Quel foglietto che lasci al bancomat può costarti caro: i rischi nascosti delle ricevute cartacee

Ogni giorno, milioni di persone in tutto il mondo ritirano contante da uno sportello automatico e poi fanno sempre la stessa cosa: lasciano la ricevuta nel cestino accanto alla macchina, o nel migliore dei casi la infilano in tasca per dimenticarla lì. È un gesto automatico, quasi invisibile. Eppure, quel rettangolo di carta termica sbiadita — con la data, l’ora, il luogo del prelievo, l’importo e le ultime cifre della carta — può diventare il primo tassello di una truffa bancaria fin troppo concreta.

Come una ricevuta dimenticata diventa un’arma nelle mani dei truffatori

Le truffe finanziarie moderne non assomigliano quasi mai a quelle dei film. Non ci sono hacker incappucciati davanti a schermi verdi, nessuna irruzione digitale spettacolare. C’è invece qualcosa di molto più banale: un pezzo di carta raccattato dal bordo di uno sportello e una voce al telefono sufficientemente sicura di sé.

Il meccanismo è quello dell’ingegneria sociale, cioè la capacità di manipolare una persona usando informazioni reali per costruire una storia credibile. La ricevuta del bancomat, presa da sola, sembra poca cosa. Ma quando un truffatore la usa come copione — “la chiamo per il prelievo effettuato oggi alle 15.12 allo sportello di via X” — il cervello dell’interlocutore abbassa la guardia. Quelle informazioni sono vere. Quindi anche il resto, ragiona inconsciamente la vittima, potrebbe esserlo.

Da lì, il passo verso la richiesta di codici PIN, password o autorizzazioni su app bancaria è breve. L’ABI (Associazione Bancaria Italiana) è esplicita sul punto: le banche non chiedono mai ai clienti di fornire direttamente i propri codici personali di accesso, e invitano a diffidare da qualsiasi richiesta urgente di credenziali o dati sensibili. Chi pretende fretta, quasi sempre, vuole impedire di pensare.

Il contesto vale più dei dati: perché i frammenti si trasformano in storie

Nell’ecosistema delle frodi finanziarie, il valore di un’informazione non dipende solo da ciò che contiene, ma da quello che permette di costruire insieme ad altre. Le attività fraudolente nel settore dei servizi finanziari sono aumentate del 21% tra il 2024 e il 2025, e i meccanismi alla base di questa crescita sono spesso sorprendentemente low-tech.

Una ricevuta del bancomat abbandonata, da sola, raramente basta a svuotare un conto. Il danno nasce quando quel dato viene incastrato con altri frammenti: un numero di telefono già disponibile online, un indirizzo email emerso da una vecchia fuga di dati, un profilo social troppo generoso con le informazioni personali. Nel 2024, la Federal Trade Commission ha ricevuto 2,6 milioni di denunce di frode, il 38% delle quali si è tradotto in perdite per oltre 12 miliardi di dollari — due miliardi in più rispetto all’anno precedente.

Le truffe moderne raccattano briciole e le trasformano in narrazioni plausibili. Il foglietto del bancomat è una di quelle briciole, e ignorarne il potenziale è esattamente l’errore che i truffatori contano di poter sfruttare.

Carta termica, dati sensibili e un doppio rischio che in pochi conoscono

C’è però un aspetto ulteriore, ancora meno discusso, che riguarda proprio la natura fisica della carta su cui le ricevute vengono stampate. La carta termica — quella usata da ATM, casse dei supermercati, biglietterie e distributori di carburante — contiene tradizionalmente agenti chimici sviluppatori a base di bisfenoli, in particolare il BPA (bisfenolo A) e, più di recente, il suo sostituto BPS (bisfenolo S).

Il BPA è presente nella carta termica e tende a trasferirsi facilmente sulla pelle al semplice contatto, venendo poi assorbito per via transdermica. I lavoratori che maneggiano frequentemente ricevute in carta termica presentano livelli di BPA nelle urine significativamente più elevati rispetto alla media. Tra il 2017 e il 2022 molte grandi aziende hanno sostituito il BPA con il BPS, ma anche quest’ultimo è considerato un interferente endocrino, il che significa che può interferire con il sistema ormonale umano.

Negli Stati Uniti non esiste ancora un divieto federale per l’uso di BPA o BPS nella carta termica, sebbene alcuni Stati — come Washington — abbiano approvato legislazioni locali che entreranno in vigore nel 2026. La fotografia complessiva è quella di un rischio chimico concreto, quotidiano e largamente sottovalutato.

Smettere di stampare: la difesa più semplice è anche la più efficace

Di fronte a un rischio che è al tempo stesso informatico, psicologico e chimico, la risposta più efficace è anche la più immediata: smettere di stampare la ricevuta, o quantomeno smettere di abbandonarla.

Quando si tratta di proteggere la propria identità e le proprie informazioni finanziarie, la Federal Trade Commission raccomanda di distruggere i documenti che contengono dati personali o finanziari prima di buttarli. Ricevute ATM, estratti conto e offerte di carte di credito andrebbero passati al tritadocumenti prima di finire nel cestino. Non è un consiglio da paranoici: è igiene digitale di base, applicata alla carta.

Oggi quasi tutte le operazioni bancarie sono tracciabili in tempo reale attraverso le app degli istituti di credito o l’home banking. Stampare un foglio per poi abbandonarlo accanto allo sportello è una doppia leggerezza: genera un rifiuto difficilmente riciclabile — la carta termica non è compatibile con la raccolta differenziata — e regala dettagli potenzialmente preziosi a chiunque passi di lì con le intenzioni sbagliate.

Cosa fare (e cosa non fare) se arriva una chiamata sospetta

Anche adottando tutte le precauzioni del caso, nessuno è completamente al riparo. Le banche sono spesso impersonate in modo convincente, e le tecniche di spoofing permettono ai truffatori di mascherare il proprio numero con quello ufficiale dell’istituto. In questo scenario, molti schemi di frode informatica si basano sul convincere le vittime ad autorizzare autonomamente trasferimenti o pagamenti, il che rende il recupero delle somme particolarmente difficile perché non esiste alcun “hack” tecnico da invertire.

La regola d’oro rimane semplice: se una chiamata non è stata attesa e richiede dati, codici o autorizzazioni immediate, si chiude. Senza spiegazioni, senza sentirsi scortesi. Si richiama poi la banca usando il numero ufficiale — quello sul retro della carta, sull’app o sul sito istituzionale. Chi lavora davvero per proteggere il cliente può aspettare trenta secondi. Chi pretende urgenza, quasi sempre, ha bisogno di impedire alla vittima di verificare.

Il foglietto del bancomat, alla fine, non è innocuo come sembra. È piccolo, è leggero, sembra già dimenticato nel momento stesso in cui lo si lascia andare. Ma porta con sé un indirizzo, un orario, un importo: abbastanza, nelle mani sbagliate, per far sembrare vera una bugia.