Esiste un'abbondante letteratura su come riconoscere un SMS truffa: errori di ortografia, link abbreviato, tono allarmistico, numero sconosciuto. Ma quasi nessuno spiega cosa fare una volta che il dito è già scivolato sul link. Ed è proprio quello il momento in cui si decide tutto. Tra il clic e lo sfruttamento reale dei dati da parte dei truffatori passano spesso alcune ore, a volte alcuni giorni. Quella finestra è il tuo margine di manovra.
Questa guida non è una lezione teorica. È un protocollo d'emergenza, pensato per essere seguito nell'ordine, con un obiettivo semplice: limitare i danni e poi riprendere il controllo. Vale per tutti, comprese le persone che pochi minuti prima erano convinte che «capita solo agli altri». Nel 2026 le campagne di smishing che si spacciano per enti sanitari, servizi di consegna, amministrazione fiscale o persino banche centrali hanno una qualità grafica tale che il semplice riflesso di diffidenza non basta più.
Prima di tutto: valutare che cosa hai fatto davvero
Non tutti i clic sono uguali. Prima di farti prendere dal panico, prenditi trenta secondi per inquadrare il tuo caso. Il livello di gravità determina l'ampiezza della risposta.
| Che cosa hai fatto | Livello di rischio | Reazione principale |
|---|---|---|
| Aperto l'SMS, senza cliccare | Molto basso | Cancellare, segnalare all'operatore |
| Cliccato sul link, pagina aperta e poi chiusa | Da basso a moderato | Controllare il dispositivo, cambiare le password critiche |
| Inserito nome utente e password | Alto | Cambio immediato delle password, avviso al servizio interessato |
| Inserito dati bancari o un codice ricevuto via SMS | Critico | Blocco immediato della carta, denuncia |
| Installato un'applicazione dal link | Critico | Isolamento del dispositivo, disinstallazione o addirittura ripristino |
Un punto va chiarito, perché genera molta ansia inutile: su uno smartphone aggiornato, il semplice fatto di aprire una pagina web truffaldina non installa magicamente un virus. Gli attacchi cosiddetti «senza interazione» esistono, ma sono rari, costosi e riservati a bersagli di alto valore. Nella grandissima maggioranza dei casi di smishing rivolto al pubblico generale, il pericolo viene da quello che tu hai digitato sulla pagina, non dal codice che vi si trovava. È una buona notizia: se non hai inserito nulla e non hai installato nulla, con ogni probabilità sei indenne.
I primi dieci minuti: isolare e interrompere
1. Interrompi la connessione se hai installato qualcosa
Se il link ti ha fatto scaricare un file .apk su Android, o se hai autorizzato un «profilo di configurazione» su iPhone, attiva subito la modalità aereo. In questo modo interrompi il canale di comunicazione tra l'applicazione malevola e il server degli aggressori. Molte di queste app sono progettate per intercettare gli SMS in arrivo — quindi i codici di conferma bancari — e ritrasmetterli in tempo reale.
2. Per ora non digitare più nulla su quel dispositivo
Finché non hai verificato lo stato del telefono, evita di digitarci le tue password. Usa un altro dispositivo: il computer di famiglia, il tablet, il telefono di una persona di fiducia. È il momento in cui un portatile di riserva o un tablet semplice da usare, tenuti in casa per le pratiche burocratiche, mostrano la loro utilità: avere un secondo terminale sano cambia tutto in situazioni come questa.
3. Annota tutto, subito
Screenshot dell'SMS (numero del mittente incluso), ora di arrivo, indirizzo del link, orario del clic, contenuto di ciò che hai inserito. Questi elementi ti verranno chiesti al momento della segnalazione e, se necessario, della denuncia. Un semplice quaderno con spirale tenuto vicino al telefono rende questo passaggio meno faticoso rispetto al cercare di creare un file di corsa.
L'ora successiva: mettere in sicurezza gli accessi
4. Cambia le password, ma nell'ordine corretto
L'errore classico consiste nel cambiare per prima la password del servizio contraffatto. Non è la priorità. Comincia dall'indirizzo e-mail principale: è la chiave di volta, quella che permette di reimpostare tutti gli altri account. Solo dopo passa al resto, in ordine di sensibilità.
- Casella di posta principale
- Conto bancario e app di pagamento
- Account dell'operatore telefonico (spesso dimenticato, e invece centrale)
- Account della pubblica amministrazione: fisco, sanità, identità digitale
- Social network e commercio online
Ogni password deve essere unica. Se riutilizzi la stessa combinazione dappertutto, la compromissione di un solo servizio diventa la compromissione di tutta la tua vita digitale. È esattamente ciò che gli aggressori provano per primo, con la tecnica del «credential stuffing». Un gestore di password, o in mancanza un quadernetto cartaceo riposto fuori vista, vale infinitamente più di una variazione sul nome dei tuoi figli.
