Pensa alla cassetta di sicurezza in banca
Per aprire una cassetta di sicurezza servono due chiavi: la tua e quella dell'impiegato. Una sola non basta. I servizi online più importanti, come la banca e SPID, funzionano allo stesso modo. La password è la prima chiave, il codice di verifica che arriva sul tuo telefono è la seconda. Chi conosce solo la password resta fuori dalla porta.
Questo secondo controllo si chiama verifica in due passaggi (o "autenticazione a due fattori"). Se vuoi attivarla anche sulla tua email, trovi i passaggi in Privacy e impostazioni di sicurezza.
Che cos'è un codice di verifica
Un codice di verifica è una sequenza di numeri, di solito 6 cifre (a volte 4 o 8). Il servizio te lo manda nel momento in cui stai facendo qualcosa di importante: entrare da un telefono nuovo, fare un bonifico, pagare online, registrare WhatsApp.
Lo riconosci da tre caratteristiche:
- Dura pochi minuti: se lo inserisci troppo tardi, non vale più e ne devi chiedere un altro.
- Si usa una volta sola: per questo si chiama anche OTP (One-Time Password, si pronuncia o-ti-pi, cioè "password usa e getta").
- Arriva solo a te: sul tuo numero di telefono o nella tua app. È la prova che il telefono è nelle tue mani.
Lo trovi chiamato in tanti modi: codice OTP, codice di sicurezza, codice di conferma, codice temporaneo, PIN usa e getta. Sono tutti la stessa cosa.
Dove arriva il codice
Dipende dal servizio. I casi più comuni:
- Un SMS (un messaggio di testo sul telefono) da parte della banca, di Google, di WhatsApp o del sito dove stai entrando. Il messaggio dice qualcosa come "Il tuo codice è 482 913. Non comunicarlo a nessuno".
- Una notifica nell'app: molte banche non mandano più l'SMS ma un avviso nella loro app. Tocchi la notifica, controlli che cosa stai confermando e approvi con l'impronta o con il viso. Google fa lo stesso con la domanda "Stai tentando di accedere?": tocchi Sì solo se sei tu. A volte ti chiede anche di toccare sul telefono il numero che vedi sullo schermo del computer.
- Un'app che genera codici (per esempio Google Authenticator): mostra un numero che cambia ogni 30 secondi. Si usa per alcuni servizi più tecnici.
- Un'email, oppure una telefonata automatica in cui una voce registrata ti legge il codice: capita con alcuni siti.
Pensala così: il codice è come la firma che il corriere ti chiede quando consegna un pacco. Serve a dimostrare che il pacco è arrivato proprio a te. Se lasci firmare qualcun altro al posto tuo, il pacco lo prende lui.
Quando è normale che te lo chiedano
Il codice ti viene chiesto solo mentre stai facendo qualcosa tu, sullo schermo che hai davanti:
- Quando entri da un telefono o computer nuovo nella posta elettronica o in un social.
- Quando fai un bonifico o paghi online con la carta: per legge, in Europa, i pagamenti online vanno confermati con un secondo controllo. Ne parliamo in Pagamenti digitali.
- Quando accedi con SPID ai servizi pubblici. Trovi i passaggi in SPID: la tua identità digitale.
- Quando installi WhatsApp su un telefono nuovo.
- Quando cambi la password o altri dati importanti dell'account.
In tutti questi casi il codice lo scrivi tu nella casella che vedi sullo schermo. Nessuna persona te lo chiede.
La regola d'oro: il codice non si dice a nessuno
Questa è l'unica cosa da ricordare davvero: il codice di verifica non va mai letto, dettato, inoltrato o scritto a nessuno. A nessuno significa:
Non a chi dice di chiamare dalla banca, da Poste o dalla tua compagnia telefonica.- Non a chi dice di essere la polizia, i Carabinieri o un ufficio pubblico.
- Non al "corriere" che ti telefona o ti scrive per un pacco.
- Non a un amico o parente che ti scrive "ti ho mandato un codice per sbaglio, me lo rimandi?".
- Non a un'assistenza clienti che ti contatta in chat o su WhatsApp.
I codici di consegna sono un'altra cosa, perché non aprono i tuoi account: per alcuni pacchi di valore, per esempio, Amazon ti manda un codice da dire al corriere. Quello si dice solo di persona, al corriere che ti consegna il pacco, mai al telefono o al citofono.
Il motivo della regola è semplice: chi ha il codice può fare l'operazione al posto tuo. Se leggi il codice a qualcuno, stai autorizzando lui a entrare nel tuo conto, a fare quel bonifico o a prendersi il tuo WhatsApp. L'SMS stesso lo dice: "Non comunicarlo a nessuno". Gli operatori veri non ne hanno bisogno, perché il sistema lo controlla da solo.
Ricorda: il codice è la tua seconda chiave. Nessuno che lavora davvero per la banca ti chiederà mai di consegnargliela.
Le truffe che girano intorno al codice
I truffatori sanno che la password da sola non basta più, quindi cercano di farsi dare la seconda chiave. Ecco i trucchi più diffusi:
- Il finto ufficio antifrode: ti chiamano "dalla banca" dicendo che c'è un bonifico sospetto in corso e che, per bloccarlo, devi leggere il codice appena arrivato via SMS. In realtà il bonifico lo stanno facendo loro, e il codice serve per confermarlo. A volte sul telefono compare perfino il numero vero della banca: è un trucco chiamato spoofing e non è una prova di nulla. Trovi altri esempi in Truffe telefoniche: come difendersi.
