hub.hariolas.com è una truffa: il dominio di nove giorni e il conto svuotato dall'interno

Premessa: siamo uno studio di avvocati e ci occupiamo esclusivamente di truffe online e di abusivismo finanziario. Questo articolo nasce da un caso reale trattato dallo Studio e viene pubblicato in forma anonima quanto alla persona offesa, per finalità di pubblica utilità. I dati tecnici derivano da verifiche sui registri pubblici dei domini eseguite alla data di pubblicazione. Se ti riconosci in quanto leggi, puoi sottoporci la tua posizione compilando il form in fondo a questa pagina.

Due giorni dopo l'ultimo bonifico su hub.hariolas.com, la persona offesa ha scoperto che qualcuno era entrato nel suo conto corrente e lo aveva svuotato. La banca ha bloccato il rapporto. Lei, per sicurezza, ha resettato il telefono — e così ha perso tutte le immagini delle conversazioni e della piattaforma.

hub.hariolas.com è una truffa, e questo caso serve a spiegare due cose che quasi nessuno sa: che il prelievo non autorizzato dal conto è giuridicamente un'altra cosa rispetto alla truffa, con regole molto più favorevoli alla vittima; e che resettare il telefono dopo una violazione è l'errore più costoso che si possa fare. Lo Studio ha già trattato questo caso.

Perché hub.hariolas.com è una truffa: un dominio di nove giorni

Cominciamo dal dato di hub.hariolas.com che, da solo, avrebbe dovuto fermare tutto.

Nell'indirizzo hub.hariolas.com il nome che conta non è "hub", che è soltanto un sottodominio scritto da chi gestisce il dominio: il dominio vero è hariolas.com. E hariolas.com risulta registrato il 5 novembre 2026, con scadenza a un anno.

L'ultimo bonifico della persona offesa è del 6 novembre 2026. Il giorno dopo la registrazione.

Significa che, nel mezzo di un rapporto che durava già da settimane, la vittima è finita su hub.hariolas.com: cioè, l'organizzazione ha spostato la vittima su un indirizzo nato il giorno prima. È il comportamento tipico di chi cambia vetrina appena la precedente comincia a essere segnalata: il nome si getta, la struttura resta.

Alla data di questo articolo hub.hariolas.com è ancora attivo, e il dominio è appoggiato a un servizio che maschera il server di origine. Ha nove giorni di vita.

Chiediamoci cosa significa in concreto un dominio come hariolas.com, perché è la lezione che vale per chiunque stia leggendo: a nessuno verrebbe in mente di consegnare i risparmi a una società costituita ieri, senza sede e senza nome. Ma quasi nessuno controlla l'età del dominio prima di fare un bonifico, e quel controllo è gratuito, richiede trenta secondi e si fa su qualunque servizio pubblico di interrogazione dei registri. Una piattaforma finanziaria seria ha un dominio vecchio di anni. Un dominio di pochi giorni o di pochi mesi, con registrazione annuale, è una vetrina temporanea.

C'è però anche una buona notizia, ed è il motivo per cui sul caso hub.hariolas.com bisogna muoversi ora. Finché il dominio è registrato e attivo, presso il registrar e presso il servizio DNS esistono il nominativo dell'account, l'email di registrazione, il metodo di pagamento, gli indirizzi IP di accesso e l'elenco degli altri domini intestati al medesimo account. Sono dati che si ottengono solo con una richiesta dell'autorità giudiziaria, e che vanno chiesti espressamente nell'atto. Quando il dominio scade o viene cancellato, quella strada si chiude.

Il punto che cambia tutto: il prelievo dal conto non è la truffa

Qui sta il valore pratico di questo articolo su hub.hariolas.com, e vale per chiunque si sia trovato nella stessa situazione.

Nel caso di hub.hariolas.com ci sono due condotte diverse, e vanno tenute rigorosamente separate perché hanno regole opposte.

La prima sono i bonifici verso hub.hariolas.com che la persona offesa ha disposto lei stessa, ingannata sulle ragioni ma consapevole del gesto. Su questi non opera la tutela prevista per le operazioni non autorizzate: l'ordine è stato dato dal titolare, e il recupero passa dalla via penale, dal sequestro e dalla ricostruzione dei flussi.

La seconda è l'accesso al conto corrente e il prelievo delle somme da parte di terzi. Questa è un'operazione di pagamento non autorizzata, disciplinata dal d.lgs. 11/2010, ed è un mondo completamente diverso.

