Il riflesso lo conoscono tutti: arriva un SMS sospetto, lo si inoltra al 33700, lo si cancella e si passa ad altro. È un gesto utile, ma lascia in sospeso una domanda che nessuno si pone mai: e poi? Dove finisce quella segnalazione? Chi la legge? Porta a qualcosa di concreto o sprofonda in un pozzo senza fondo?
Questo articolo non parla di come riconoscere un SMS fraudolento, tema già ampiamente trattato. Si occupa di ciò che viene dopo: l'architettura amministrativa francese della segnalazione, gli sportelli che esistono davvero, che cosa fanno e soprattutto la parte che le vittime scoprono troppo tardi — la procedura di rimborso bancario, i suoi termini di legge e i ricorsi quando l'istituto tira per le lunghe. Perché nel diritto francese una vittima di frode sui pagamenti ha molte più leve di quante immagini.
Il 33700: che fine fa davvero il vostro inoltro
Il 33700 è un dispositivo gestito dagli operatori francesi (Orange, SFR, Bouygues Telecom, Free) sotto l'egida della Fédération française des télécoms, con il sostegno delle autorità pubbliche. È gratuito, anche da un piano tariffario bloccato.
La procedura ufficiale si articola in due tempi, ed è il secondo che molti dimenticano:
- Inoltrare l'SMS sospetto al 33700.
- Attendere l'SMS di risposta automatica, poi rispondere indicando il numero del mittente (quello che compariva come emittente del messaggio fraudolento).
Senza questo secondo passaggio la segnalazione è in larga parte inutilizzabile: la piattaforma riceve un testo, ma non la fonte. È l'errore più frequente e spiega in parte la sensazione di inutilità che provano gli utenti.
Una volta ricevuta la coppia messaggio + numero, i dati vengono aggregati. Gli operatori possono allora:
- disattivare la linea emittente quando appartiene alla rete francese;
- bloccare a monte, a livello di rete, i messaggi contenenti determinati URL già identificati;
- trasmettere gli elementi alle autorità giudiziarie nell'ambito delle indagini.
Il 33700 è uno strumento di difesa collettiva, non di riparazione individuale. Protegge i prossimi destinatari, non voi. Proprio per questo non sostituisce mai le altre procedure.
Una parola sulla realtà tecnica: una quota crescente delle campagne di smishing individuate dal 2025 da team come l'Unit 42 di Palo Alto Networks non utilizza più alcuna SIM francese. Gli invii passano attraverso gateway internazionali, numeri virtuali a rotazione o apparecchiature di trasmissione spostate in automobile. Disattivare una linea diventa allora un gioco a colpire la talpa. Questo non rende inutile la segnalazione, ma spiega perché non basta.
Gli altri sportelli ufficiali, e quale scegliere
La Francia ha moltiplicato le piattaforme, al punto che le vittime non sanno più a quale rivolgersi. Ecco la reale ripartizione delle competenze.
| Piattaforma | Di cosa si occupa | Cosa non fa |
|---|---|---|
| 33700 | SMS e chiamate indesiderate, spam vocali | Non vi rimborsa, non raccoglie denunce |
| Cybermalveillance.gouv.fr | Diagnosi, contatto con un fornitore di servizi, schede pratiche | Non indaga, non persegue |
| PHAROS (internet-signalement.gouv.fr) | Contenuti illeciti online, siti fraudolenti | Non tratta il danno economico individuale |
| Perceval (service-public.fr) | Uso fraudolento della carta di pagamento, senza denuncia | Non sostituisce la procedura presso la banca |
| THESEE | Denuncia online per truffe su internet | Non copre tutti i tipi di reato |
| Signal Conso | Controversie con un professionista, telemarketing aggressivo | Non tratta la frode penale |
La mossa giusta dipende da che cosa avete perso.
Se non avete inserito nulla
Inoltro al 33700, cancellazione del messaggio, e basta. Inutile sporgere denuncia per un SMS ricevuto: non c'è alcun danno configurato. Se però i messaggi si ripetono in modo massiccio, conservatene alcune schermate: possono alimentare un fascicolo successivo.
Se avete inserito delle credenziali
Cambio immediato delle password interessate, attivazione dell'autenticazione a due fattori dove possibile, poi segnalazione su Cybermalveillance.gouv.fr, che fornisce un percorso di assistenza personalizzato. Per chi gestisce una decina di account sensibili, un taccuino cartaceo per le password riposto lontano da occhi indiscreti resta, paradossalmente, una soluzione più solida di un file di testo sul desktop — a condizione che non esca mai di casa.
