sepa.finance è una truffa: il passaporto falso e la prova sbagliata

Premessa: siamo uno studio di avvocati e ci occupiamo esclusivamente di truffe online e di abusivismo finanziario. Questo articolo nasce da un caso reale trattato dallo Studio e viene pubblicato in forma anonima quanto alla persona offesa, per finalità di pubblica utilità. I dati tecnici derivano da verifiche sui registri pubblici dei domini eseguite alla data di pubblicazione. Se ti riconosci in quanto leggi, puoi sottoporci la tua posizione compilando il form in fondo a questa pagina.

A un certo punto, per dimostrare di essere una persona reale, il sedicente consulente ha mandato alla persona offesa la fotografia del proprio passaporto.

Ci è stata girata, e l'abbiamo verificata. Era falso.

Ma la cosa più importante di questo articolo è un'altra, ed è il motivo per cui vale la pena leggerlo fino in fondo: anche se quel passaporto fosse stato autentico, non avrebbe provato assolutamente nulla.

sepa.finance è una truffa, lo Studio ha già trattato questo caso, e qui spieghiamo perché il documento d'identità è la prova sbagliata — e qual è quella giusta.

Perché sepa.finance è una truffa: un nome che non appartiene a nessuno

Partiamo dal nome di sepa.finance, perché è l'inganno principale.

"SEPA" è la sigla dell'area unica dei pagamenti in euro: un insieme di regole tecniche che rendono uniformi i bonifici e gli addebiti all'interno dell'Unione europea. È una cornice normativa, non un soggetto. Non è una società, non ha clienti, non detiene conti, non gestisce investimenti e non ha piattaforme. Nessuno "investe con SEPA", perché non esiste una SEPA con cui investire.

Chi usa quella sigla come marchio sta facendo una cosa precisa: prendere una parola che chiunque associa a bonifici, banche ed Europa, e appiccicarla a un dominio proprio. Il risultato suona istituzionale e non significa niente.

Lo stesso vale per l'estensione finale: ".finance" non certifica nulla. Non è riservata a intermediari autorizzati, non richiede alcun controllo e si acquista come qualsiasi altra estensione.

Sul piano dei registri, il dominio di sepa.finance risulta registrato il 30 maggio 2025. È un dato che merita attenzione, perché i versamenti della persona offesa cominciano nel 2023: due anni prima che quel nome esistesse. Significa che all'inizio della vicenda il sito si chiamava in un altro modo, e che il nome è stato cambiato in corsa — esattamente il meccanismo di ricambio dei domini che abbiamo documentato in decine di altri fascicoli.

Quanto alle verifiche sostanziali, il quadro è quello consueto: nessuna società identificabile, nessuna partita IVA, nessuna sede, nessun numero di autorizzazione riferibili a sepa.finance. Chi raccoglie denaro presentandolo come investimento deve essere autorizzato e iscritto negli appositi albi.

Il passaporto: perché è la prova sbagliata

Veniamo alla parte che vale per chiunque, non solo per chi ha incrociato sepa.finance.

Quando una persona offesa di sepa.finance, o di qualunque sito simile, comincia a dubitare, la richiesta che le viene in mente è quasi sempre la stessa: "mandami un documento". E i truffatori sono prontissimi ad accontentarla — perché sanno che quel documento chiude i dubbi invece di aprirli.

Ci sono tre ragioni per cui, nei casi come sepa.finance, è la prova sbagliata.

Primo: dalla fotografia non si autentica nulla. Un documento si verifica con i suoi elementi di sicurezza, che una fotografia o una scansione non restituiscono. Chiunque può costruire un'immagine credibile, e in rete circolano documenti falsi di qualità molto alta. Nel caso di sepa.finance è bastata una verifica professionale per stabilire che quello inviato non era autentico, ma è un esame che una persona offesa, da sola, non può fare.

Secondo: il documento potrebbe appartenere a una persona reale e innocente. I documenti rubati o sottratti circolano e vengono riutilizzati. Per questo, se ricevete un documento del genere, non va pubblicato, non va diffuso e la persona ritratta non va contattata: potrebbe essere a sua volta una vittima. Va conservato e consegnato soltanto all'autorità giudiziaria.

Terzo, ed è il punto decisivo: un documento prova un'identità, non un'autorizzazione. Anche se quel passaporto fosse stato autentico, avrebbe dimostrato soltanto che una persona con quel nome esiste. Non che sia autorizzata a raccogliere denaro, non che la società per cui dice di lavorare esista, non che il sito sia il suo.

La domanda giusta non è mai "chi sei", ma: è autorizzato, e questo è davvero il suo indirizzo ufficiale? Si verifica sul registro dell'autorità di vigilanza, dove sono pubblicati sia il nome dell'intermediario sia l'indirizzo del suo sito. È gratuito e richiede due minuti.

Va aggiunto un ultimo elemento, sul piano giuridico: fabbricare, detenere o usare documenti di identificazione falsi è un reato autonomo, previsto in particolare dall'art. 497-bis c.p. per i documenti validi per l'espatrio. Il passaporto falso, quindi, non è soltanto una conferma della truffa: è un capo di imputazione in più, e un elemento che va allegato all'atto esattamente come è stato ricevuto, senza ritagli.

Tre anni di versamenti

Nel fascicolo sepa.finance i versamenti si estendono dal 2023 fino al 2026, per un totale di circa quarantamila euro, eseguiti con bonifici verso l'estero.

Una vicenda lunga come quella di sepa.finance sembra, a prima vista, più compromessa. Non è così, e vale la pena dirlo con precisione.