Ecco le regole, in sintesi, perché quasi nessuno le conosce:

L'utente deve comunicare alla banca l'operazione non autorizzata senza indugio, appena ne ha conoscenza, e comunque entro i termini di legge. Questa comunicazione è il presupposto di tutto: va fatta subito e per iscritto, non solo al telefono.

La banca, ricevuta la comunicazione, deve rimborsare l'importo entro la fine della giornata operativa successiva, salvo che abbia il fondato sospetto di una frode dell'utente, che deve comunicare per iscritto all'autorità.

L'onere della prova è della banca, non del cliente. È l'intermediario a dover dimostrare che l'operazione era stata autenticata, correttamente registrata e non inficiata da guasti. E la sola registrazione dell'operazione non basta a provare che il cliente l'abbia autorizzata o che abbia agito con dolo o colpa grave.

L'utente sopporta una franchigia limitata per le operazioni non autorizzate derivanti dall'uso di uno strumento smarrito o sottratto. Sopporta invece l'intera perdita soltanto se ha agito con dolo o colpa grave, e la colpa grave va dimostrata in concreto, non presunta.

E c'è un punto decisivo, spesso dirimente: se l'operazione è stata eseguita senza che la banca abbia applicato l'autenticazione forte del cliente, l'intermediario non può opporre al cliente la mera registrazione. Vale la pena verificare sempre se l'operazione contestata abbia effettivamente richiesto un secondo fattore e quale.

Infine, lo strumento pratico: oltre al reclamo scritto alla banca, esiste l'Arbitro Bancario Finanziario, un sistema di risoluzione stragiudiziale gratuito per il cliente, al quale ci si rivolge dopo il reclamo rimasto senza esito positivo. È la via più rapida ed è quella in cui questa materia è stata decisa migliaia di volte.

Quindi, a chi si trova nella condizione descritta: il bonifico che hai fatto tu e il prelievo che hanno fatto loro non si mettono nello stesso calderone. Il secondo va contestato alla banca, per iscritto, oggi.

Cosa fare quando scopri che sono entrati nel conto

Mettiamo in ordine le operazioni da compiere dopo una vicenda come quella di hub.hariolas.com, perché l'ordine conta.

Primo: bloccare, non cancellare. Si blocca lo strumento di pagamento e si fanno sospendere le credenziali. Non si cancella nulla, non si chiude nulla, non si "ripulisce" nulla.

Secondo: comunicare per iscritto. Reclamo alla banca con l'elenco puntuale delle operazioni disconosciute, data, ora, importo e beneficiario, con richiesta espressa di rimborso ai sensi della disciplina sulle operazioni non autorizzate e di conservazione dei log di autenticazione. La data di questa comunicazione è il perno di tutta la posizione.

Terzo: chiedere i log. Alla banca va chiesto, già nel reclamo, di conservare e produrre i dati di autenticazione dell'operazione: quale dispositivo, quale canale, quale secondo fattore, quale indirizzo IP. Se un domani la banca oppone la colpa grave, sono quei dati a decidere.

Quarto: la denuncia. L'accesso al conto altrui integra l'accesso abusivo a un sistema informatico dell'art. 615-ter c.p., autonomo rispetto alla truffa, e il trasferimento delle somme operando sul sistema integra la frode informatica dell'art. 640-ter c.p. Se sono state carpite le credenziali, rileva anche la detenzione e diffusione abusiva di codici di accesso dell'art. 615-quater c.p. Sono tutti reati distinti dall'art. 640, e vanno contestati separatamente, non assorbiti nella narrazione della truffa.

Quinto: e qui viene la parte che nessuno dice.

Non resettare il telefono

Nel fascicolo hub.hariolas.com, scoperto il prelievo, la persona offesa ha fatto la cosa che istintivamente sembra più sicura: ha resettato il telefono. Il risultato è che le prove sono sparite — le conversazioni, le schermate della piattaforma, i cosiddetti certificati con i grafici dei guadagni che le erano stati mostrati.

Diciamolo chiaramente, perché è un messaggio che può salvare molti fascicoli: dopo una violazione non si resetta il dispositivo. Il reset non rimuove un problema che ormai non è più nel telefono: il denaro è già uscito, le credenziali sono già note, i dati sono già in mano altrui. Rimuove solo l'unica cosa che era ancora vostra, cioè la prova.

