettono di riconoscere il messaggio falso
Esistono caratteristiche ricorrenti che aiutano a distinguere un SMS autentico di Nexi da uno fraudolento. Conoscerle è il primo strumento di difesa:
- Urgenza artificiale: frasi come “il tuo conto verrà bloccato entro 24 ore” o “transazione sospetta in corso” sono progettate per impedire il pensiero critico.
- Numeri di telefono non verificabili: Nexi non chiede mai ai propri clienti di richiamare numeri comunicati via SMS per risolvere presunte emergenze.
- Richiesta di scaricare app: nessun operatore bancario o di pagamento legittimo chiede di installare un’applicazione durante una chiamata di assistenza.
- Richiesta del PIN: il PIN è un dato che non va mai comunicato a nessuno, in nessuna circostanza, nemmeno a chi si presenta come operatore antifrode.
Lo stesso schema — urgenza, numero da chiamare, app da scaricare, codice da inserire — viene utilizzato anche in truffe che simulano comunicazioni di corrieri o di altri istituti bancari. La variante Nexi è particolarmente diffusa perché il brand è riconoscibile e associato a carte di credito e debito molto usate in Italia.
→ Leggi anche: Svolta Ue sul phishing: le banche costrette a rimborsare entro 24 ore
La documentazione pubblica: il video di Valerio Staffelli
Il 13 ottobre 2026 il noto YouTuber italiano Valerio Staffelli ha pubblicato un video documentario dedicato proprio a questa truffa, contribuendo ad amplificare la consapevolezza pubblica sul fenomeno. La diffusione di contenuti informativi attraverso canali popolari è diventata parte integrante della risposta collettiva a queste campagne, affiancando le comunicazioni ufficiali delle autorità.
Sul fronte istituzionale, Nexi ha pubblicato una pagina dedicata che descrive nel dettaglio il meccanismo dell’attacco, con indicazioni su come comportarsi in caso di ricezione di messaggi sospetti. È una delle poche fonti primarie che ricostruisce la catena completa della frode, dall’SMS iniziale all’installazione dell’app malevola.
Cosa fare se si riceve un SMS sospetto a nome Nexi
La regola principale è semplice ma richiede disciplina: non richiamare mai il numero indicato nell’SMS. Se si ha il dubbio che la propria carta sia stata effettivamente compromessa, bisogna contattare Nexi esclusivamente attraverso i canali ufficiali pubblicati sul sito ufficiale dell’azienda o sul retro della carta stessa, non attraverso numeri ricevuti via messaggio.
Altre indicazioni pratiche:
- Non scaricare mai app su indicazione di un operatore telefonico, anche se si presenta come addetto alla sicurezza.
- Non inserire mai il PIN della carta in nessuna applicazione che non sia il POS fisico o l’app ufficiale della propria banca.
- Segnalare il messaggio sospetto a Cert-AgID attraverso i canali di segnalazione disponibili sul sito dell’agenzia.
- Se si ritiene di essere già stati vittime della truffa, bloccare immediatamente la carta contattando la propria banca e Nexi, e presentare denuncia alla Polizia Postale.
La truffa Nexi via SMS è un esempio di come le campagne di smishing stiano diventando sempre più sofisticate, combinando più tecniche — testo, voce, app — per aggirare sia i filtri tecnologici sia la diffidenza degli utenti più attenti. Riconoscere il meccanismo prima di ricevere il messaggio è l’unica forma di protezione davvero efficace: nessun operatore legittimo chiederà mai di scaricare un’app o comunicare un PIN al telefono, qualunque cosa stia accadendo al conto.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
