Alessandro FerrariLa proposta di fusione tra Banco BPM e Monte dei Paschi di Siena (MPS), rilanciata a metà luglio 2026, sta già alimentando una nuova ondata di truffe informatiche ai danni dei correntisti. Il 16 luglio 2026 il Consiglio di amministrazione di MPS si è riunito per valutare l'offerta pubblica di Intesa Sanpaolo, mentre l'amministratore delegato di Banco BPM, Giuseppe Castagna, spinge per un polo da circa 2.900 sportelli. In questo clima di incertezza, i truffatori sfruttano la parola "fusione" per convincere i clienti a consegnare le proprie credenziali bancarie. Ecco perché conviene alzare la guardia adesso.
Che cosa sta succedendo tra Banco BPM e MPS
Come riportato da MilanoFinanza, a luglio 2026 Banco BPM ha passato al board di Monte dei Paschi la decisione su un'ipotesi di fusione, in risposta all'offerta pubblica di acquisto e scambio promossa da Intesa Sanpaolo. Secondo Adnkronos, l'operazione punterebbe a creare il secondo operatore bancario nazionale, con una capitalizzazione vicina ai 50 miliardi di euro.
Il mercato ritiene che un'eventuale intesa debba essere definita prima del 7 agosto 2026, data di pubblicazione dei conti semestrali di Siena. Al di là dei numeri e delle strategie industriali, per milioni di correntisti la notizia si traduce in una sola domanda pratica: "Il mio conto è al sicuro?". Ed è esattamente su questa ansia che fanno leva i cybercriminali.
Perché le fusioni bancarie attirano i truffatori
Ogni grande operazione tra banche genera confusione. I clienti si aspettano comunicazioni ufficiali su nuovi IBAN, migrazioni di home banking, aggiornamenti delle app e reimpostazioni delle carte. I truffatori conoscono bene questo meccanismo e inviano email, SMS e messaggi WhatsApp che imitano la grafica di Banco BPM o MPS.
Il copione è quasi sempre lo stesso. Un messaggio annuncia che "a causa della fusione" il conto verrà bloccato entro poche ore se non si "verifica l'identità" cliccando su un link. La pagina che si apre è una copia quasi perfetta del sito della banca, ma serve solo a rubare username, password e codici usa e getta. È la tecnica del phishing, la stessa già vista in Italia con la finta email dell'aumento NoiPA per i docenti.
La differenza, durante una fusione, è che la truffa appare più credibile: parla di un evento reale, riportato da tutti i giornali. Per questo il periodo tra luglio e i mesi successivi al 2026 è considerato ad alto rischio.
I segnali che smascherano il falso messaggio della banca
Un professionista informatico riconosce una comunicazione fraudolenta da alcuni dettagli ricorrenti. Prima di tutto, l'urgenza: nessuna banca chiude un conto "entro due ore". Poi il mittente: l'indirizzo email o il numero di telefono spesso contengono errori, domini strani o caratteri sospetti.
Altri campanelli d'allarme sono la richiesta di inserire password, PIN o codici OTP tramite un link, gli errori grammaticali e i loghi leggermente sgranati. Una banca vera non chiede mai le credenziali complete via email o SMS. In caso di fusione, inoltre, le comunicazioni ufficiali arrivano con largo anticipo e sono replicate sui canali ufficiali: sito, app e sportelli fisici.
Vale la pena ricordare che, come garantito dal Fondo Interbancario di Tutela dei Depositi, i risparmi restano protetti fino a 100.000 euro per correntista e per banca, a prescindere dalla fusione. Anche i mutui e i finanziamenti in corso mantengono le stesse condizioni. Nessuna operazione societaria obbliga il cliente a "riconfermare" i dati per non perdere il conto.
Come proteggere il conto durante la fusione
La regola d'oro è non cliccare mai sui link ricevuti via email o SMS. Per accedere al conto occorre digitare a mano l'indirizzo del sito o aprire l'app ufficiale scaricata dagli store. Se un messaggio annuncia problemi legati alla fusione, la verifica va fatta chiamando il numero stampato sul retro della carta, non quello indicato nel messaggio sospetto.
È utile inoltre attivare l'autenticazione a due fattori, controllare spesso i movimenti del conto e non condividere mai i codici OTP, nemmeno con chi si presenta come "operatore antifrode". In caso di dubbio, conviene fare uno screenshot del messaggio e conservarlo.
Chi ha già cliccato o inserito dati deve agire subito: bloccare le carte, cambiare le password e segnalare l'accaduto. La denuncia può essere presentata alla Polizia Postale, che sul portale ufficiale commissariato di P.S. online raccoglie le segnalazioni di phishing e frodi informatiche e fornisce indicazioni operative.
Quando conviene rivolgersi a un esperto
Non tutte le situazioni si risolvono con un semplice cambio di password. Se il conto risulta svuotato, se compaiono addebiti non riconosciuti o se i truffatori hanno preso il controllo dell'app, un consulente informatico può aiutare a mettere in sicurezza i dispositivi, ripulire eventuali malware e ricostruire la sequenza dell'attacco per la denuncia. Un supporto tecnico è prezioso anche per le piccole imprese che, in questi mesi di riorganizzazione bancaria, ricevono false comunicazioni sui rapporti aziendali.
La fusione tra Banco BPM e MPS è ancora tutta da definire e, come ha spiegato la stampa economica, i prossimi passaggi dipenderanno dalle scelte dei rispettivi consigli di amministrazione. I correntisti, però, possono già fare la cosa più importante: diffidare di ogni messaggio che usa la parola "fusione" per chiedere dati o accessi. Per un controllo sulla sicurezza dei propri dispositivi o per capire come reagire dopo un tentativo di truffa, è possibile confrontarsi con un esperto di informatica su Expert Zoom.
Per approfondire il tema delle operazioni tra banche dal punto di vista dei clienti, è utile leggere anche l'analisi sulla fusione BPER-Banca Popolare di Sondrio, mentre per riconoscere lo schema tipico delle email fraudolente resta un ottimo esempio il caso della truffa NoiPA sull'aumento dei docenti.