Il percorso del denaro versato a sepa.finance è la prova che resiste di più nel tempo. Sui rapporti bancari l'art. 119, comma 4, del Testo unico bancario riconosce al cliente il diritto di ottenere, a proprie spese ed entro novanta giorni, copia della documentazione relativa alle singole operazioni degli ultimi dieci anni. Non è una cortesia della banca: è un diritto, e si esercita con una richiesta scritta. Una vicenda iniziata nel 2023 è ampiamente dentro quella finestra, e la stessa normativa antiriciclaggio impone agli intermediari di conservare i dati per dieci anni.

Quindi ordinanti, beneficiari, IBAN, BIC, Paese e causale di ogni bonifico — anche quelli del 2023 — sono ancora disponibili e si possono ottenere.

Il fatto che il contatto sia ancora attivo

C'è un elemento che nel fascicolo sepa.finance cambia le priorità: la persona offesa è ancora in contatto con la struttura, e la vicenda si è evoluta in una fase nuova, fatta di pressioni e di richieste di pagamento legate a un presunto conto aperto a suo nome.

Quando il contatto è ancora vivo, la posizione è più forte, non più debole: i recapiti sono attivi oggi, i dati esistono, e alcune richieste all'autorità giudiziaria hanno senso solo finché quei canali funzionano.

Con sepa.finance, come sempre, le regole sono le solite quattro, e vanno seguite nell'ordine: non versare altro denaro sotto nessuna etichetta; non bloccare e non cancellare prima di aver esportato tutto in formato nativo, con date e orari; annotare ogni recapito, perché è materiale investigativo vivo; depositare subito, perché un atto presentato mentre i canali sono attivi consente accertamenti che dopo non si possono più chiedere.

Il quadro giuridico

Si applica l'art. 640 c.p., con le aggravanti della minorata difesa dell'art. 61 n. 5 c.p., richiamata dall'art. 640 comma 2 n. 2-bis, e del danno patrimoniale di rilevante gravità dell'art. 61 n. 7 c.p. Per i fatti successivi al luglio 2024 — e qui i versamenti arrivano al 2026 — si applica anche l'art. 640 comma 2-ter c.p., introdotto dalla legge 90/2024, che aggrava la truffa commessa a distanza con strumenti informatici idonei a ostacolare l'identificazione dell'autore.

Rilevano inoltre la sostituzione di persona dell'art. 494 c.p., il possesso e la fabbricazione di documenti di identificazione falsi dell'art. 497-bis c.p. per il passaporto, l'abusivismo finanziario dell'art. 166 TUF, perseguibile d'ufficio, e, quanto al percorso dei fondi, il riciclaggio dell'art. 648-bis c.p., da rappresentare come condotta di terzi. Per la fase delle pressioni e delle richieste di pagamento accompagnate da minacce rileva l'estorsione dell'art. 629 c.p., anche nella forma tentata.

Le aggravanti del secondo comma dell'art. 640 c.p. comportano procedibilità d'ufficio: il decorso dei tre mesi dalla notizia del fatto non preclude il procedimento. Ma i versamenti arrivano al 2026 e il contatto è attivo: non c'è ragione di aspettare.

Cosa mettere al sicuro subito

Chi ha versato su sepa.finance deve procurarsi: la documentazione bancaria completa in forma ufficiale, richiamando l'art. 119 comma 4 TUB, in uscita e in entrata, con ordinante, beneficiario, IBAN, BIC, Paese e causale di ogni operazione dal 2023 in poi; l'esportazione nativa di tutte le conversazioni; le email in formato originale completo, non fotografate, perché servono le intestazioni tecniche; il documento d'identità ricevuto, nella forma esatta in cui è arrivato; i nomi, i numeri e i ruoli dichiarati da ciascuna persona con cui si è parlato; gli indirizzi esatti di tutti i siti usati nel corso degli anni, con le date; l'elenco dei propri documenti consegnati.

E l'avvertimento che vale sempre: chi ti contatta promettendo di recuperare le somme dietro pagamento anticipato è la seconda truffa, costruita sulle liste delle vittime della prima.

Casi analoghi già trattati dallo Studio

Chi ha incrociato sepa.finance troverà utile la nostra analisi di hmtreasurygovuk.com, il dominio usato nella fase successiva della stessa vicenda; di eu-ecommbx.com e ecommbx.online, sul nome di un istituto autorizzato usato da terzi e sulla finta lettera di un'autorità; di manoab.com e mirabaudasset-management.com sui cloni di istituti; e di answer-blockchain.com su cosa resta di un caso iniziato nel 2023. Sul recupero per via civile può interessare il caso risolto di ripetizione dell'indebito.

Se hai versato su sepa.finance: cosa fare adesso

Il quadro è questo. sepa.finance è una truffa: un dominio registrato il 30 maggio 2025 — due anni dopo l'inizio della vicenda — che usa come marchio la sigla dell'area unica dei pagamenti in euro, che non è una società e non ha clienti, dietro cui non risultano né un soggetto identificabile né alcuna autorizzazione.

Se ti hanno mandato un documento d'identità per rassicurarti, conservalo e consegnalo: può essere un reato in più. Ma non prenderlo come una garanzia, perché non lo è.

L'unica verifica che conta la fai sul registro dell'autorità di vigilanza, e riguarda due cose: se quel soggetto è autorizzato, e se l'indirizzo del sito è quello pubblicato lì.

Lo Studio ha già trattato questo caso. Puoi sottoporci la tua posizione per una valutazione preliminare.

Se hai subito la stessa truffa, possiamo aiutarti. Compila il form che trovi in fondo a questa pagina.