La sequenza corretta è un'altra: si isola il dispositivo, si cambia tutto dall'esterno (credenziali bancarie e di posta da un altro apparecchio, revoca delle sessioni attive, disattivazione di eventuali app di accesso remoto), si esporta nativamente tutto il contenuto rilevante, e solo dopo, se serve, si procede a una pulizia — idealmente con l'assistenza di chi sa fare una copia forense.

E se il reset è già avvenuto? Non è detto che sia tutto perduto, e vale la pena saperlo:

I backup lato server delle applicazioni di messaggistica possono conservare le conversazioni; il backup su cloud dell'account del telefono spesso conserva le immagini; la banca conserva per obbligo di legge tutta la movimentazione e i dati dell'operazione contestata; il gestore telefonico conserva i tabulati; e la controparte — la piattaforma, il destinatario dei bonifici, il gestore del dominio — conserva ciò che ha, ed è raggiungibile solo dall'autorità. Il reset ha cancellato la vostra copia, non l'originale che sta altrove. Per questo l'atto deve contenere le istanze di acquisizione presso tutti questi soggetti.

Il riconoscimento facciale: il dato più grave di tutti

Nel fascicolo hub.hariolas.com la persona offesa ha consegnato, su richiesta, un pacchetto di dati che vale la pena elencare per intero: carta d'identità, nome e cognome, IBAN, indirizzo email, numero di cellulare, bollette a riprova della residenza, credenziali di accesso e un riconoscimento facciale.

Non è una lista casuale, ed è quella che hub.hariolas.com ha chiesto. È esattamente il corredo richiesto dalle procedure di verifica a distanza degli istituti di pagamento e delle piattaforme di scambio. Chi lo possiede ha quanto serve per tentare di aprire rapporti a nome altrui.

Il riconoscimento facciale merita un paragrafo a sé. Si tratta di un dato biometrico, appartenente alla categoria dei dati che il regolamento europeo sulla protezione dei dati tutela in modo rafforzato. Non è una password: non si cambia. Una volta consegnato un video di verifica dell'identità, quel materiale resta utilizzabile.

Le conseguenze pratiche sono due. Sul piano penale, rileva la sostituzione di persona dell'art. 494 c.p. e il rischio concreto che somme provenienti da altre truffe transitino su rapporti aperti con i dati della vittima, con l'esito paradossale di una contestazione di riciclaggio a suo carico. Sul piano civile e amministrativo, la consegna indebita di dati biometrici può essere portata all'attenzione dell'autorità di controllo per la protezione dei dati.

Per questo nell'atto va inserito un disconoscimento espresso e datato: la dichiarazione di non aver aperto né autorizzato alcun rapporto con quei documenti, di disconoscere ogni operazione effettuata con essi e di aver consegnato il materiale biometrico su induzione fraudolenta. È una riga che costa nulla e che, il giorno in cui arriva una contestazione, vale moltissimo.

"Faccio finta di collaborare ancora": perché è pericoloso

C'è un punto del caso hub.hariolas.com che merita onestà, perché la persona offesa, al momento del nostro primo colloquio, aveva scelto di continuare a fingere di collaborare con l'organizzazione per guadagnare tempo.

L'intenzione è comprensibile e l'istinto investigativo pure. Ma va detto che è una scelta rischiosa e che, nella nostra esperienza, produce più danni che vantaggi.

Chi è ancora dentro hub.hariolas.com continua a essere lavorato. E la fase successiva è prevedibile: quando capiscono che non arriveranno altri versamenti, cambiano registro. Si presentano come autorità, come polizia, come agenzia fiscale, come società di recupero incaricata. Oppure passano alle minacce e alla pressione psicologica. È il momento in cui molte persone, già svuotate, versano l'ultima somma che non avevano.

Il consiglio corretto è: si esporta tutto, poi si chiude. Le conversazioni già avvenute sono prova a sufficienza; quelle future non aggiungono nulla di decisivo e espongono a un rischio reale.

E soprattutto: non si versa un altro euro, in nessuna forma e con nessuna motivazione. Quando, dopo i versamenti, la vittima di hub.hariolas.com ha chiesto indietro il proprio denaro, la risposta è stata che per riaverlo bisognava pagare ancora. Quella non è una procedura: è la seconda truffa, e la prospettazione di un male ingiusto per ottenere un pagamento non dovuto va valutata anche sotto il profilo della tentata estorsione.