- Il codice "mandato per sbaglio": un contatto ti scrive su WhatsApp che ti ha inviato un codice per errore e ti chiede di rimandarglielo. A volte è un amico a cui hanno già rubato l'account. Quel codice è il codice di registrazione di WhatsApp: se glielo mandi, il tuo WhatsApp passa nelle sue mani. Se ti è già successo, leggi Cosa fare se ti rubano WhatsApp.
- Il finto corriere: un SMS dice che un pacco è fermo e ti chiede di confermare con un codice o con un piccolo pagamento. Non hai ordinato nulla? È una truffa. Se aspetti davvero un pacco, controlla dall'app o dal sito del negozio, non dal link.
- L'SMS nella stessa conversazione della banca: il messaggio truffa può comparire nello stesso elenco dei messaggi veri della banca. Anche questo è spoofing: guarda cosa ti chiede il messaggio, non dove compare.
Il campanello d'allarme è sempre lo stesso: qualcuno ti chiede il codice. Chi te lo chiede al telefono, per messaggio o in chat è il truffatore, senza eccezioni.
Se ti arriva un codice che non hai chiesto
Un codice che arriva senza che tu stia facendo nulla significa una cosa: qualcuno ha la tua password (o il tuo numero) e sta provando a entrare. Il sistema lo ha fermato proprio perché gli manca la seconda chiave.
- Non inserirlo da nessuna parte e non rispondere all'SMS.
- Non cliccare su eventuali link nel messaggio.
- Appena puoi, apri l'app o il sito ufficiale (non dal link) e cambia la password di quel servizio. I consigli per sceglierne una buona sono in Cosa sono le password.
- Se il codice riguarda la banca, chiamala al numero stampato sul retro della carta e racconta cosa è successo.
- Se il codice era di WhatsApp, attiva la verifica in due passaggi di WhatsApp. Su Android tocca i tre puntini in alto a destra, poi Impostazioni > Account > Verifica in due passaggi. Su iPhone tocca la scheda Tu, poi Account > Verifica in due passaggi. In tutti e due i casi, scegli una password che conosci solo tu e scrivila nel quadernino.
Non ti preoccupare se ricevi un codice a sorpresa: non è successo niente. Il codice è arrivato a te, non a chi stava provando a entrare.
Se hai già dato il codice a qualcuno
Capita, e non c'è niente di cui vergognarsi: questi truffatori sono bravissimi. L'importante è fare in fretta:
- Chiudi la chiamata o la chat, anche a metà frase.
- Chiama subito la banca al numero sul retro della carta (o vai in filiale) e chiedi di bloccare le operazioni e la carta. Prima lo fai, più è facile fermare il bonifico.
- Cambia la password dell'account coinvolto e, se puoi, di quelli con la stessa password.
- Se il codice era di WhatsApp, apri WhatsApp e registra di nuovo il tuo numero con il codice a 6 cifre che ti arriva via SMS. Così il truffatore viene disconnesso. Se WhatsApp ti chiede un PIN o una password che non conosci, è un blocco messo dal truffatore: dopo 7 giorni puoi entrare senza. Leggi Cosa fare se ti rubano WhatsApp.
- Fai una segnalazione alla Polizia Postale su commissariatodips
.it . Se hai perso dei soldi, fai anche una denuncia: quella si fa di persona, alla Polizia o ai Carabinieri.
I passaggi completi sono in Truffe telefoniche: come difendersi.
Se qualcosa va storto
- Se il codice non arriva, aspetta un paio di minuti: gli SMS a volte sono lenti. Controlla di avere campo, che la modalità aereo sia spenta e che il numero registrato sul servizio sia quello del telefono che hai in mano. Poi tocca Invia di nuovo o Non hai ricevuto il codice?
- Se il sito dice "codice non valido", controlla di aver copiato tutte le cifre nell'ordine giusto e senza spazi. Se sono passati più di qualche minuto, chiedine uno nuovo: quello vecchio è scaduto.
- Se ricevi due codici, usa sempre l'ultimo arrivato.
- Se cambi numero di telefono, i codici continuano ad arrivare al numero vecchio. Aggiorna il numero nelle impostazioni della banca, di Google e degli altri servizi prima di disattivare la vecchia SIM. Se cambi solo compagnia telefonica e tieni lo stesso numero, non devi fare nulla.
- Se hai perso il telefono, i codici arrivano lì. Leggi Cosa fare se perdi il telefono o te lo rubano.
Non ti preoccupare se sbagli a scrivere il codice: puoi riprovare. Se continua a non andare, chiedine uno nuovo con Invia di nuovo e non insistere troppe volte: alcuni servizi, dopo molti errori, ti fanno aspettare un po'.
Consigli utili
- Leggi sempre cosa stai confermando: la notifica della banca dice l'importo e il destinatario. Se non corrispondono a quello che stai facendo tu, non approvare: rifiuta l'operazione e chiama la banca.
- Attiva la verifica in due passaggi almeno sull'email e sui social (la banca la usa già per legge): è la seconda serratura che rende inutile una password rubata.
- Tieni aggiornato il numero di telefono collegato ai tuoi account.
- Chi ti chiede il codice al telefono o per messaggio è il truffatore, sempre. Chiudi e chiama tu la banca al numero sulla carta.
Ora hai la seconda chiave!
Un codice di verifica è la seconda chiave dei tuoi account: arriva solo a te, dura pochi minuti e si usa una volta sola. Lo scrivi tu nella casella sullo schermo, e non lo dici mai a nessuno, per nessun motivo. Con questa regola in tasca, anche una password rubata non serve a niente.
Hai trovato una parola che non conosci? È spiegata nel