5. Controlla l'autenticazione a due fattori e le sessioni aperte
Nelle impostazioni di sicurezza dei tuoi account principali, cerca la voce «dispositivi collegati» o «sessioni attive». Disconnetti tutto ciò che non riconosci. Verifica anche che numero di telefono ed e-mail di recupero non siano stati modificati: è la prima cosa che un aggressore cambia per chiudere la vittima fuori dal proprio account.
Approfittane per rafforzare l'autenticazione a due fattori. Se i tuoi account sensibili si basano ancora soltanto su un codice inviato via SMS, prendi in considerazione un'app di autenticazione, o addirittura una chiave di sicurezza fisica USB per la posta principale: oggi è l'unico fattore realmente resistente al phishing, perché verifica l'indirizzo del sito prima di rilasciare qualsiasi cosa.
Se i tuoi dati bancari sono finiti nelle mani sbagliate
È lo scenario più stressante, e quello in cui la velocità conta di più.
6. Blocca la carta senza attendere
Chiama subito il numero d'emergenza della tua banca, che trovi sul retro della carta e nell'app bancaria. In alternativa, i servizi interbancari di blocco carta, raggiungibili 24 ore su 24, permettono di bloccare la carta presso tutti gli istituti. Chiedi esplicitamente:
- il blocco della carta interessata;
- l'attivazione di un monitoraggio rafforzato del conto;
- la disattivazione temporanea dei pagamenti online;
- la verifica che non sia stato aggiunto alcun nuovo beneficiario per i bonifici.
Quest'ultimo punto è fondamentale. Nelle frodi più recenti il truffatore non usa sempre la carta: aggiunge un beneficiario e avvia un bonifico, poi ti chiama per farti confermare il codice con la scusa di «mettere in sicurezza» il conto. Le autorità bancarie, la cui identità viene regolarmente usurpata da queste reti, ricordano che nessun organismo ufficiale ti chiederà mai di confermare un codice, di comunicare una password o di trasferire i tuoi fondi su un «conto sicuro».
Un consulente bancario legittimo non ti chiederà mai di dettargli un codice ricevuto via SMS. Se lo fa, non è un consulente bancario.
7. Conosci i tuoi diritti sul rimborso
La normativa sui servizi di pagamento prevede che la banca debba rimborsare le operazioni di pagamento non autorizzate, salvo che dimostri una grave negligenza da parte tua. Il confine è a volte discusso, ma il fatto di essere stato ingannato da un sito che imitava alla perfezione quello della tua banca, o da una chiamata con numero contraffatto, gioca a tuo favore. Contesta per iscritto, con raccomandata, e conserva la copia della denuncia. In caso di rifiuto, si può ricorrere all'arbitro bancario e poi all'autorità di vigilanza.
La segnalazione: utile, gratuita e troppo poco usata
8. Inoltra l'SMS al servizio antispam
Esistono piattaforme ufficiali di segnalazione degli SMS e delle chiamate indesiderate, gestite dagli operatori telefonici sotto l'egida delle autorità pubbliche. La procedura è di norma in due passaggi: inoltrare il messaggio ricevuto al numero dedicato, poi rispondere all'SMS di conferma indicando il numero del mittente fraudolento. È gratuito e alimenta un archivio che permette di far chiudere i numeri utilizzati per gli invii.
9. Segnala il sito sulle piattaforme ufficiali
- Portali istituzionali sulla cybersicurezza: diagnosi online, contatto con fornitori qualificati, schede pratiche dettagliate.
- Phishing Initiative / Signal Spam: per far inserire l'indirizzo del sito falso nelle liste nere dei browser.
- Piattaforme di segnalazione della polizia postale: segnalazione di contenuti illeciti.
- Denuncia: presso la polizia, i carabinieri o online tramite i servizi di denuncia per truffa. Il numero di protocollo ti verrà richiesto dalla banca.
Se hai inserito dati identificativi completi (nome, indirizzo, codice fiscale o numero di previdenza sociale, copia di un documento d'identità), segnalalo anche: il furto d'identità si costruisce a partire da questi elementi, spesso mesi dopo.
10. Avvisa le persone attorno a te
Se la tua casella di posta o il tuo account di messaggistica istantanea è stato compromesso, anche i tuoi contatti riceveranno messaggi truffaldini, con il sigillo di fiducia che dà il tuo nome. Un semplice messaggio di allerta alla famiglia evita una reazione a catena. Questo vale in particolare per i parenti anziani, statisticamente più bersagliati e meno attrezzati.
