Ci sono truffe che spariscono dopo sei mesi. Quella del pacco, invece, resiste dal 2020 e non dà alcun segno di cedimento. Ogni anno i servizi di Cybermalveillance.gouv.fr la collocano tra i motivi di consultazione più frequenti da parte del grande pubblico, e la piattaforma 33700 continua a ricevere decine di migliaia di segnalazioni mensili su questo solo tema.
La sua longevità non è affatto casuale. Si fonda su una combinazione quasi perfetta: un contesto credibile (tutti riceviamo pacchi), una cifra irrisoria (meno di tre euro, quindi poco sospetta), un'urgenza artificiale (« entro 48 ore ») e un marchio di fiducia usurpato. Capirne il funzionamento interno, passo dopo passo, resta il vaccino migliore.
Perché proprio il pacco e non altro
I truffatori ragionano in termini di tassi di conversione. Uno scenario li interessa soltanto se parla a una larga fetta della popolazione nel momento preciso in cui il messaggio arriva.
Il pacco spunta tutte le caselle:
- La frequenza. Secondo la Fevad (Fédération du e-commerce et de la vente à distance), i francesi hanno ordinato diversi miliardi di pacchi negli ultimi anni. In un dato istante, una quota considerevole della popolazione sta effettivamente aspettando una consegna. Il messaggio cade quindi « a proposito » senza che il truffatore abbia la minima informazione su di voi.
- La banalità del mittente. Chronopost, Colissimo, DHL, UPS, Mondial Relay, Vinted: nomi che vediamo passare senza rifletterci. Il marchio non fa scattare nessun allarme.
- L'esiguità dell'importo. Chiedere 1,99 € o 2,99 € disinnesca la diffidenza. Nessuno pensa « stanno cercando di derubarmi ». Si pensa « ancora spese, che seccatura ».
- La stagionalità. Il volume esplode durante i saldi, il Black Friday, le festività di fine anno e — periodo spesso dimenticato — il rientro a settembre, quando riprendono gli acquisti scolastici e informatici.
Aggiungete la stanchezza di fine giornata, uno schermo di smartphone consultato con una mano sola in metropolitana, e il margine d'errore diventa enorme.
Anatomia di un messaggio trappola
Prendiamo un esempio tipico, ricostruito a partire dalle segnalazioni pubbliche:
Colissimo: il tuo pacco non è stato consegnato, indirizzo incompleto. Ti preghiamo di saldare le spese di rispedizione (1,95 €) entro il 24/08: colissimo-suivi-fr[.]net/xk9
Vi sono impilati quattro ingredienti.
1. Un mittente credibile. Compare a volte sotto forma di un nome alfanumerico (« COLISSIMO »), a volte sotto forma di un numero di cellulare a dieci cifre. Il primo caso rientra spesso nello spoofing del mittente; il secondo in una SIM prepagata usa e getta. In entrambi i casi, ciò che appare sul vostro schermo non è mai una prova d'identità.
2. Un problema che vi mette in torto. « Indirizzo incompleto », « pacco in giacenza », « pagamento rifiutato ». La formulazione vi attribuisce sottilmente la responsabilità: siete voi a dover correggere, quindi voi a dover agire.
3. Una scadenza ravvicinata. Da due a quattro giorni. Abbastanza per sembrare ragionevole, troppo poco per lasciarvi verificare con calma il giorno dopo.
4. Un link camuffato. Il nome di dominio somiglia a quello del corriere ma se ne discosta sempre: un trattino in più, un'estensione esotica (.net, .top, .icu, .cc), un sottodominio ingannevole del tipo laposte.suivi-colis.xyz. Promemoria utile: in un indirizzo web, ciò che conta è quello che precede immediatamente la prima /, letto da destra a sinistra.
Cosa succede dopo il clic
La pagina di destinazione è di norma una copia curatissima del sito del corriere. Il modulo chiede il vostro nome, l'indirizzo, il numero di telefono, poi la carta di credito per « saldare » i famosi due euro.
I due euro non sono il bottino. Servono da test: la transazione conferma che la carta è attiva e che siete disposti a confermare. Il vero obiettivo è duplice.
- Costruire un pacchetto di dati commerciabile: nome, indirizzo postale, numero di cellulare, numero di carta, data di scadenza, codice di sicurezza. Questo blocco si rivende così com'è.
