« EMERGENZA — I nostri team sono sul posto. Ogni donazione di 10 € garantisce 3 giorni di acqua potabile a una famiglia. Sostienici: don-solidarite-urgence[.]org — Grazie per la tua generosità. »
Nessuna minaccia. Nessun termine di 48 ore. Nessuna maggiorazione. Solo una frase che vi mette dalla parte giusta della storia e un link che promette di trasformare il vostro senso di colpa diffuso in un gesto concreto.
È esattamente per questo che questo SMS è temibile. Tutte le campagne di smishing che impariamo a riconoscere — la multa non pagata, il pacco bloccato, il conto bancario sospeso — si basano sulla paura. Il cervello finisce per associare « SMS inatteso + stress » a « truffa ». Il falso appello alle donazioni aggira completamente questo riflesso: non vi spaventa, vi fa piacere. E un lettore che si sente generoso non si sente in pericolo.
Una frode che segue l'attualità passo passo
Le campagne di false donazioni non sono continue: sono legate agli eventi. Compaiono nelle 24-72 ore successive a un fatto di rilievo, quando la copertura mediatica è massima e la verifica è più difficile.
I fattori scatenanti classici:
- una catastrofe naturale ampiamente ripresa dai media (terremoto, alluvioni, incendi);
- un conflitto o una crisi umanitaria che occupa i telegiornali;
- un dramma locale molto commentato (incidente, scomparsa, raccolta fondi per una famiglia);
- i momenti clou del calendario benefico francese: campagna invernale delle associazioni di aiuto ai più bisognosi, Téléthon, raccolte alimentari di fine anno, periodi di detrazione fiscale a dicembre.
Quest'ultimo punto è sottovalutato. A dicembre, milioni di famiglie francesi effettuano realmente una donazione per beneficiare della detrazione d'imposta prevista dall'articolo 200 del Code général des impôts. Un SMS di appello alle donazioni ricevuto il 20 dicembre non ha nulla di anomalo: molte associazioni legittime comunicano effettivamente in quel periodo. Il truffatore si inserisce in un flusso già esistente, che è sempre la posizione migliore per un frodatore.
Cybermalveillance.gouv.fr, il dispositivo pubblico di assistenza alle vittime di atti di cybercriminalità, ricorda regolarmente che il phishing via SMS — lo smishing — figura tra le minacce più segnalate dai privati e che i truffatori adattano sistematicamente i loro pretesti all'attualità. Il settore benefico è semplicemente uno dei costumi più facili da indossare: non richiede né un logo amministrativo complesso, né un numero di pratica credibile.
Che cosa cerca davvero il truffatore
Si immagina che l'obiettivo sia incassare la vostra donazione da 20 €. È lo scenario meno redditizio per lui, e tuttavia il più rassicurante per voi. La realtà è spesso più ampia.
La donazione occasionale dirottata
Versione più semplice: la pagina di pagamento incassa la somma, ringrazia calorosamente e talvolta invia persino una falsa ricevuta fiscale in PDF. La vittima non si accorge di nulla per mesi — al momento della dichiarazione dei redditi, quando l'amministrazione non riconosce l'organizzazione.
La cattura dei dati bancari
Il modulo di « donazione » chiede il numero della carta, la data di scadenza, il codice di sicurezza. Ottenuti questi tre elementi, l'importo effettivamente addebitato non ha più alcun rapporto con i 10 € annunciati. Alcune pagine spingono la malizia fino a proporre la « donazione mensile » già selezionata per impostazione predefinita, il che rende il prelievo ricorrente perfettamente legittimo agli occhi della banca.
La validazione di autenticazione dirottata
È la variante più costosa. Inserite la vostra carta, un vero codice di conferma arriva dalla vostra banca e voi lo convalidate nell'app bancaria pensando di confermare una donazione. Peccato che la transazione che state autenticando non sia quella visualizzata sullo schermo. Poiché avete convalidato voi stessi nella vostra applicazione, la successiva contestazione diventa nettamente più difficile.
La profilazione del vostro profilo
Anche senza pagamento, il semplice fatto di cliccare e iniziare a compilare il modulo segnala che il vostro numero è attivo, che siete sensibili alle cause umanitarie e spesso che appartenete a una determinata fascia d'età. Questo profilo viene rivenduto. È così che una persona che ha cliccato una volta riceve poi tre SMS benefici a settimana, e in seguito telefonate da « fondazioni » sconosciute.
Una regola semplice: un clic su un link fraudolento non costa solo quello che pagate quel giorno. Costa anche il posto che il vostro numero occuperà d'ora in poi negli archivi rivenduti tra truffatori.
