C'è un momento dell'anno in cui i truffatori non hanno nemmeno bisogno di essere bravi: basta che si facciano trovare al momento giusto. Quel momento è la partenza per le vacanze, il fine settimana del rientro, il ponte di Ognissanti, la settimana del grande esodo. Non perché chi va in vacanza sia più ingenuo, ma perché si trova in uno stato mentale molto particolare: si aspetta messaggi, tanti messaggi, da persone che non conosce.
Una conferma di affitto. Un codice di accesso a una cassetta portachiavi. Un promemoria della compagnia aerea. Un SMS dell'autonoleggio. Un link per seguire la navetta. Nella vita di tutti i giorni, un messaggio da un numero sconosciuto che invita a cliccare fa scattare un campanello d'allarme. In viaggio, è diventata la normalità. È esattamente questa normalizzazione che lo smishing — il phishing via SMS, così come lo definisce Cybermalveillance.gouv.fr — sfrutta durante i periodi di ferie.
Perché il viaggio abbassa la guardia
Le campagne di SMS fraudolenti funzionano secondo un principio semplice: inviare uno scenario plausibile a centinaia di migliaia di numeri e aspettare che il caso faccia coincidere il messaggio con la situazione reale del destinatario. Nel periodo delle vacanze, quel caso diventa una quasi certezza.
Si sommano quattro fattori.
Vi aspettate davvero messaggi da numeri sconosciuti. Un host Airbnb, un'agenzia immobiliare, un campeggio, un parcheggio aeroportuale: sono tutti interlocutori legittimi che vi scrivono da numeri mai visti prima. Il filtro mentale «questo numero non lo conosco» smette di funzionare.
Il tempo stringe. Un SMS che annuncia un problema con la prenotazione tre giorni prima della partenza non lascia spazio a rinvii. L'urgenza non ha nemmeno bisogno di essere costruita: è già nel vostro calendario.
Le condizioni di lettura sono pessime. In piedi in fila all'imbarco, in un'area di servizio, con il sole sullo schermo e un bambino che vi tira la manica. In queste condizioni nessuno controlla l'ortografia di un nome di dominio.
Il telefono è vulnerabile. Batteria scarica, rete instabile in zone rurali, wifi d'albergo condiviso. Uno smartphone all'8% spinge ad agire in fretta, a cliccare invece di verificare, a pensare «ci guardo meglio dopo».
È anche per questo che una power bank da viaggio non è un accessorio di comodità ma un vero strumento di sicurezza: un telefono carico è un telefono con cui ci si può prendere il tempo di chiamare il numero vero dell'hotel invece di cliccare sul link ricevuto.
I cinque scenari stagionali più diffusi
1. La prenotazione che «non è stata convalidata»
Il messaggio arriva qualche giorno prima dell'arrivo: «La sua prenotazione del 12/08 non ha potuto essere confermata, il pagamento è stato rifiutato. Regolarizzi entro 24 h per evitare l'annullamento.» Il link porta a una pagina che imita fedelmente una nota piattaforma di prenotazione.
La trappola è doppia. Prima di tutto la paura di perdere l'alloggio, prenotato magari da mesi. Poi la cifra modesta: non vi chiedono 800 €, vi chiedono di «riconvalidare» la carta o di versare una cauzione di 50 €. La DGCCRF e le piattaforme stesse ricordano regolarmente una regola inderogabile: nessun pagamento legittimo avviene al di fuori della piattaforma di prenotazione. Un proprietario che insiste per un bonifico diretto, un link di pagamento inviato via SMS o un saldo tramite carta regalo è, nella quasi totalità dei casi, un truffatore.
2. Il finto avviso di pedaggio non pagato
Lo scenario è esploso con la diffusione del pedaggio in flusso libero, il sistema senza barriere in cui si paga a posteriori su un sito ufficiale. Il messaggio è breve: «Transito non pagato il 09/08 sulla A79. Importo: 4,20 €. Regolarizzazione entro 72 h prima della maggiorazione.»
Tutto è calibrato: l'importo è realistico, l'autostrada esiste, il termine è plausibile. Molti automobilisti semplicemente non sanno se hanno pagato o no il transito. La regola: un pedaggio in flusso libero non si paga mai da un link ricevuto via SMS. Si digita da soli l'indirizzo del sito ufficiale della società autostradale interessata, oppure si usa l'app del proprio telepass. Lo stesso vale per i finti avvisi di contravvenzione: il sito ufficiale dell'Agence nationale de traitement automatisé des infractions è l'unico punto di accesso, e non vi manderà mai un SMS con un link di pagamento.