- Innescare una seconda ondata. Qualche giorno dopo, un « consulente antifrode della vostra banca » vi telefona, cita il vostro nome, la vostra banca e la vostra ultima operazione — quella da 1,95 € — per farvi convalidare pagamenti o « mettere al sicuro i vostri fondi ». È la fase in cui le perdite si contano in migliaia di euro. La Banque de France e la DGCCRF lanciano regolarmente allarmi su questa sequenza, talvolta chiamata faux conseiller bancaire (falso consulente bancario).
In altri termini: l'SMS del pacco non è la truffa. È la porta d'ingresso.
Le varianti in circolazione nel 2026
Lo scenario di base si è diversificato. Le principali declinazioni osservate:
| Variante | Pretesto | Segnale d'allarme |
|---|---|---|
| Spese doganali | Pacco extra UE bloccato in dogana | La dogana non chiede mai un pagamento via SMS con link |
| Rispedizione | Indirizzo incompleto o assente | Un corriere lascia un avviso di passaggio, non un link di pagamento |
| Armadietto di ritiro | « Codice di ritiro scaduto, rigeneralo » | Nessun codice si rigenera a pagamento |
| Applicazione da installare | « Segui il tuo pacco nella nostra app » tramite un file esterno agli store ufficiali | Installazione fuori da App Store / Google Play = pericolo |
| Rimborso | « Il tuo pacco è smarrito, richiedi il rimborso » | Un rimborso non chiede mai il codice di sicurezza |
La variante « applicazione » è la più pericolosa su Android: il file proposto installa un software malevolo capace di leggere gli SMS in arrivo, e quindi di intercettare i codici di conferma bancari. Su iPhone, l'attacco passa piuttosto da una pagina web che imita la schermata di autenticazione.
Un dettaglio che molti ignorano: le vere spese doganali si pagano al corriere al momento della consegna del pacco, oppure si saldano dall'area clienti ufficiale del corriere — mai tramite un link ricevuto per messaggio. Le regole applicabili sono pubblicate dalla Direction générale des douanes et droits indirects, che sul proprio sito ricorda di non sollecitare mai pagamenti via SMS.
Sette verifiche che richiedono trenta secondi
Di fronte a un messaggio di questo tipo, l'obiettivo non è diventare esperti di cybersicurezza, ma installare qualche riflesso automatico.
- State davvero aspettando un pacco? Se no, la questione è chiusa. E se sì, ricordate: un corriere legittimo conosce il vostro indirizzo, perché il venditore glielo ha trasmesso.
- Non cliccate. Digitate voi. Aprite da soli il sito del corriere, o l'app ufficiale, e incollate il vostro numero di tracciamento. Il tracciamento vero è sempre accessibile senza link.
- Leggete il nome di dominio a bassa voce.
chronopost.fr, sì.chronopost-livraison-fr.top, no. - Verificate il numero di tracciamento. Un vero numero Colissimo segue un formato preciso (due lettere, nove cifre, due lettere per l'internazionale, per esempio). I messaggi falsi spesso lo omettono, oppure ne forniscono uno incoerente.
- Diffidate dell'importo ridicolo. Più la somma è bassa, più occorre chiedersi perché vi venga richiesta per messaggio anziché sul sito.
- Guardate la lingua. Accenti mancanti, spaziature sbagliate prima della punteggiatura, maiuscole in mezzo a una frase, giri di parole tradotti male: questi indizi si stanno facendo più rari con gli strumenti di scrittura automatica, ma esistono ancora.
- Interrogate un motore di ricerca. Copiare una frase del messaggio tra virgolette basta spesso a far emergere decine di testimonianze identiche.
Ridurre a monte la superficie di esposizione
Non si può impedire ai messaggi di arrivare, ma si possono limitare i danni e il numero di tentativi.
Compartimentate i vostri acquisti online. Una carta di credito virtuale usa e getta, proposta dalla maggior parte delle banche francesi, rende una fuga di numero del tutto innocua. Alcuni preferiscono una carta prepagata ricaricabile dedicata agli acquisti su siti poco noti: il massimale limita meccanicamente il danno.
Usate un indirizzo e-mail secondario per gli ordini. Assorbirà le fughe di dati dei database clienti, frequenti presso i piccoli e-commerce.
