# «Hai un nuovo messaggio vocale»: la truffa della falsa segreteria che svuota i conti

> Un SMS annuncia un messaggio vocale in attesa, un link da cliccare, un'app da installare. Analisi di una truffa discreta che trasforma la segreteria telefonica in un cavallo di Troia, e le buone abitudini per non caderci mai.

- Source: https://www.envoyer-sms-gratuit.com/it/blog/2026-08-31/arnaque-sms-messagerie-vocale-faux-repondeur
- Published: 2026-08-31 (31 agosto 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: it
- Categories: Guide
- Tags: Cybersécurité, SMS, Smartphone, Protection des données, Seniors, France 2026

---
Esci da una riunione, o da una visita medica. Il telefono vibra: «Hai ricevuto 1 nuovo messaggio vocale. Ascoltalo: [link]». Niente di preoccupante. Nessuno ti minaccia, nessuno ti chiede 2,99 €, nessun pacco bloccato in dogana. Solo qualcuno che ha provato a contattarti mentre non eri disponibile.

È esattamente per questo che funziona.

Da due anni la notifica di segreteria telefonica si è imposta tra le esche più redditizie dello smishing. Non innesca né paura né euforia, le due emozioni che abbiamo imparato a riconoscere. Innesca qualcosa di molto più difficile da contrastare: **la banale curiosità**.

![Uomo seduto che consulta uno smartphone tenuto con entrambe le mani, con una penna blu tra le dita](/images/blog/2026-08-31-arnaque-sms-messagerie-vocale-faux-repondeur/hero.jpg)

## Perché proprio questo messaggio sfugge a tutti i radar

Le campagne di sensibilizzazione, quelle degli enti pubblici come quelle delle banche, si basano su un elenco di segnali: urgenza, minaccia, errori di ortografia, richiesta di denaro, mittente sconosciuto. Il falso messaggio vocale non rientra in nessuna di queste caselle.

Guarda cosa propone davvero:

- **Nessuna urgenza.** Un messaggio vocale aspetta. Aspetterà anche domani. Non c'è un conto alla rovescia, quindi nessuna diffidenza si attiva.
- **Nessuna transazione.** Non ti si chiede né la carta di credito, né un bonifico, né un documento d'identità. Almeno, non subito.
- **Un fatto plausibile al 100 %.** Di sicuro questa settimana hai perso qualche chiamata. Il messaggio non ha nemmeno bisogno di essere credibile: lo è automaticamente.
- **Un gesto abituale.** Ascoltare la segreteria fa parte della routine di qualsiasi utente di telefono da trent'anni.

Aggiungi che diversi operatori inviano vere notifiche SMS di segreteria telefonica, a volte con un link al loro servizio di «visual voicemail». L'utente non ha più alcun punto di riferimento affidabile per distinguere il vero dal falso. Gli è stato insegnato a diffidare dei link, ma è il suo stesso operatore a inviargliene.

> La regola che resta valida: un messaggio vocale legittimo si ascolta **dal tuo telefono**, chiamando la segreteria o tramite l'app ufficiale del tuo operatore. Mai da un link ricevuto via SMS.

## Cosa succede dopo il clic: tre scenari

Il link non porta sempre nello stesso posto. I truffatori testano, segmentano, adattano in base al sistema operativo rilevato dalla pagina di atterraggio. Dominano tre famiglie di conseguenze.

### 1. La pagina di raccolta credenziali

È la versione più semplice. Il link apre una pagina che riproduce l'interfaccia del tuo operatore: logo, colori, note legali copiate e incollate. Il messaggio è sempre lo stesso: «Accedi alla tua area clienti per ascoltare il messaggio».

Inserisci nome utente e password. Finiscono direttamente al truffatore. E l'area clienti di un operatore è una miniera: contiene il tuo indirizzo, le coordinate bancarie, la fatturazione dettagliata e soprattutto la possibilità di ordinare una nuova SIM o modificare le opzioni. Si entra così nel territorio del dirottamento della linea telefonica.

### 2. L'app da installare

Versione più aggressiva, rivolta principalmente ad Android. La pagina annuncia che «l'ascolto richiede l'app Segreteria Vocale Visiva» e propone un file da scaricare al di fuori del Play Store.

