Truffa Nexi via SMS, l’allarme di Cert-Agid: come riconoscerla e difendersi

Una nuova ondata di messaggi ingannevoli sta colpendo i correntisti italiani: la truffa Nexi via SMS è tornata in forma più sofisticata, e questa volta l’allarme arriva direttamente da Cert-Agid, l’agenzia governativa italiana per la cybersicurezza digitale. La campagna, segnalata nei primi giorni di novembre 2026 e ripresa il 6 novembre dal Corriere della Sera, sfrutta il nome e la reputazione di Nexi — uno dei principali operatori di pagamenti digitali in Italia — per ingannare gli utenti e sottrarre le credenziali di accesso al conto bancario. Il meccanismo è semplice ma efficace, e vale la pena capirlo nel dettaglio per non cadere nella trappola.

Come funziona la truffa Nexi via SMS (smishing)

La tecnica utilizzata dai cybercriminali si chiama smishing, termine che fonde “SMS” e “phishing”: invece di un’email, il vettore d’attacco è il messaggio di testo sul cellulare. Il motivo è strategico. Gli SMS hanno tassi di apertura molto più alti rispetto alle email, e molti utenti li percepiscono ancora come un canale più “sicuro” e ufficiale.

In questo caso specifico, il messaggio ricevuto simula una notifica di addebito Nexi: l’utente viene avvisato di una presunta spesa non autorizzata sul proprio conto o sulla propria carta. Il testo è costruito per generare urgenza immediata, spingendo chi lo riceve ad agire in fretta senza ragionare. A quel punto, il messaggio invita a fare una delle due cose seguenti:

→ Leggi anche: Agcom multa Retelit e Tekmind: 822.500 euro per le chiamate mascherate

• Chiamare un numero telefonico fraudolento, dove un operatore finto guida la vittima verso la divulgazione delle proprie credenziali bancarie.
• Cliccare su un link ingannevole che rimanda a una pagina contraffatta, progettata per sembrare il sito ufficiale di Nexi o della propria banca, dove vengono richiesti username, password e talvolta codici OTP.

Secondo quanto riportato da Fastweb nella propria guida di sicurezza digitale, i messaggi simulano allerte per spese non autorizzate in modo particolarmente credibile. La grafica del testo, il tono formale e persino il mittente visualizzato possono sembrare autentici, perché i truffatori sono in grado di falsificare l’header del mittente SMS, facendo apparire il messaggio come se provenisse davvero da “Nexi”.

Perché l’allarme di Cert-Agid è da prendere sul serio

Cert-Agid — il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale — è l’ente ufficiale che monitora le minacce informatiche che colpiscono cittadini e imprese italiane. Quando Cert-Agid emette un avviso su una campagna specifica, significa che il fenomeno ha raggiunto una scala e una diffusione tali da richiedere attenzione pubblica. Non si tratta di un singolo episodio isolato, ma di una campagna organizzata e strutturata.

L’allarme sulla truffa Nexi SMS è stato confermato in modo indipendente da più fonti: QuiFinanza, il Corriere della Sera, Altroconsumo, Fastweb e Virgilio hanno tutti riportato il fenomeno con dettagli coerenti tra loro. Altroconsumo, in particolare, ha pubblicato una guida pratica per aiutare i consumatori a riconoscere questo tipo di messaggio fraudolento. La convergenza di fonti così diverse — dalla stampa generalista alle testate di settore, fino all’associazione dei consumatori — conferma che la campagna è attiva e in corso.

I segnali che rivelano un SMS truffaldino

Distinguere un messaggio legittimo di Nexi da uno falso non è sempre immediato, ma ci sono elementi ricorrenti che devono far scattare un campanello d’allarme:

→ Leggi anche: Catasto, Agenzia delle Entrate avvia controlli: 20mila lettere di compliance per immobili non dichiarati

• Urgenza esasperata: frasi come “agisci subito”, “entro 24 ore” o “il tuo conto è a rischio” sono progettate per impedire al destinatario di ragionare con calma.
• Link abbreviati o sospetti: gli URL nei messaggi fraudolenti spesso non corrispondono al dominio ufficiale di Nexi (nexi.it) e possono contenere varianti ortografiche o domini stranieri.
• Richiesta di credenziali via SMS o telefono: Nexi, come qualsiasi istituto finanziario regolamentato, non chiede mai password, PIN o codici OTP tramite SMS o durante una telefonata in entrata.
• Mittente apparentemente corretto ma contenuto anomalo: anche se il mittente visualizzato è “Nexi”, questo non garantisce l’autenticità del messaggio, perché il nome del mittente può essere falsificato.

Cosa fare se si riceve il messaggio

La risposta corretta è semplice ma richiede disciplina: non cliccare su nessun link e non chiamare il numero indicato nell’SMS. Se si ha il dubbio che la propria carta o il proprio conto siano effettivamente stati coinvolti in una transazione sospetta, il canale giusto è uno solo: contattare direttamente Nexi attraverso i recapiti ufficiali pubblicati sul sito nexi.it, oppure chiamare la propria banca usando il numero sul retro della carta.

In caso si sia già cliccato sul link o fornito dati personali, è necessario agire con rapidità:

• Cambiare immediatamente la password dell’home banking.
• Contattare la propria banca per bloccare eventuali transazioni in corso e segnalare l’accaduto.
• Presentare una denuncia alle forze dell’ordine, allegando il messaggio ricevuto come prova.
• Segnalare il numero o il link fraudolento a Cert-Agid tramite i canali ufficiali dell’agenzia.

Il contesto più ampio: perché Nexi è un bersaglio ricorrente

Nexi è uno dei brand più riconoscibili nel settore dei pagamenti digitali in Italia, il che la rende un bersaglio naturale per i cybercriminali. Più un marchio è diffuso e associato a operazioni finanziarie quotidiane, più è utile come esca: la probabilità che il destinatario di un SMS abbia davvero una carta Nexi, o abbia effettuato una transazione recente, è statisticamente alta. Questo aumenta la credibilità percepita del messaggio.

Lo smishing finanziario — che colpisce brand come Nexi, ma anche istituti bancari e servizi di pagamento online — è una delle forme di frode digitale in più rapida crescita. La difesa più efficace rimane la consapevolezza: sapere che esiste questa truffa, riconoscerne i meccanismi e non cedere all’urgenza artificiale costruita nel messaggio è già, da solo, il filtro più potente a disposizione di chiunque abbia uno smartphone in tasca.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.