Proteggete il dispositivo stesso. Uno smartphone con lo schermo crepato si legge male, e uno schermo poco leggibile favorisce gli errori di lettura di un indirizzo web. Una semplice pellicola in vetro temperato e una custodia antiurto prolungano la vita dell'apparecchio e, indirettamente, la qualità della vostra vigilanza. Nello stesso spirito, un telefono la cui batteria regge tutta la giornata evita le consultazioni sbrigative in modalità risparmio energetico; una batteria esterna compatta ha effetti protettivi maggiori di quanto si immagini, non foss'altro perché vi lascia il tempo di chiamare la banca.
Attivate i filtri nativi. Android e iOS propongono entrambi un ordinamento dei messaggi da mittenti sconosciuti e una segnalazione con un solo gesto. Su iPhone: Impostazioni → Messaggi → Filtra mittenti sconosciuti. Su Android, l'app Messaggi di Google integra un rilevamento dello spam attivabile nelle impostazioni di protezione.
Formate chi vi sta intorno. Le persone meno a proprio agio con il digitale sono sovrarappresentate tra le vittime. Un telefono per anziani con tasti grandi, con un'interfaccia essenziale, riduce il rischio di clic accidentale su un link. E per chi vuole approfondire, una guida pratica di cybersicurezza per principianti fa spesso più effetto di una spiegazione orale ripetuta dieci volte.
Avete cliccato e pagato: cosa fare
Il tempo conta più della vergogna. Ecco l'ordine delle operazioni.
Entro un'ora
- Contattate la vostra banca (numero per il blocco sul retro della carta, o servizio di emergenza interbancario al 0 892 705 705) e bloccate la carta.
- Cambiate la password dell'account di posta associato, poi quella della vostra area bancaria, da un altro dispositivo se possibile.
- Se avete installato un'applicazione fuori dagli store ufficiali, disattivate i dati mobili e disinstallatela; in caso di dubbio, un ripristino alle impostazioni di fabbrica resta l'unica garanzia.
Entro 48 ore
- Segnalate il messaggio inoltrandolo al 33700, servizio gratuito gestito dagli operatori francesi, o tramite l'app dedicata. Poi segnalate l'indirizzo web sulla piattaforma Phishing Initiative.
- Sporgete denuncia, online tramite il servizio di pre-denuncia oppure in commissariato. La ricevuta vi sarà richiesta dalla banca.
- Segnalate l'incidente su Cybermalveillance.gouv.fr, che indirizza verso le procedure adeguate.
Nei giorni successivi
- Controllate i vostri estratti conto quotidianamente per un mese.
- Ricordate l'articolo L133-18 del Code monétaire et financier: in caso di operazione non autorizzata segnalata senza indugio, la banca deve rimborsare immediatamente, salvo dimostrare una vostra negligenza grave. Un pagamento ottenuto con l'inganno non è, di per sé, una negligenza grave — diverse sentenze della Cour de cassation lo hanno ribadito negli ultimi anni, in particolare in materia di falso consulente bancario.
- Non dialogate mai più con un « servizio antifrode » che vi richiama spontaneamente. Riagganciate e componete voi stessi il numero riportato sul vostro contratto.
Ciò che un vero corriere non fa mai
Per concludere, un elenco breve da tenere a mente. Un corriere legittimo:
- non chiede mai il numero della vostra carta di credito via SMS;
- non richiede mai il codice di sicurezza a tre cifre, qualunque sia la situazione;
- non fa mai installare un'applicazione da un link ricevuto per messaggio;
- non minaccia mai la distruzione o il reso del pacco entro 24 ore;
- non vi chiama poi per « mettere in sicurezza » il vostro conto bancario.
L'SMS resta uno strumento straordinariamente pratico: diretto, universale, leggibile su qualsiasi dispositivo. È proprio per questo che fa gola ai truffatori. Inviare un messaggio breve a una persona cara, avvisare di un ritardo, trasmettere un codice: questi usi legittimi non hanno alcun motivo di sparire. Basta tenere a mente una regola, valida per tutta la messaggistica mobile — un messaggio che contiene sia un link sia un'urgenza va trattato come falso fino a prova contraria.
Risorse ufficiali
- Cybermalveillance.gouv.fr — schede pratiche e diagnosi online
- 33700 — piattaforma di segnalazione di SMS e chiamate fraudolente, gratuita
- Phishing Initiative — segnalazione degli indirizzi web malevoli
- DGCCRF — allerte per i consumatori e procedura di denuncia
- Direction générale des douanes et droits indirects — regole reali di sdoganamento dei pacchi
