Smishing: che cos’è un SMS truffa e come riconoscerlo

Che cosa significa smishing

Il nome unisce SMS e phishing, la parola usata per i messaggi falsi che cercano di pescare le informazioni di chi li riceve. Cambia solo il canale, e l’attenzione da avere è la stessa di un qualunque messaggio falso che punta ai tuoi dati. Il Garante per la protezione dei dati personali usa lo stesso termine nella sua scheda sullo smishing e lo definisce una forma di truffa che sfrutta i messaggi di testo e i sistemi di messaggistica per appropriarsi di dati personali a fini illeciti, per esempio per sottrarre poi denaro da conti e carte.

Siccome in un SMS c’è pochissimo spazio, la truffa è quasi sempre breve: un avviso, una scadenza e un link. Il dettaglio mancante, quello che in un’email sembrerebbe strano, in un SMS sembra normale, e questo è una parte del motivo per cui il formato funziona così bene.

Il Garante indica anche il tono come segnale: diffida dei messaggi con toni ultimativi e intimidatori, o che ti spingono ad agire con fretta e urgenza. Quella fretta non è un dettaglio dello stile, è lo strumento principale: serve a far succedere qualcosa prima che tu abbia il tempo di controllare da un’altra parte.

La Banca d’Italia mette lo smishing accanto al phishing e al vishing nella sua pagina sulle truffe nei pagamenti, come la stessa truffa portata su un altro canale, e ripete la regola che vale su tutti: la banca non ti chiede mai per messaggio o per telefono le credenziali dell’home banking o i dati di pagamento.

Le storie più usate in un SMS

Gli argomenti si ripetono perché vanno bene per quasi tutti insieme. Un pacco fermo in dogana, una spesa di consegna da saldare, un pedaggio non pagato, un addebito sospetto sulla carta, punti o premi in scadenza, l’app della banca da reinstallare, una pratica da riconfermare. Il messaggio non ha bisogno di sapere qual è il tuo pacco. Gli basta che tu ne abbia uno in arrivo.

Anche le cifre piccole abbassano la guardia. La pagina può chiedere una carta e qualche dato personale per incassare un euro o due, mentre il vero obiettivo sono le informazioni che verranno usate dopo. Una cifra bassa, una scadenza corta e un argomento di tutti i giorni sono strumenti standard dell’ingegneria sociale, cioè l’uso della conversazione e della pressione per far agire qualcuno prima che controlli.

Questo esempio è inventato da noi. Non riproduce il messaggio, il marchio né il numero ufficiale di nessun corriere o negozio reale: serve solo a mostrare come è costruita la frase.

Il passaggio che conta, in quell’esempio, non è aver capito che il messaggio era falso. È aver guardato l’ordine dove l’ordine vive davvero, cioè nell’account del negozio. Quella verifica funziona uguale anche quando il messaggio è vero.

Perché un SMS può sembrare vero

Alcuni telefoni raggruppano i messaggi per nome o per mittente, quindi un SMS falso può finire nella stessa conversazione di quelli veri di un’azienda. Stare dentro quella conversazione non certifica niente: vuol dire solo che il nome del mittente combaciava.

Il numero sullo schermo non è una prova migliore. I dati che il mittente presenta si possono falsificare, e in Italia il problema è stato preso di petto: l’AGCOM ha imposto agli operatori un filtro che blocca le chiamate dall’estero con numerazioni italiane contraffatte, prima sui numeri fissi e poi anche su quelli mobili. Nel comunicato del 13 novembre 2025 l’Autorità spiega che dal 19 novembre 2025 il blocco si estende alle numerazioni mobili, dopo la prima fase partita il 19 agosto sulle numerazioni fisse. È una misura che riduce il fenomeno, non una garanzia sul singolo messaggio che hai in mano.

Nemmeno un testo scritto bene e l’uso del tuo nome dimostrano qualcosa, perché costano pochissimo a chi manda il messaggio. Il Garante privacy mette gli errori di lingua tra i segnali da cercare, ma è un segnale che vale in una direzione sola: gli errori tradiscono la truffa, la loro assenza non la esclude.

Quello che conviene leggere è invece la forma della richiesta. Guarda se il messaggio crea una scadenza corta e offre una sola strada per risolvere, e se quella strada passa da un link nel messaggio invece che da un account che hai già.

Perché i filtri e i blocchi non prendono tutto

Gli operatori e i produttori di telefoni filtrano una parte di questi messaggi, e vale la pena tenere quegli strumenti accesi. Su iPhone, nelle impostazioni dei Messaggi c’è l’opzione che sposta i messaggi da mittenti sconosciuti in un elenco separato. Su Android, l’app Messaggi di Google permette di bloccare un mittente e di segnalare il messaggio come spam, come spiega la guida di Google Messaggi su come bloccare e segnalare spam. Tutte e due riducono il volume.

Nessuna delle due è un muro. Gli SMS truffa cambiano numero in continuazione, quindi bloccare un mittente ferma quel numero e basta, e i messaggi inviati da servizi internet o da gateway di posta possono arrivare con una forma che il filtro non ha mai visto. Il filtro AGCOM contro le numerazioni contraffatte agisce sulle chiamate, non sostituisce la tua attenzione sul singolo messaggio.

Quindi trattalo come qualcosa che riduce quante volte devi decidere, non come qualcosa che decide al posto tuo. Il messaggio che passa non è più legittimo per il fatto di essere passato, e la verifica che conta continua ad avvenire fuori dal messaggio.