I segnali che tradiscono il falso appello alle donazioni
Il messaggio è breve, cortese, senza errori di ortografia grossolani. L'epoca del testo tradotto male è ampiamente superata. Bisogna quindi guardare altrove.
Il nome di dominio. È il punto di controllo numero uno. Le grandi associazioni francesi utilizzano domini brevi e stabili: croix-rouge.fr, restosducoeur.org, secourspopulaire.fr, unicef.fr, medecinsdumonde.org, fondation-abbe-pierre.fr. Un link del tipo don-croixrouge-urgence.net, soutien-restos2026.info o secours-populaire-france.help è falso, per quanto verosimile possa sembrare. I truffatori giocano sui trattini aggiunti, sulle estensioni esotiche e sui sottodomini ingannevoli.
L'assenza di un canale alternativo. Una vera campagna di donazioni vi lascia sempre più porte: il sito ufficiale, un numero di telefono, un modulo cartaceo, una donazione tramite assegno. Un SMS che propone solo il proprio link, senza mai menzionare il sito principale dell'associazione, è sospetto per costruzione.
L'urgenza sentimentale iper-specifica. « Restano 4 ore per finanziare le coperte. » Le associazioni serie comunicano su programmi, non su conti alla rovescia precisi all'ora.
Il metodo di pagamento. Nessuna associazione riconosciuta chiede una donazione tramite bonifico istantaneo verso l'IBAN di un privato, tramite carta regalo, criptovaluta o attraverso un link di pagamento tra privati. È un segnale eliminatorio immediato.
Il mittente visualizzato. Il nome che compare in cima allo schermo non prova assolutamente nulla. Lo spoofing — l'usurpazione dell'identificativo del mittente — permette di visualizzare « CROIX-ROUGE » o « UNICEF » al posto di un numero. Peggio: il messaggio fraudolento a volte si inserisce nello stesso thread di conversazione dei veri SMS dell'organizzazione, il che gli conferisce la massima credibilità.
La verifica in tre minuti, senza stress
La buona notizia è che una donazione non è mai urgente. Nessuno perde un vantaggio donando trenta minuti dopo. Questo tempo a disposizione è la vostra arma migliore.
- Non toccate il link. Nemmeno per « dare un'occhiata ». Alcune pagine attivano reindirizzamenti o tentano di installare un'applicazione.
- Aprite voi stessi il sito dell'associazione, digitandone il nome nel browser. Se la campagna annunciata via SMS esiste, sarà in home page. Se non c'è, la risposta è chiara.
- Verificate che l'organizzazione sia abilitata a rilasciare una ricevuta fiscale. Il sito dell'associazione lo indica e l'amministrazione fiscale precisa su impots.gouv.fr le condizioni della detrazione d'imposta per le donazioni alle opere benefiche.
- Consultate il Comité de la Charte / Don en confiance, l'organismo francese di certificazione volontaria delle associazioni che fanno appello alla generosità del pubblico. Il suo elenco online riporta gli enti certificati. Non è una garanzia assoluta — molte associazioni oneste non sono certificate — ma è un riferimento utile.
- Donate attraverso il canale che avete scelto, mai attraverso quello che vi è stato proposto.
Per chi preferisce una traccia cartacea, tenere a portata di mano un quaderno per appunti A5 in cui annotare le donazioni effettuate, la data e l'ente evita i doppioni e facilita enormemente la dichiarazione dei redditi in primavera.
Il caso particolare della donazione via SMS legittima
In Francia esistono vere campagne di donazione via SMS, regolamentate dagli operatori. Funzionano secondo uno schema molto riconoscibile: vi si chiede di inviare una parola chiave a un numero breve di cinque cifre (tipo 92xxx) e l'importo, fisso, viene addebitato sulla vostra bolletta telefonica o sul vostro credito prepagato.
Le differenze con la frode sono nette:
| Donazione via SMS legittima | Falso appello alle donazioni |
|---|---|
| Siete voi a inviare il messaggio, l'iniziativa è vostra | Ricevete un messaggio non richiesto |
| Numero breve a 5 cifre, annunciato pubblicamente | Link web verso un dominio sconosciuto |
| Importo fisso e indicato (5, 10 €…) | Importo libero, modulo per la carta di credito |
| Nessun dato bancario richiesto | Carta, codice di sicurezza, a volte documento d'identità |
| Campagna diffusa in televisione, alla radio, sui manifesti | Campagna nota solo a voi, via SMS |
Ricordate la riga più importante: una donazione legittima via SMS non chiede mai la vostra carta di credito in un modulo web aperto da un link ricevuto.