3. Il volo modificato e la finta carta d'imbarco
«Il suo volo AF1234 è stato modificato. Consulti la nuova carta d'imbarco.» Il link chiede il numero di prenotazione, il nome, a volte il passaporto e la carta di credito per «le spese di riemissione».
Qui l'obiettivo non è solo il denaro, sono i dati identificativi. Un dossier di viaggio completo — nome, data di nascita, numero di passaporto, indirizzo — viene rivenduto e serve poi ad aprire conti o a sottoscrivere finanziamenti. Il riflesso corretto: aprire l'app ufficiale della compagnia oppure consultare il tabellone in aeroporto. Una modifica di volo reale compare sempre nel vostro dossier, mai soltanto in un SMS.
4. La cassetta portachiavi e il codice di accesso
Più discreto, più subdolo. Il giorno prima dell'arrivo ricevete un messaggio: «Buongiorno, cambiamento dell'ultimo minuto per la consegna delle chiavi, la preghiamo di confermare la sua identità qui.» Il link raccoglie la scansione di un documento d'identità, a volte le coordinate bancarie «per la restituzione della cauzione».
Il segnale che deve mettere in allarme è il cambio di canale. Se tutta la conversazione si è svolta nella messaggistica della piattaforma e all'improvviso passa a un SMS, è una bandiera rossa. I truffatori recuperano gli annunci pubblici e contattano i viaggiatori alla cieca, sperando di imbattersi in qualcuno che ha effettivamente prenotato.
5. L'assistenza bancaria durante il viaggio
È la variante più costosa. Dopo un primo SMS di allerta («tentativo di pagamento all'estero di 749 €»), segue subito una telefonata, spesso da un numero che appare come quello della vostra banca grazie allo spoofing. Un interlocutore dai toni pacati vi chiede di «bloccare l'operazione» dettando i vostri codici o convalidando una notifica nell'app.
La regola ricordata dalla Fédération bancaire française e dalle banche stesse è assoluta: un consulente non vi chiederà mai di convalidare un'operazione, di comunicare un codice ricevuto via SMS o di installare un software di controllo remoto. Si riattacca e si richiama il numero riportato sul retro della carta.
La tabella di smistamento in dieci secondi
Quando arriva un messaggio e non avete né il tempo né la calma per indagare, questo schema basta nella stragrande maggioranza dei casi.
| Cosa dice il messaggio | Reazione corretta | Reazione rischiosa |
|---|---|---|
| Un pagamento è stato rifiutato | Aprire da soli l'app interessata | Cliccare sul link fornito |
| È dovuta una somma entro 24-72 h | Digitare a mano l'indirizzo ufficiale | Pagare dal link |
| Vi chiedono un documento d'identità | Passare dalla messaggistica della piattaforma | Inviare una scansione via SMS |
| Un consulente vi chiama dopo un SMS | Riattaccare e richiamare il numero della carta | Restare in linea e convalidare |
| Il link contiene un nome di marchio strano | Ignorare ed eliminare | «Dare solo un'occhiata» alla pagina |
Un punto tecnico spesso frainteso: l'indirizzo visualizzato in un link accorciato non significa nulla. Le campagne usano massicciamente accorciatori di URL e nomi di dominio che contengono il marchio legittimo come sottodominio. Un indirizzo del tipo secure-colissimo.paiement-xyz.top non ha nulla a che vedere con il servizio che imita: quel che conta è ciò che precede immediatamente l'estensione, non ciò che compare all'inizio.
Preparare il telefono prima di partire
La protezione migliore in viaggio si costruisce la sera prima della partenza, con calma, a casa.
Fate il punto sui canali ufficiali. Salvate in rubrica il numero della vostra banca, quello dell'assicurazione e quello della struttura ricettiva. Un numero già in memoria compare con un nome: se una presunta chiamata della banca arriva da un numero non identificato, il dubbio è immediato.
Bloccate l'anteprima delle notifiche. I codici di verifica usa e getta compaiono di default sulla schermata di blocco. In treno, in fila o in una camera condivisa, tanto basta a compromettere un account. L'impostazione si trova nelle preferenze delle notifiche, sotto «Anteprime» o «Mostra contenuto». Nello stesso spirito, una pellicola privacy per schermo di smartphone rende lo schermo illeggibile di lato: utile in aereo come al tavolino di un bar.
Portatevi di che ricaricare senza colonnine pubbliche. Le stazioni di ricarica USB aperte di aeroporti e stazioni pongono un problema concreto: una porta dati non controllata può, in certe configurazioni, essere sfruttata. Un semplice alimentatore USB con la sua presa a muro, oppure un cavo di ricarica senza trasferimento dati, elimina la questione. Non è paranoia: è la stessa logica per cui non si collega una chiavetta USB trovata per terra.