Se avete comunicato dati bancari
Qui l'ordine delle operazioni conta, e ogni ora è decisiva.
La procedura bancaria: che cosa dice davvero la legge
È il punto meno conosciuto e il più favorevole alle vittime. Il principio è fissato dal codice monetario e finanziario, agli articoli L.133-18 e seguenti, recepimento della direttiva europea sui servizi di pagamento (PSD2).
La regola di base è chiara: in caso di operazione di pagamento non autorizzata, la banca rimborsa immediatamente il pagatore, e al più tardi entro la fine del primo giorno lavorativo successivo alla segnalazione. Non è una cortesia commerciale, è un obbligo di legge.
Le sfumature da conoscere:
- La franchigia di 50 € prevista in caso di smarrimento o furto non si applica quando i dati sono stati sottratti a distanza senza che la carta abbia mai lasciato le vostre mani.
- La banca può rifiutare solo dimostrando una vostra negligenza grave. L'onere della prova spetta a lei — e la Cour de cassation ha ricordato più volte che la semplice comunicazione di un codice ricevuto via SMS, ottenuta con un raggiro sofisticato, non configura automaticamente tale negligenza.
- Il termine per contestare è di 13 mesi dalla data dell'addebito (70 giorni se il prestatore ha sede fuori dallo Spazio economico europeo).
In concreto, ecco come procedere:
- Bloccare la carta senza indugio (app bancaria, servizio interbancario di blocco al numero 0 892 705 705).
- Contestare per iscritto, con raccomandata con ricevuta di ritorno, elencando operazioni, date e importi. È lo scritto a far decorrere i termini di legge: una telefonata non lascia alcuna traccia opponibile.
- Effettuare la dichiarazione su Perceval se la carta è stata utilizzata senza essere stata materialmente rubata. La ricevuta è un elemento del fascicolo.
- Sporgere denuncia presso il commissariato, la gendarmeria o tramite THESEE quando i fatti rientrano in una truffa online.
Quando la banca rifiuta: i ricorsi che funzionano
Il rifiuto è frequente, spesso motivato con la formula passe-partout: «avete convalidato l'operazione con il vostro dispositivo di autenticazione forte». Di per sé non è una risposta definitiva valida.
Fase 1 — Il servizio reclami
Ogni istituto dispone di un servizio reclami distinto dalla filiale. Scrivetegli direttamente, richiamando l'articolo L.133-18 e chiedendo la produzione degli elementi tecnici che giustificano l'autenticazione contestata. I tempi di risposta sono regolamentati: in linea di principio quindici giorni lavorativi, due mesi al massimo in caso di complessità.
Fase 2 — Il mediatore bancario
Gratuito, indipendente, attivabile online. I suoi pareri non sono vincolanti ma vengono seguiti nella larga maggioranza dei casi. Occorre aver prima esaurito il ricorso interno. I recapiti figurano obbligatoriamente sugli estratti conto e nelle condizioni generali.
Fase 3 — Le autorità di vigilanza
L'ACPR (Autorité de contrôle prudentiel et de résolution), affiancata alla Banque de France, non decide le controversie individuali ma raccoglie le segnalazioni e sanziona le pratiche scorrette degli istituti. Un numero elevato di segnalazioni sullo stesso comportamento produce effetti: diverse banche hanno irrigidito le proprie procedure di rimborso dopo campagne di contestazione coordinate e rilanciate dalle associazioni dei consumatori (UFC-Que Choisir, CLCV).
Fase 4 — Il giudice
Davanti al tribunal judiciaire, la procedura per le controversie di modesto valore resta accessibile senza avvocato al di sotto di determinate soglie. Le decisioni pubblicate negli ultimi anni sono in maggioranza favorevoli alle vittime di spoofing bancario, purché il raggiro fosse credibile e la banca non dimostri una colpa grave.
Un fascicolo vincente è un fascicolo datato. Schermate con data e ora, raccomandate, ricevute di denuncia, estratti conto annotati. La qualità dell'archiviazione pesa più dell'eloquenza della lettera.
Costruire un fascicolo che regge
Molti ricorsi falliscono non per carenza di diritto, ma per mancanza di prove utilizzabili. Alcuni principi concreti.
