SMS truffa: come riconoscere i falsi messaggi su pacchi, multe, banca e rimborsi

Gli SMS truffa funzionano perché somigliano a quelli che riceviamo tutti i giorni: una consegna, una multa, un avviso della banca o un rimborso. La trappola è il link: porta a una copia convincente di un sito vero, che chiede "piccole spese", il numero della carta o le credenziali. Secondo il report 2025 della Polizia Postale, le truffe passano soprattutto da campagne di phishing, anche via SMS (smishing) e chiamate (vishing), che sembrano arrivare da ministeri, enti pubblici o banche.

Gli SMS truffa più comuni

Il Garante per la protezione dei dati personali indica messaggi che sembrano arrivare da:

• una banca o un gestore di carte, che segnala un accesso anomalo o un problema sul conto;
• un corriere o un fornitore, per un pacco da ritirare o una bolletta non pagata;
• un'amministrazione pubblica, per una multa, una cartella o un rimborso;
• una piattaforma social o di messaggistica, che segnala una violazione dell'account.

La Polizia Postale ha segnalato, per esempio, SMS che parlano di un dispositivo non autorizzato collegato al conto e chiedono di chiamare un numero di cellulare per "bloccare" l'operazione.

Cosa fanno, e cosa non fanno, enti e aziende veri

• La Polizia di Stato non notifica verbali o sanzioni amministrative tramite SMS, app di messaggistica o link.
• L'INPS non invia SMS o e-mail con link su cui cliccare per ricevere rimborsi e non chiede dati bancari via e-mail o SMS; i suoi siti finiscono con .inps.it.
• L'Agenzia delle Entrate pubblica gli avvisi sulle campagne in corso nella pagina "Focus sul phishing" e disconosce questi messaggi.
• Poste Italiane ricorda che né Poste né le Autorità ti chiederanno mai credenziali, codici o dati delle carte, in nessuna modalità.
• GLS precisa che in nessun caso chiede pagamenti con carta via SMS o e-mail; i falsi messaggi a nome BRT parlano spesso di presunte "mancate consegne".
• Autostrade per l'Italia non chiede dati personali via e-mail, SMS o WhatsApp, e ricorda che un pedaggio non pagato si può saldare entro 15 giorni dal transito senza costi aggiuntivi.
• La Banca d'Italia lo ripete: la banca non ti chiederà mai i dati che usi per i pagamenti online o l'home banking, né via e-mail né per telefono. Attenzione allo spoofing: il numero o il mittente possono sembrare davvero quelli della tua banca.

Come verificare senza cliccare

1. Non cliccare il link, non rispondere e non chiamare il numero indicato nel messaggio.
2. Apri tu l'app o il sito ufficiale (banca, Poste, INPS, Agenzia delle Entrate, corriere) e cerca lì lo stesso avviso.
3. Per un pacco, usa il numero di spedizione sul sito del corriere, o chiedi al mittente se ti ha davvero spedito qualcosa.
4. Nel dubbio, contatta l'ente con un recapito che conosci già, per esempio il numero sul retro della carta.

Dove segnalare un SMS truffa

• Alla Polizia Postale, con il modulo "Segnala online" del Commissariato di P.S. Online (argomento Phishing). Non è una denuncia: per quella serve rivolgersi a un ufficio di polizia.
• A Poste Italiane, all'indirizzo [email protected]; a GLS, all'indirizzo [email protected]; ad Autostrade per l'Italia, all'indirizzo [email protected].
• Nella Svizzera italiana, con il modulo di segnalazione dell'Ufficio federale della cibersicurezza (UFCS).
• Poi cancella il messaggio.

Se hai cliccato, pagato o dato i tuoi dati

1. Avvisa subito la tua banca o l'emittente della carta, attraverso i canali che conosci, per bloccare la carta e le operazioni sospette.
2. Cambia la password degli account inseriti sul sito falso, e ovunque usi la stessa, e attiva la verifica in due passaggi.
3. Denuncia il reato alla Polizia Postale, come suggerisce anche la Banca d'Italia.
4. Se la banca non ti dà una risposta soddisfacente, puoi presentarle un reclamo (deve rispondere entro 15 giorni lavorativi per i servizi di pagamento) e poi, se serve, un esposto alla Banca d'Italia.
5. Diffida di una chiamata successiva da un "operatore della banca" o da un "ufficio antifrode": è spesso il secondo atto della stessa truffa.

Un antivirus può aiutare?

In parte. Il Garante ricorda che un link in un SMS può anche installare sul telefono programmi capaci di rubare dati. Sul telefono diverse suite aggiungono il controllo dei link e degli SMS: è una rete di sicurezza utile, soprattutto per i familiari meno esperti. Ma niente sostituisce l'abitudine di verificare sul sito o sull'app ufficiale prima di pagare qualsiasi cosa.

Il messaggio non è la truffa. Il link sì. Vai sempre sul sito vero da solo.