La risposta breve
Un codice di verifica è una chiave, non un promemoria della password. Esiste perché chi effettua l’accesso possa dimostrare di essere il proprietario dell’account. Quando qualcuno che non hai contattato ti chiede di condividere quel codice, la richiesta mira a entrare nel tuo account, per quanto amichevole o ufficiale possa sembrare il chiamante.
I codici di verifica dell’account sono destinati al processo di autenticazione del proprietario dell’account. Fonte
Questo singolo fatto risolve gran parte della decisione. Non devi mai consegnare un codice di accesso a un chiamante, perché il codice non è per il chiamante. È per la schermata di accesso davanti a te.
Tre situazioni che sembrano simili ma non lo sono
La confusione di solito nasce dal confondere tre momenti diversi: un accesso che hai avviato tu, un codice che qualcun altro vuole e un controllo su chi sta realmente chiamando. Richiedono azioni diverse.
| Situazione | Cosa sta succedendo | Cosa fare |
|---|---|---|
| Hai aperto un accesso o un’app e arriva un codice per completarlo | Sei tu che stai effettuando l’accesso e il codice completa la tua azione | Inserisci il codice nella schermata che hai aperto. Non inoltrarlo a nessun altro |
| Un chiamante non richiesto ti chiede di leggere o inviare un codice | Qualcun altro sta cercando di completare un accesso come te | Non condividerlo. Interrompi il contatto |
| Vuoi confermare che il chiamante sia autentico | Ti serve un canale di cui ti fidi già, non il numero del chiamante | Riaggancia e contatta l’organizzazione tramite un canale conosciuto |
La riga centrale è quella che conta di più. Il codice è utile solo a chi tenta di effettuare l’accesso, quindi una richiesta di codice è una richiesta di accesso.
I truffatori possono impersonare un’organizzazione affidabile e chiedere il codice per ottenere l’accesso all’account. Fonte
Perché il numero del chiamante non basta
Un chiamante può affermare di essere di una banca, del team di supporto di una piattaforma o di qualsiasi organizzazione con cui hai a che fare. L’ID chiamante, un numero di riferimento o un tono calmo non provano chi sia all’altro capo del filo. La mossa sicura è smettere di usare il canale controllato dal chiamante e passare a uno che hai scelto tu.
La FTC consiglia di interrompere il contatto non richiesto e di chiamare l’organizzazione in modo indipendente usando un estratto conto o un contatto dell’app di cui ti fidi, non il numero fornito dal chiamante. Fonte
Questa è la parte che le persone saltano. Riagganciare non basta se poi richiami il numero che ti ha dato il chiamante, perché così torni alla stessa persona. Usa un canale di contatto che avevi già: un estratto conto, un’app, un contatto salvato o una pagina ufficiale a cui accedi da solo.
Una lista di controllo da seguire sul momento
- Metti in pausa la conversazione. Non confermare, negare o leggere nulla mentre il chiamante sta ancora parlando.
- Chiediti chi ha avviato l’accesso. Se non hai aperto tu un accesso, nessun codice dovrebbe andare a qualcun altro.
- Interrompi il contatto non richiesto. Non devi spiegazioni a uno sconosciuto.
- Non usare il numero del chiamante. Cerca l’organizzazione tramite un canale di cui ti fidi già.
- Contatta tu stesso l’organizzazione e chiedi se c’è un problema reale con il tuo account.
- Se è arrivato un codice che non hai richiesto, trattalo come un segnale che qualcuno ha provato ad accedere e segnalalo tramite quel canale affidabile.
Il punto 6 merita di essere separato dagli altri. Un codice che non hai chiesto non è prova di una violazione, ma è un motivo per controllare tramite un canale che controlli tu, non tramite il chiamante.
Percorsi sbagliati da evitare
- “Confermo solo le prime cifre.” Un codice parziale è comunque parte della chiave. Non condividerne nessuna parte.
- “Ho richiamato il numero che mi hanno dato e mi hanno confermato che era vero.” Quel numero riporta allo stesso chiamante. Non prova nulla.
- “Il chiamante conosceva già il mio nome, quindi deve essere autentico.” Conoscere dettagli su di te non è prova di identità e non è un motivo per condividere un codice.
- “Lo condivido ora e cambio la password dopo.” Una volta che qualcun altro completa un accesso, la situazione è già cambiata. Fermati prima di condividere, non dopo.
Nessuno di questi percorsi richiede che tu conosca il funzionamento dei menu di una particolare piattaforma. La decisione si prende prima che qualsiasi menu conti: il codice è per il proprietario dell’account, e un chiamante non richiesto non è il proprietario dell’account.
Cosa non copre questa guida
Alcune organizzazioni usano i propri processi di conferma quando sei tu a contattarle per primo. Questi non sono la stessa cosa di un codice di accesso che arriva per un accesso che non hai avviato, e questa guida non tratta ogni fase di conferma del supporto come un codice di accesso. La regola qui è volutamente ristretta: un codice per l’accesso resta con chi effettua l’accesso.
Questa pagina non copre nemmeno la pulizia di un account dopo uno spavento, la modifica delle impostazioni o la verifica se un profilo è reale. Sono compiti separati.
Un passo successivo utile
La chiamata spesso arriva con una storia: un messaggio, un profilo sui social media o un account di supporto che si dichiara ufficiale. Se vuoi esaminare quella dichiarazione invece della telefonata, il compito successivo è verificare se un account di supporto è autentico. La nostra guida su come verificare account social di falso supporto clienti affronta questa domanda separata.
Una ricerca per nome utente può essere un punto di partenza quando esamini un profilo che ti ha contattato, ma una corrispondenza pubblica è un indizio, non la prova di chi ci sia dietro. Trattala come qualcosa da verificare, non come una conferma.