Il file installato è un trojan bancario. Le famiglie note ai ricercatori di sicurezza — le varianti derivate da FluBot, smantellata nel 2022 da Europol ma ampiamente copiata da allora, o i ceppi tipo Anatsa segnalati da diversi produttori di antivirus — funzionano tutte secondo lo stesso principio:

| Cosa chiede l'applicazione | Cosa ne fa realmente |
|---|---|
| Accesso agli SMS | Intercetta i codici di conferma bancari |
| Accesso ai contatti | Rinvia lo stesso SMS truffaldino a tutta la tua rubrica |
| Servizio di accessibilità | Sovrappone finte schermate di accesso alle tue app reali |
| Visualizzazione sopra le altre app | Cattura ciò che digiti, password comprese |

È quest'ultimo punto a rendere grave la faccenda: la vittima non perde denaro nel momento del clic, ma tre giorni dopo, quando apre l'app della banca e inserisce i codici su una falsa schermata imitata alla perfezione.

### 3. Il reindirizzamento verso un numero a tariffazione maggiorata

Variante più discreta: il link mostra un pulsante «Chiama la segreteria» che compone un numero a pagamento. La chiamata viene fatturata diversi euro al minuto, con una voce registrata che ti fa attendere il più a lungo possibile. Il danno è modesto, qualche decina di euro, ma enorme sulla scala di un'intera campagna.

## Il segnale d'allarme che quasi nessuno guarda: l'indirizzo

Un messaggio vocale reale non rimanda mai a un dominio esotico. I truffatori usano indirizzi brevi, spesso creati il giorno prima, che sfruttano parole rassicuranti.

Esempi di schemi rilevati nelle campagne recenti:

- `segreteria-vocale-areaclienti.xyz`
- `segreteria-operatore-it.info`
- `voicemail-tim.online`
- accorciatori di link generici che nascondono la destinazione reale

L'accorgimento utile sta in una frase: **il nome di dominio è ciò che è scritto subito prima del primo `/`**. In `tim.it-segreteria.xyz/ascolto`, il dominio non è `tim.it`, è `it-segreteria.xyz`. Tutto ciò che precede è solo scenografia.

Su uno schermo di smartphone questa lettura è faticosa: la barra degli indirizzi è corta, il testo minuscolo e metà dell'URL viene troncata. È una delle ragioni per cui la frode mobile funziona meglio di quella via e-mail. Per chi strizza gli occhi davanti allo schermo, un [supporto per telefono regolabile](https://www.amazon.it/s?k=support+smartphone+r%C3%A9glable+bureau&tag=ds0c3d1-21) in altezza appoggiato sulla scrivania cambia davvero le cose: si legge un indirizzo con calma invece di indovinarlo a braccio teso.

## Cosa fare, concretamente, quando arriva questo SMS

### Non fare nulla è già un'azione valida

Se non sei sicuro, ignora il messaggio e chiama la segreteria normalmente. Sulla quasi totalità delle linee basta comporre il numero della propria segreteria telefonica — o tenere premuto a lungo il tasto 1. Se c'è un messaggio vero, è lì. Se non c'è nulla, hai appena chiuso la tua indagine in otto secondi.

### Segnala l'SMS

Inoltra l'SMS sospetto ai canali ufficiali di segnalazione degli SMS e delle chiamate fraudolente gestiti dagli operatori e dalle autorità. Il servizio ti risponderà chiedendo il numero del mittente: inoltra anche quello. È gratuito ed è ciò che permette la chiusura dei numeri emittenti.

Puoi anche presentare una segnalazione alla Polizia Postale tramite il **Commissariato di PS online**, e per un sito fraudolento sulla piattaforma **Phishing Initiative**.

### Blocca ed elimina

Sia su iPhone che su Android il blocco di un mittente si fa con due tocchi dalla conversazione. Questo non ferma la campagna — i truffatori cambiano numero ogni ora — ma ripulisce la tua schermata ed evita che una persona meno attenta, a cui presti il dispositivo, clicchi per sbaglio.

## Se hai già cliccato

Il solo clic, senza inserimento di dati né installazione, raramente è drammatico. Il pericolo comincia al passo successivo. Ecco l'ordine delle operazioni.

