Quattro denunce, otto carte clonate, ventimila euro in poche settimane. Ma dietro l’ultima ondata di truffe c’è una storia più lunga, che chiama in causa l’intero ecosistema dei pagamenti sammarinesi.

C’è qualcosa che, nella cronaca delle truffe digitali sul Titano, non torna. Non è la sofisticazione tecnica del raggiro, ormai standardizzata nel panorama europeo del cybercrime. Non è l’inevitabile margine di errore umano della vittima che clicca dove non dovrebbe. È piuttosto un dato di fatto che attraversa cinque anni di segnalazioni e che oggi, dopo l’ultimo allarme della Guardia di Rocca, suona più stridente che mai: il bersaglio è sempre lo stesso.

Klirway. O, per chi non si è ancora abituato al nuovo brand, BKN301. Le carte di altri circuiti — quelle italiane, quelle internazionali emesse altrove — non risultano oggetto della stessa, ricorrente attenzione. Le carte sammarinesi sì. E con una precisione chirurgica che, a questo punto, merita più di una semplice campagna di sensibilizzazione.

Lo schema, ancora una volta

La meccanica è ormai nota agli inquirenti, alle banche e — purtroppo — anche ai cittadini. Telefonata da numero mascherato. Sedicente operatore Klirway. Allarme su una transazione sospetta, spesso ricondotta a una prenotazione su Booking.com (la piattaforma è stata oggetto di una violazione di dati a inizio aprile, e i truffatori sembrano sfruttare proprio quel buco). Invito a installare un’applicazione denominata “Klirway Carte”, che riproduce in tutto e per tutto loghi, nome e interfaccia dell’originale.

Una volta scaricata — esclusivamente da link, mai dagli store ufficiali — l’app si rivela un trojan APK che svuota il conto. La Gendarmeria segnala anche una variante NFCgate: dopo l’installazione, la vittima viene invitata ad appoggiare la carta sul retro dello smartphone “per metterla in sicurezza”, e i dati vengono trasmessi in tempo reale al dispositivo del frodatore, che da quel momento può effettuare prelievi e acquisti contactless come se possedesse fisicamente la carta.

I numeri ufficiali, comunicati dopo il rebrand di marzo: quattro denunce, otto clonazioni, circa ventimila euro sottratti in poche settimane. Cifre che si sommano a un dossier ben più antico.

Cinque anni, un solo bersaglio sistemico

Vale la pena ricordare cosa c’è prima del 2026. Già nel febbraio 2022, l’Unione Consumatori Sammarinesi, ASDICO e Sportello Consumatori avevano denunciato ai vertici dell’allora BKN301 la gravità delle truffe in corso, chiedendo soluzioni rapide, rimborsi per i clienti colpiti e — soprattutto — campagne informative preventive, e non solo emergenziali. Nel 2024, le ricostruzioni giornalistiche parlavano di oltre 400.000 euro sottratti dal 2021 ai correntisti del circuito sammarinese. Nel gennaio 2025, nuova ondata di chiamate fraudolente: stesso modello, stesso istituto bersaglio.

Aprile 2026: si cambia nome — BKN301 diventa Klirway — e il problema, naturalmente, non cambia. Anzi, si aggiorna in tempo reale: i truffatori adottano la nuova denominazione nella stessa finestra in cui il marchio vecchio sparisce dalle comunicazioni ufficiali.

A questo punto la domanda diventa inevitabile. Perché, a parità di tecnologia, di standard internazionali e di profili clientelari, gli altri strumenti di pagamento attivi sul territorio non vengono colpiti con la stessa metodicità? Perché il truffatore — i magistrati seguono una pista che porta verso l’area di Palermo — sa con precisione chirurgica che chi vive a San Marino è, con ogni probabilità, cliente del circuito sammarinese?

Non è una domanda complottista. È una domanda industriale. Un sistema che da cinque anni accusa lo stesso tipo di colpo, sempre nello stesso punto, ha un problema strutturale di esposizione, non solo di percezione.

“Frodi alla persona, non al sistema”: la difesa di Klirway

Federico Zambelli Hosmer, CEO di Klirway, ha tenuto a ribadire un punto in una recente dichiarazione: i sistemi non sono violati, i volumi di frode in percentuale sono in calo rispetto alla crescita dei pagamenti elettronici, e la frode oggi è “alla persona”, non all’infrastruttura. La società conferma che l’unica app autentica si trova esclusivamente su App Store e Google Play, e che chi ha installato la versione fasulla deve procedere a un reset del dispositivo.