Fate un backup prima di partire. Un telefono perso o rubato durante le vacanze è un potenziale accesso alla messaggistica, alle mail e alle app bancarie. Un backup aggiornato e l'attivazione della localizzazione da remoto cambiano completamente l'esito. Prevedete anche come proteggere fisicamente il dispositivo: sabbia, acqua salata e borse da spiaggia fanno più danni di quanto si creda, e una custodia impermeabile per smartphone costa meno di uno schermo da sostituire.
Wifi d'albergo, reti pubbliche e falsi portali
Il wifi gratuito del campeggio o della hall dell'hotel merita un capitolo a parte. Oggi il rischio principale non è più tanto l'intercettazione dei dati — la maggior parte dei siti e delle app cifra gli scambi — quanto il falso captive portal: quella pagina che si apre per chiedervi di «autenticarvi» prima di accedere alla rete, e che a volte reclama un'e-mail, una password o perfino una carta di credito «per verifica».
Bastano tre regole:
- Un captive portal legittimo non chiede mai la password della vostra casella di posta né il numero della carta.
- Verificate il nome esatto della rete alla reception. Una rete chiamata «Hotel_Wifi_Free» accanto alla vera «Hotel-Wifi» è una trappola classica.
- Per le operazioni sensibili — banca, fisco, acquisti — preferite la connessione dati del telefono. L'hotspot dal vostro piano tariffario è più sicuro di una rete aperta, e una SIM prepagata locale resta una buona opzione per i soggiorni lunghi fuori dall'Europa.
Se il messaggio è già stato aperto
Aprire un SMS fraudolento non è di per sé pericoloso. Il rischio comincia con il clic e diventa serio quando si inseriscono informazioni.
- Avete solo cliccato senza inserire nulla. Chiudete la pagina, non tornateci, non compilate niente. Verificate che nessuna applicazione si sia installata a vostra insaputa, in particolare su Android dove l'installazione da fonti esterne resta possibile.
- Avete inserito dati bancari. Bloccate immediatamente la carta tramite l'app della vostra banca o il numero sul retro della carta. Dall'estero, quel numero resta raggiungibile. Conservate gli screenshot.
- Avete trasmesso un documento d'identità. Segnalatelo e tenete d'occhio l'eventuale apertura di conti a vostro nome. Una denuncia, anche a distanza, costituisce un elemento utile.
- Segnalate il messaggio. In Francia il numero 33700 raccoglie le segnalazioni di SMS fraudolenti: inoltrate il messaggio al 33700, poi inviate il numero del mittente quando vi viene richiesto. Il servizio è gratuito. Potete anche effettuare una segnalazione sulla piattaforma ufficiale Cybermalveillance.gouv.fr, che indirizza verso le procedure adeguate, e su internet-signalement.gouv.fr (PHAROS) per i contenuti illeciti.
- Avvisate chi vi sta intorno. Le campagne colpiscono intere fasce di numerazione. Se l'avete ricevuto voi, probabilmente l'hanno ricevuto anche i vostri cari partiti nello stesso periodo.
Il caso particolare dei viaggiatori anziani
Le persone anziane partono spesso per le vacanze con punti di riferimento digitali meno solidi e, soprattutto, con il timore di «combinare un guaio» che le spinge a obbedire invece che a verificare. Tre accorgimenti semplici aiutano molto.
Concordare prima della partenza un interlocutore di fiducia raggiungibile in caso di dubbio: una telefonata di trenta secondi a un figlio o a un vicino disinnesca qualsiasi truffa. Scrivere su un foglietto da tenere nel portafoglio i numeri veri della banca e dell'assicurazione, perché sotto stress non si va a frugare nel telefono. E, per chi in viaggio non ha bisogno di uno smartphone, un cellulare con tasti grandi riduce meccanicamente la superficie d'attacco: niente browser, niente link cliccabili, niente app bancaria.
Una regola sta in una frase e copre il 95% delle situazioni: non si paga e non ci si identifica mai da un link ricevuto, qualunque sia il mittente visualizzato. Si torna sempre al canale che si è scelto da soli.
Cosa ricordare
Le truffe via SMS delle vacanze non sono più sofisticate delle altre. Sono semplicemente più sincronizzate con la vostra vita. Il rimedio non consiste nel diventare esperti di sicurezza informatica, ma nel reintrodurre un piccolissimo intervallo tra la lettura e l'azione: aprire da soli l'app, digitare da soli l'indirizzo, richiamare da soli il numero ufficiale.
Quell'intervallo costa trenta secondi. Ed è esattamente ciò che i truffatori non possono permettersi di concedervi.