1. **Interrompi la connessione.** Modalità aereo immediata, il tempo di riprendere il controllo. Questo blocca l'esfiltrazione di dati in corso.
2. **Controlla l'elenco delle app installate.** Impostazioni → App, ordinate per data di installazione. Qualsiasi applicazione sconosciuta comparsa nei minuti successivi al clic va disinstallata. Su Android, se l'app rifiuta la disinstallazione, riavvia in modalità provvisoria.
3. **Cambia le password interessate**, cominciando dall'area clienti dell'operatore, dalla posta elettronica e dalla banca — da **un altro dispositivo**, non dal telefono sospetto. Un [computer portatile di casa](https://www.amazon.it/s?k=ordinateur+portable&tag=ds0c3d1-21) va benissimo.
4. **Avvisa la tua banca.** Blocca la carta se hai inserito dati bancari. Ricordiamo che la normativa europea sui servizi di pagamento impone il rimborso delle operazioni non autorizzate, salvo negligenza grave dimostrata dalla banca.
5. **Avvisa i tuoi contatti.** Questi software si propagano tramite la rubrica: un semplice messaggio di gruppo «non cliccate su ciò che vi ho mandato» evita una decina di vittime secondarie.
6. **Sporgi denuncia** in caso di danno economico, allegando gli screenshot dell'SMS e delle transazioni.

Nei casi più pesanti — app malevola installata da diversi giorni, comportamenti anomali persistenti — il ripristino completo del telefono resta l'unica garanzia. Da qui l'importanza di avere già i propri dati al sicuro: un [disco rigido esterno per smartphone](https://www.amazon.it/s?k=disque+dur+externe+portable+USB-C&tag=ds0c3d1-21) o un semplice backup cloud attivo trasformano una catastrofe in un pomeriggio spiacevole.

## Proteggere una persona cara che riceve molti di questi messaggi

Le persone più esposte non sono le meno intelligenti, sono le più sollecitate e le più sole davanti allo schermo. Un genitore anziano che riceve tre notifiche al giorno, statisticamente, finirà per aprirne una.

Alcune leve efficaci, in ordine di resa:

- **Attivare il filtro anti-spam integrato.** Su iPhone: Impostazioni → Messaggi → Filtra mittenti sconosciuti. Su Android, Google Messaggi propone dal 2025 una protezione rafforzata contro i link pericolosi, da verificare che sia attiva nelle impostazioni di sicurezza.
- **Disattivare l'installazione di app da origini sconosciute** su Android. È il lucchetto che blocca il 90 % dei trojan descritti sopra.
- **Concordare un unico riflesso**: «nel dubbio, mi mandi una foto del messaggio prima di toccare qualsiasi cosa». Nessuna regola complessa, una sola.
- **Semplificare il dispositivo quando ha senso.** Per un uso limitato a chiamate e SMS, un [telefono per anziani con tasti grandi](https://www.amazon.it/s?k=t%C3%A9l%C3%A9phone+portable+senior+grosses+touches&tag=ds0c3d1-21) elimina puramente e semplicemente la superficie d'attacco del browser web.
- **Mettere il sapere su carta.** Una guida pratica alla sicurezza digitale lasciata sul tavolino del salotto viene consultata molto più spesso di un link inviato via messaggio, soprattutto da chi già diffida degli schermi.

## Cosa ci insegna questa truffa su tutte le altre

Il falso messaggio vocale non è tecnicamente sofisticato. La sua forza è altrove: **si inserisce in un'abitudine** invece di disturbarla.

È lo spostamento fondamentale della frode mobile degli ultimi due o tre anni. Le prime ondate di smishing urlavano: conto bloccato, multa non pagata, pacco trattenuto. Giocavano sul panico, e il panico alla fine educa — ci si abitua, si sviluppano anticorpi. Le campagne attuali fanno il contrario: sussurrano. Un messaggio vocale, un aggiornamento di un'app, una conferma di appuntamento, un rimborso di pochi euro. Niente di allarmante, quindi niente da esaminare.

Di fronte a questo, l'elenco dei segnali d'allarme non basta più. Va sostituito con una regola di circolazione, molto più semplice da ricordare e da trasmettere:

> **Non si raggiunge mai un servizio attraverso il percorso che un messaggio ci propone.** Ci si arriva per la strada che già si conosce: il proprio numero di segreteria, la propria app installata, il proprio indirizzo digitato a mano, il proprio consulente.

Questa regola non richiede alcuna competenza tecnica. Non dipende dalla qualità del falso, dall'ortografia, dal logo né dal nome di dominio. Funziona altrettanto bene contro la falsa segreteria come contro il falso corriere, la falsa banca o il falso ufficio delle imposte. E ha il pregio di stare in una frase che si può ripetere a un adolescente come a un nonno.

Il prossimo SMS che annuncia un messaggio vocale arriverà. Forse domani. La risposta giusta non sarà indovinare se è vero: sarà chiamare la propria segreteria, come si faceva prima che a qualcuno venisse in mente di mandarti un link.

{/* image-sources: https://images.pexels.com/photos/8132426/pexels-photo-8132426.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}