Pulire il dispositivo: cosa serve e cosa no
Se hai installato un'applicazione dal link, la semplice disinstallazione non sempre basta. Su Android, verifica prima nelle impostazioni di accessibilità e nella voce «app con accesso speciale» che nessuna applicazione sconosciuta disponga di permessi estesi: è il meccanismo preferito dai trojan bancari per leggere lo schermo e intercettare gli SMS. Revoca queste autorizzazioni prima di disinstallare, altrimenti la rimozione verrà bloccata.
Riavvia poi in modalità sicura per disinstallare l'app più ostinata. In caso di dubbio persistente, il ripristino delle impostazioni di fabbrica resta l'unica garanzia reale — da qui l'importanza di un backup aggiornato. Un disco rigido esterno o una microSD di backup, aggiornati una volta al mese, trasformano un ripristino d'emergenza in una semplice formalità.
Su iPhone vai in Impostazioni → Generali → VPN e gestione dispositivo, ed elimina qualsiasi profilo di configurazione che non hai installato tu. Controlla anche gli abbonamenti e i metodi di pagamento registrati.
In ogni caso, installa gli aggiornamenti di sistema in attesa. La maggior parte dei codici malevoli sfrutta vulnerabilità corrette da mesi: restare aggiornati è ancora la protezione più redditizia che esista.
Le settimane successive: la vigilanza lunga
Una frode via SMS non si chiude in un pomeriggio. I dati rubati circolano, vengono rivenduti, riemergono mesi più tardi.
Controlla i tuoi estratti conto riga per riga, compresi i micro-addebiti di pochi centesimi: sono test di validità della carta prima di un'operazione più consistente.
Aspettati un'impennata di chiamate e SMS. Una vittima che ha «abboccato» una volta viene schedata come bersaglio ricettivo e rivenduta come tale. Il ricontatto dei truffatori avviene spesso sotto le vesti di un «servizio antifrode» che propone di recuperare le somme perdute: è una seconda truffa, la cosiddetta «truffa del recupero crediti».
Verifica i tuoi account con la pubblica amministrazione. Un accesso fraudolento ai portali sanitari, fiscali o previdenziali permette di dirottare rimborsi semplicemente modificando un IBAN. Gli enti sanitari pubblicano regolarmente avvisi su queste campagne e ricordano che non chiedono mai dati bancari via SMS.
Documenta tutto in un unico fascicolo. Lettere, screenshot, numeri di pratica, date delle telefonate. Se nasce un contenzioso con la banca o con un ente pubblico, questa tracciabilità fa la differenza.
Ridurre la superficie d'attacco per la prossima volta
Non ci sarà un vaccino definitivo contro lo smishing: finché l'invio massivo costerà pochi centesimi, le campagne continueranno. Si può però ridurre l'esposizione.
- Separa gli usi. Un indirizzo e-mail dedicato agli acquisti e alle iscrizioni, un altro riservato alla banca e alla pubblica amministrazione. Il giorno in cui il primo viene compromesso, il secondo resta inattaccabile.
- Limita la diffusione del tuo numero. Ogni modulo compilato è una potenziale porta d'ingresso negli archivi che vengono rivenduti.
- Proteggi la SIM. Un PIN della SIM non banale complica il furto della linea, e quindi l'intercettazione dei codici di conferma.
- Forma chi ti sta intorno. Un buon libro divulgativo sulla cybersicurezza domestica, lasciato sul tavolo del soggiorno, fa spesso più effetto di un lungo discorso.
- Non richiamare mai un numero indicato in un messaggio. Cerca da solo il numero ufficiale dell'organizzazione.
L'essenziale da ricordare
Cliccare su un link fraudolento non è né una colpa morale né una prova di ingenuità. Questi messaggi sono creati da professionisti che testano, misurano e ottimizzano le loro formulazioni come si ottimizza una campagna pubblicitaria. Il senso di vergogna che ne segue è d'altronde il principale nemico delle vittime: ritarda la segnalazione, il blocco della carta, la denuncia — cioè tutto quello che avrebbe potuto limitare i danni.
Il ragionamento giusto si articola in tre tempi: interrompere ciò che può ancora comunicare, mettere in sicurezza gli accessi in ordine di importanza, segnalare per tutelarti giuridicamente e proteggere gli altri. Il resto è questione di pazienza e di sorveglianza.
E per il futuro, un principio semplice merita di essere affisso da qualche parte in casa: nessun organismo legittimo — banca, pubblica amministrazione, operatore telefonico, corriere — ti chiederà mai, via SMS, di confermare un codice, una password o un IBAN con urgenza. Il giorno in cui un messaggio ti mette sotto pressione perché agisca entro ventiquattro ore, è precisamente il momento di non fare assolutamente nulla, chiudere il telefono e chiamare il numero vero.