Perché i familiari anziani sono più esposti
Non è una questione di credulità, è una questione di sociologia della donazione. Gli studi sulla generosità in Francia mostrano regolarmente che i donatori abituali sono in maggioranza persone con più di 60 anni, spesso fedeli a due o tre associazioni da decenni. Sono abituate a essere sollecitate — per posta, per telefono, via e-mail — e questo flusso di sollecitazioni rende una richiesta in più perfettamente banale.
Si aggiunge un fattore pratico: leggere un indirizzo web completo sullo schermo di uno smartphone, con i suoi trattini e la sua estensione, presuppone un'acuità visiva e una dimestichezza tecnica non scontate. Molti utenti vedono « croix-rouge » nell'URL e si fermano lì. Su questo punto, aumentare la dimensione dei caratteri del telefono nelle impostazioni di accessibilità cambia più cose di qualsiasi software: un testo più grande rende visibile il dominio fraudolento. Una lente d'ingrandimento per la lettura con LED appoggiata sul tavolo del soggiorno offre lo stesso servizio per la corrispondenza cartacea, che resta il canale principale delle sollecitazioni benefiche.
Per i familiari dotati di un apparecchio troppo complesso per loro, un telefono cellulare con tasti grandi riduce meccanicamente la superficie d'attacco: niente browser moderno, niente modulo di pagamento, niente installazione di applicazioni. L'SMS fraudolento arriva comunque, ma non porta da nessuna parte.
Infine, la conversazione conta più dell'attrezzatura. Concordare una regola familiare semplice — « non si dona mai da un link, si dona sempre dal sito o con assegno » — protegge meglio di un elenco di segnali da memorizzare. Una guida pratica sulle truffe digitali posata accanto al telefono funge da promemoria discreto, senza dare l'impressione di un controllo.
Cosa fare se avete già donato
Il riflesso più importante è il primo: non perdere tempo a vergognarsi.
- Contattate immediatamente la vostra banca per bloccare la carta utilizzata. Il servizio di blocco è raggiungibile 24 ore su 24. Chiedete esplicitamente il blocco e la contestazione delle operazioni.
- Non convalidate più alcuna notifica della vostra app bancaria nelle ore successive. Se compare una richiesta di convalida senza che voi abbiate avviato alcunché, rifiutatela.
- Segnalate l'SMS al 33700, il dispositivo nazionale di segnalazione degli SMS e delle chiamate indesiderate: inoltrate il messaggio al 33700, poi rispondete con il numero del mittente quando vi viene richiesto. Il servizio è gratuito.
- Segnalate l'indirizzo fraudolento su Phishing Initiative (phishing-initiative.fr) e denunciate i fatti sulla piattaforma ufficiale THESEE, accessibile da service-public.fr, dedicata alle truffe online.
- Sporgete denuncia al commissariato o alla gendarmeria. È spesso indispensabile per ottenere il rimborso.
- Avvisate l'associazione usurpata. Le grandi associazioni dispongono di unità dedicate e sporgono denuncia a loro volta; la vostra segnalazione alimenta le loro azioni.
Quanto al rimborso, l'articolo L133-18 del Code monétaire et financier stabilisce il principio: in caso di operazione di pagamento non autorizzata, la banca rimborsa immediatamente il pagatore. Il punto di attrito riguarda la « negligenza grave » — da qui l'importanza di documentare con precisione ciò che avete inserito e convalidato. Conservate screenshot dell'SMS, della pagina di pagamento e degli scambi con la banca. Un disco rigido esterno portatile o una semplice cartella archiviata permette di conservare queste prove fuori dal telefono, nel caso in cui quest'ultimo venisse ripristinato.
Donare resta una buona idea
Sarebbe assurdo concludere che bisogna smettere di donare. Le associazioni francesi constatano del resto un effetto collaterale spiacevole di queste frodi: la diffidenza generale finisce per erodere le donazioni legittime, comprese quelle effettuate attraverso canali perfettamente sicuri.
L'atteggiamento giusto non è la diffidenza, è il controllo del canale. Scegliete voi stessi due o tre cause, andate sui loro siti, attivate una donazione regolare o annotate i loro recapiti, e considerate per impostazione predefinita che qualsiasi sollecitazione in entrata non prevista — SMS, e-mail, chiamata, messaggio su un'app di messaggistica — non sia altro che un invito ad andare a verificare altrove.
Un truffatore ha bisogno che voi clicchiate nel suo perimetro. Dal momento in cui decidete che la donazione avverrà nel vostro, la truffa non ha più alcuna presa. E la generosità, quella, arriva a destinazione.