Non cancellate nulla prima di aver archiviato. L'SMS fraudolento è esso stesso una prova: mostra il mittente visualizzato, l'orario, il contenuto. Fotografate lo schermo invece di limitarvi a una schermata, perché la foto talvolta integra metadati utili.
Documentate la cronologia. Una semplice tabella a tre colonne — ora, evento, prova associata — vale più di un racconto. I servizi reclami gestiscono centinaia di pratiche; quella che si legge in due minuti è quella che avanza.
Conservate gli originali fuori dal dispositivo. Se il telefono è stato compromesso, può essere ripristinato, sequestrato o semplicemente guastarsi. Una chiavetta USB cifrata tenuta a parte, o un disco rigido esterno dedicato ai documenti sensibili, evita di perdere tutto nel momento peggiore. Il cloud non è una cattiva idea, purché l'account associato non sia stato a sua volta colpito dalla frode.
Fate accertare lo stato del dispositivo se è stata installata un'applicazione. Un fornitore accreditato da Cybermalveillance.gouv.fr può redigere una relazione tecnica. È un elemento di peso davanti a un assicuratore o a un giudice.
Il capitolo assicurativo, spesso ignorato
Molti contratti bancari di fascia alta, così come alcune polizze multirischio sulla casa o le garanzie di «tutela legale», includono una sezione cyberprotezione. Le garanzie coprono, a seconda dei casi, l'assistenza al ripristino degli account, il monitoraggio del furto d'identità e persino la copertura delle spese procedurali.
Rileggete le vostre condizioni generali prima di pagare qualsiasi cosa a un operatore privato. Il termine per la denuncia all'assicuratore è in genere breve — cinque giorni lavorativi in molti contratti — e decorre dalla scoperta dei fatti, non dalla frode in sé.
Che cosa fare prima perché tutto sia più semplice
Il fascicolo migliore è quello che non si è costretti a costruire. Tre abitudini cambiano le carte in tavola.
Separare gli usi. Una carta di pagamento virtuale con massimale ridotto per gli acquisti online limita meccanicamente il danno. Quasi tutte le banche la offrono gratuitamente: basta attivarla.
Filtrare a monte. I sistemi recenti propongono uno smistamento automatico dei mittenti sconosciuti. Sui dispositivi più datati o per le persone meno a proprio agio, un'applicazione di filtro degli SMS indesiderati installata dallo store ufficiale riduce sensibilmente il volume che raggiunge davvero l'utente.
Proteggere l'accesso fisico. Un telefono con lo schermo crepato finisce spesso da un riparatore con i dati intatti, e un apparecchio che si spegne per batteria scarica non consente di bloccare la carta in tempo. Un vetro temperato di protezione e una batteria esterna compatta sono meno un gadget che una questione di continuità operativa nel giorno in cui bisogna agire in fretta.
Infine, nelle famiglie in cui si assiste un parente anziano, l'esperienza dimostra che conoscere le procedure vale più della paura. Una guida pratica di cibersicurezza per privati lasciata a disposizione e consultata con calma produce riflessi più duraturi di un avvertimento ripetuto nell'urgenza.
In sintesi
| Situazione | Azione prioritaria | Termine da rispettare |
|---|---|---|
| SMS ricevuto, non cliccato | 33700 (messaggio + numero) | Immediato |
| Credenziali inserite | Cambio password, Cybermalveillance.gouv.fr | Entro un'ora |
| Dati bancari trasmessi | Blocco carta, contestazione scritta, Perceval, denuncia | 13 mesi al massimo per contestare |
| Banca che rifiuta | Servizio reclami → mediatore → ACPR → giudice | Da 15 giorni a 2 mesi per fase |
| Applicazione installata | Isolamento del dispositivo, perizia, denuncia | Immediato |
Segnalare un SMS fraudolento significa partecipare a uno sforzo collettivo. Far valere i propri diritti è un'altra cosa: un'azione individuale, scritta, documentata e molto più efficace di quanto si creda. La legge francese ed europea protegge le vittime di frode sui pagamenti assai meglio di quanto lascino intendere i primi rifiuti dei servizi clienti. Bisogna però sapere dove bussare, e in quale ordine.
E quando dovete avvertire rapidamente una persona cara che circola una campagna di falsi SMS a nome di un corriere o di una banca, un messaggio breve inviato da un browser, senza installare nulla, resta il modo più diretto per far passare l'informazione — soprattutto se il dispositivo in questione è proprio quello di cui si dubita.