È una difesa tecnicamente legittima, e probabilmente accurata sul piano dei sistemi. Ma è anche una difesa che, dopo cinque anni, comincia ad apparire monocorde. Se il rischio è “alla persona”, la responsabilità della formazione preventiva ricade in modo significativo sull’emittente. E qui le associazioni dei consumatori, già nel 2022, avevano messo a verbale un rilievo destinato a ripetersi: la campagna informativa è sempre arrivata dopo gli eventi, mai prima.

Il fattore inquietante: la voce del CEO clonata

C’è poi l’elemento che, più di ogni altro, sposta la vicenda su un piano diverso. In una delle denunce raccolte dagli inquirenti, una vittima ha riferito di essere stata contattata da un sedicente operatore che si è presentato come Stiven Muccioli, fondatore di BKN301. La vittima conosce personalmente l’imprenditore. Dice di averne riconosciuto la voce, l’accento, il tono.

Gli investigatori sospettano l’uso di intelligenza artificiale per la clonazione vocale. Non è un’ipotesi peregrina: gli strumenti consumer per il voice cloning sono accessibili a chiunque dal 2024, bastano pochi secondi di audio prelevato da un’intervista pubblica per ottenere un risultato credibile. E Muccioli, imprenditore con ampia esposizione mediatica nel settore fintech internazionale, ne ha rilasciate molte.

Ma se la matrice è quella, il salto qualitativo è enorme. Pone alla società, e alle autorità di vigilanza, una domanda nuova e scomoda: cosa è stato fatto, sul piano formativo e tecnico, per anticipare uno scenario che da almeno due anni gli analisti di sicurezza danno per inevitabile?

La politica si sveglia. Tardi

Martedì il caso è esploso anche in Commissione Esteri. Nicola Renzi (Rf) ha definito la situazione insostenibile. Gian Matteo Zeppa (Rete) ha chiesto interventi strutturali. Il Segretario Luca Beccari ha promesso un confronto urgente con le autorità di vigilanza e con la Banca Centrale.

Ma è soprattutto Fabio Righi (Motus Liberi) ad alzare il tiro, denunciando come il lavoro sulla classificazione dei dati e sul perimetro cyber nazionale sia stato — testualmente — scientificamente impedito nella scorsa legislatura. Righi tocca un nervo scoperto. La cybersecurity sammarinese, settore in cui pure la Repubblica ha provato a posizionarsi come hub regionale, è un cantiere aperto da troppo tempo. Le truffe Klirway sono il sintomo, non la causa. La causa è una cornice normativa e infrastrutturale lenta, frammentata e — stando alla denuncia in Aula — ostacolata per ragioni che la politica dovrebbe avere il coraggio di chiarire pubblicamente.

Le domande che restano aperte

Resta da capire, in conclusione, alcune cose precise. Da dove arrivano ai truffatori i numeri telefonici dei correntisti del circuito, in modo così mirato e selettivo? Esiste una falla — interna, nella catena dei fornitori, o in qualche partner di servizio — che spieghi la chirurgicità del bersaglio? La segnalazione all’Autorità Garante per la protezione dei dati, ove pertinente, è stata effettuata? La pista palermitana ha collegamenti diretti con la violazione che ha colpito Booking ad aprile, e se sì in che misura?

E soprattutto: dopo cinque anni di stesso schema, due nomi diversi, due loghi e una ridenominazione che doveva inaugurare “una nuova fase di sviluppo per l’ecosistema dei pagamenti digitali”, le rassicurazioni sulla solidità dei sistemi continuano a essere sufficienti?

Klirway ribadisce, giustamente, di non chiedere mai dati sensibili al telefono né di sollecitare il download di applicazioni esterne agli store ufficiali. È un messaggio sacrosanto, e va ripetuto. Ma ai cittadini sammarinesi, oggi, serve qualcosa di più di una nota stampa: serve una risposta politica e industriale alla sola, vera anomalia di questa storia. Perché in cinque anni — sotto due brand diversi, con cifre cumulate ormai a sei zeri e un’evoluzione tecnica del raggiro che oggi sfrutta perfino l’intelligenza artificiale — il bersaglio è sempre rimasto, ostinatamente, lo stesso.