Il quadro giuridico

I fatti di hub.hariolas.com sono dell'autunno 2026, quindi successivi all'entrata in vigore della legge 90/2024: si applica l'art. 640 comma 2-ter c.p., che aggrava la truffa commessa a distanza mediante strumenti informatici idonei a ostacolare l'identificazione dell'autore. Qui l'ostacolo è evidente: dominio di pochi giorni, servizio di mascheramento del server, bonifici esteri e trasferimenti in criptovaluta verso wallet.

Nel fascicolo hub.hariolas.com si aggiungono la minorata difesa dell'art. 61 n. 5 c.p., richiamata dall'art. 640 comma 2 n. 2-bis, e il danno patrimoniale di rilevante gravità dell'art. 61 n. 7 c.p.

Vanno contestati separatamente, come detto, l'accesso abusivo dell'art. 615-ter c.p., la frode informatica dell'art. 640-ter c.p., la sostituzione di persona dell'art. 494 c.p. e, in relazione ai conti riceventi, il riciclaggio dell'art. 648-bis c.p. L'offerta di servizi di investimento senza autorizzazione integra l'abusivismo dell'art. 166 TUF, perseguibile d'ufficio.

Sul termine: la truffa semplice è procedibile a querela entro tre mesi dalla notizia del fatto, ex art. 124 c.p. Con un ultimo bonifico del 6 novembre 2026, il termine matura a inizio febbraio 2027. Ma attenzione: per l'accesso abusivo e per la frode informatica valgono regole proprie, e il tempo utile per il reclamo alla banca è molto più breve. La prima cosa da fare non è la denuncia: è il reclamo scritto all'istituto.

Cosa mettere al sicuro subito

Chi ha versato su hub.hariolas.com deve conservare ricevute e contabili di tutti i bonifici, con beneficiario, IBAN, BIC, Paese e causale. L'estratto conto con le operazioni disconosciute evidenziate, data e ora. Copia del reclamo inviato alla banca e della relativa ricevuta. L'indirizzo esatto della piattaforma nella sua forma completa, compreso il sottodominio. Le schermate dei saldi e dei cosiddetti certificati con i grafici, se ancora disponibili, o il backup da cui recuperarle. L'esportazione nativa delle conversazioni. I numeri e gli account utilizzati dai truffatori. L'elenco dei documenti personali consegnati, con l'indicazione espressa del riconoscimento facciale e la data. Gli indirizzi dei wallet di destinazione, se il passaggio è avvenuto in criptovaluta: si scaricano dalla cronologia operazioni del proprio exchange e sono il punto di partenza dell'analisi della catena.

Casi analoghi già trattati dallo Studio

Per chi ha incrociato hub.hariolas.com, sul controllo remoto del dispositivo e sull'accesso abusivo può essere utile la nostra analisi di axi24-cfd.com; sul blocco del prelievo e le somme chieste per sbloccare quelle di eliteclouds.com e di cryptoledgerx.top; sulla lettura corretta di un indirizzo e sui sottodomini quella di tiktok.yalmy.shop; sui domini a vita brevissima quella di artisanworks.vip; sul falso recupero quella di dam.w24platform.com e di m2-recovery. Sul recupero per via civile può interessare il caso risolto di ripetizione dell'indebito.

Se hai versato su hub.hariolas.com: cosa fare adesso

Il quadro è questo. hub.hariolas.com è una truffa servita da un dominio registrato il 5 novembre 2026 — il giorno prima dell'ultimo bonifico della persona offesa —, tuttora attivo e dietro un servizio che ne maschera il server. Il denaro è uscito in parte con bonifici disposti dalla vittima e in parte con un accesso diretto al suo conto corrente. Alla richiesta di restituzione è seguita la richiesta di ulteriori pagamenti.

Se è successo anche a te, l'ordine delle cose è questo: reclamo scritto alla banca per le operazioni che non hai autorizzato, conservazione di tutto senza resettare nulla, e poi l'atto penale con le istanze di acquisizione mentre il dominio è ancora vivo.

Lo Studio ha già trattato questo caso. Puoi sottoporci la tua posizione per una valutazione preliminare.

Se hai subito la stessa truffa, possiamo aiutarti. Compila il form che trovi in fondo a questa pagina.