Consegne e addebiti si controllano fuori dall’SMS

Per una consegna, apri l’app o scrivi il sito del negozio dove hai comprato, oppure quello del corriere, e guarda l’ordine che è già registrato lì. Per la banca o per una carta, apri l’app ufficiale e leggi lì i movimenti e gli avvisi. Non copiare un codice di tracciamento, un numero di telefono o un indirizzo dall’SMS sospetto per iniziare quella ricerca, perché un codice inventato per la truffa riporta solo alla truffa.

Chi truffa usa i nomi dei corrieri e delle poste dentro questi messaggi, e non sono loro a mandarli. Il Garante privacy ricorda di verificare sempre che i numeri e i riferimenti corrispondano a quelli ufficiali, controllandoli sui siti istituzionali invece che nel messaggio ricevuto. Una pratica vera si trova sempre anche senza il link.

Se nell’account ufficiale non compare niente, non pagare per sbloccare o regolarizzare qualcosa. Non esiste una versione di un addebito vero che si possa saldare solo attraverso un link arrivato in un SMS.

Se la pagina che si è aperta imita un negozio o un corriere, come riconoscere un sito falso spiega come leggere l’indirizzo e quali altri segnali guardare. E prima di aprire qualunque cosa, come capire se un link è sicuro.

Non rispondere, blocca e segnala

Non rispondere, nemmeno per dire che hai capito o per chiedere di smettere, e non chiamare il numero scritto nell’SMS, perché quel numero fa parte della truffa. Una risposta conferma che la linea è attiva e di solito ne fa arrivare altri.

In Italia non esiste un numero breve a cui inoltrare gli SMS truffa, quindi la strada è un’altra e ha tre passaggi: blocca il mittente e segnala il messaggio come spam nell’app di messaggistica, avvisa l’azienda imitata dal modulo di contatto del suo sito, e manda una segnalazione alla Polizia Postale dalla pagina Segnala online del Commissariato di PS online, dove il phishing è una delle voci del modulo. È una segnalazione e non sostituisce una denuncia, come la pagina stessa precisa.

Puoi anche segnalarlo ad Altroconsumo, che raccoglie gratuitamente SMS, telefonate e siti truffa, li analizza e pubblica i casi più ricorrenti per avvisare gli altri.

Se un SMS ti dice di installare un’app, che sia per mettere in sicurezza il conto, per sbloccare una consegna o per aggiornare un dispositivo di sicurezza della banca, non installarla. Installa app solo dallo store ufficiale, mai da un link arrivato in un messaggio. Un programma installato così può dare a chi l’ha mandato l’accesso al telefono, e da lì a tutto quello a cui entri dal telefono.

Se hai già aperto il link

Chiudi la pagina. Se non hai scritto niente, quasi sicuramente non è successo nulla, e non c’è motivo di tornare indietro per provare. Quello che conta è se hai inserito qualcosa o hai pagato.

1. Se hai inserito i dati della carta, chiama subito il numero stampato sulla carta. Di’ che è stata una truffa, chiedi se l’addebito si può ancora fermare e chiedi una carta nuova. Controlla insieme all’operatore i movimenti degli ultimi giorni.
2. Se hai mandato soldi in un altro modo, chiama subito la banca e chiedi che cosa si può ancora fare con quel mezzo di pagamento. La Banca d’Italia spiega nella pagina sulle operazioni di pagamento non autorizzate che l’intermediario deve rimborsare un’operazione non autorizzata entro la fine della giornata operativa successiva a quella in cui ne viene a conoscenza, salvo dolo o colpa grave del cliente, e che la contestazione va fatta senza ritardo e comunque entro 13 mesi dall’addebito. Se invece il bonifico lo hai disposto tu, anche se ingannato, la posizione cambia: sul bonifico istantaneo la stessa Banca d’Italia scrive che è immediato e irrevocabile nel momento in cui viene disposto, e che recuperare l’importo è molto difficile, se non impossibile. Chiedi comunque alla banca che cosa può provare a fare, perché la rapidità è l’unica cosa che gioca a tuo favore.
3. Se hai scritto una password, cambiala dal sito ufficiale e cambiala ovunque tu abbia usato la stessa. Attiva la verifica in due passaggi, così la password da sola non basta più a entrare.
4. Conserva le prove prima di cancellare qualcosa. Fai uno screenshot dell’SMS, annota l’indirizzo che il link ha aperto e l’ora in cui è arrivato, e tieni ogni ricevuta. Le segnalazioni servono a poco senza queste cose, e la contestazione alla banca di solito le chiede.
5. Denuncia. Il Commissariato di PS online spiega nella pagina Denuncia per reati telematici che per truffa, frode informatica, accesso abusivo a un sistema informatico e indebito utilizzo di carte si può iniziare con una pre-denuncia online, con SPID o CIE, da formalizzare poi in un ufficio di polizia su appuntamento. Il servizio però è ancora sperimentale e attivo solo in alcuni uffici del Lazio: altrove si va direttamente in un ufficio di polizia.

Se la banca risponde e la risposta non ti convince, c’è una strada prima del giudice. La Banca d’Italia spiega l’Arbitro Bancario Finanziario: prima un reclamo scritto all’intermediario, che per i servizi di pagamento ha 15 giorni per rispondere, poi il ricorso entro 12 mesi, con 20 euro di contributo spese e senza avvocato.

Se dopo l’SMS è arrivata una telefonata di qualcuno che diceva di essere l’ufficio antifrode della banca, leggi come funziona la truffa al telefono prima di richiamare chiunque. Le due metà sono spesso lo stesso lavoro.

Domande frequenti sugli SMS truffa