Prima settimana di settembre. Avete compilato quattordici moduli in tre giorni, spuntato una casella per la foto di classe, versato la quota per la cooperativa scolastica e creato un account su un portale famiglie di cui avete già dimenticato la password. Il telefono vibra: « Servizio mensa — rilevato saldo negativo sul conto di suo figlio. Regolarizzi entro l'08/09 per mantenere l'accesso al servizio di refezione scolastica: [link] ».
Non vi sembra affatto assurdo. La settimana scorsa avete effettivamente pagato qualcosa, senza essere certi che si trattasse proprio della mensa. Non ricordate più se l'addebito automatico sia stato rinnovato. E l'idea che vostro figlio possa ritrovarsi senza pranzo giovedì a mezzogiorno basta a far pendere la bilancia.
Lo smishing scolastico non si fonda su alcuna prodezza tecnica. Si fonda su qualcosa di molto più banale: a settembre i genitori hanno perso il filo delle proprie pratiche.
Perché il rientro a scuola è la finestra di tiro ideale
Le campagne di truffa via SMS seguono il calendario. I falsi pacchi esplodono tra novembre e dicembre, le false multe dopo i ponti, i falsi rimborsi fiscali in estate. Settembre, invece, appartiene alla scuola — e il terreno è particolarmente favorevole per tre ragioni.
Il volume di messaggi legittimi è anormalmente elevato. Tra l'applicazione del registro elettronico, il portale famiglie del comune, l'associazione dei genitori, la società sportiva e il servizio di trasporto scolastico, una famiglia può ricevere una decina di comunicazioni ufficiali in quindici giorni. Un messaggio fraudolento infilato in questo flusso non stona affatto.
I circuiti di pagamento sono frammentati. A seconda del comune, la mensa si paga su un portale municipale, tramite un fornitore privato, per addebito diretto, con carta o attraverso un'azienda in economia. Nessun genitore conosce a memoria il nome del fornitore della propria città. Questa ignoranza del tutto normale è esattamente ciò che il truffatore sfrutta: non ha nemmeno bisogno di imitare l'ente giusto, dal momento che voi non sapete quale aspettarvi.
In gioco c'è un bambino. È la vera differenza rispetto a un falso SMS bancario. Si può rimandare a domani la verifica di un conto. Non si rimanda a domani qualcosa che potrebbe privare il proprio figlio di un pasto, impedirgli di partecipare a una gita o escluderlo da un'attività. La leva non è la paura di perdere denaro, è la paura di essere un cattivo genitore.
Gli scenari più frequenti quest'anno
Le formulazioni cambiano, il meccanismo resta lo stesso. Ecco le varianti che ricorrono più spesso nelle segnalazioni di inizio anno scolastico.
| Pretesto | Messaggio tipo | Ciò che vi viene davvero chiesto |
|---|---|---|
| Insoluto della mensa | « Saldo negativo, regolarizzi entro 48 h » | Dati della carta di credito su un falso portale |
| Materiale scolastico o libri di testo | « Ordine dei libri incompleto, saldo da versare » | Piccolo pagamento + dati bancari |
| Gita scolastica / viaggio d'istruzione | « Acconto del viaggio non registrato » | Bonifico verso un IBAN fraudolento |
| Assicurazione scolastica | « Attestato obbligatorio mancante, sottoscriva qui » | Polizza fasulla + identità completa |
| Trasporto scolastico | « Tessera dell'autobus non convalidata, riattivi il badge » | Credenziali del portale regionale |
| Foto di classe | « Il suo ordine fotografico sta per scadere » | Pagamento su sito clonato |
| Account registro elettronico | « Il suo accesso sarà disattivato, si ricolleghi » | Credenziali riutilizzabili altrove |
Due tendenze meritano un'attenzione particolare.
La prima è la truffa del contributo economico. Alcuni messaggi annunciano un residuo dell'assegno per il rientro a scuola, un « bonus mensa » o un aiuto provinciale da riscuotere. Il principio è lo stesso dei falsi rimborsi della CAF o dell'Assurance Maladie: vi si promette denaro per ottenere le coordinate bancarie e un documento d'identità, che serviranno poi ad aprire un finanziamento o a dirottare versamenti reali. Ribadiamolo con chiarezza: l'assegno per il rientro a scuola viene versato automaticamente dalla CAF o dalla MSA alle famiglie aventi diritto, senza pratiche via SMS e senza link da cliccare.
La seconda è il messaggio d'urgenza presentato come inviato dall'istituto: « incidente nell'istituto, consulti la comunicazione alle famiglie », con un link. Questo pretesto non chiede denaro. Punta all'installazione di un'applicazione o alla raccolta di credenziali, facendo leva su un'emozione che cortocircuita ogni ragionamento. Nessun istituto scolastico comunica un allarme di sicurezza tramite un link esterno inviato da un numero di cellulare sconosciuto.
Ciò che rende credibili questi messaggi
Il nome del mittente non prova nulla
Molti di questi SMS compaiono con un nome di mittente testuale — « SCUOLA », « MENSA », « COMUNE » — anziché con un numero. Questa falsificazione dell'intestazione, o spoofing, è tecnicamente banale da realizzare tramite alcuni gateway internazionali. Peggio ancora: quando il nome visualizzato coincide con un mittente già presente nella vostra cronologia, il messaggio falso può inserirsi nella stessa conversazione degli SMS autentici dell'istituto, subito sotto il messaggio legittimo ricevuto la settimana precedente.
È il punto che i genitori scoprono con maggiore stupore. Il filo di conversazione non è una prova di autenticità: il telefono raggruppa i messaggi per nome visualizzato, non per identità verificata.
Nemmeno le informazioni personali provano qualcosa
Alcuni messaggi citano il nome del bambino, il comune, a volte il nome della scuola. Sembra impossibile senza accedere agli archivi dell'istituto — eppure questi dati circolano: fughe di dati dei fornitori di servizi extrascolastici, mailing list di associazioni, iscrizioni ad attività, social network dove i genitori pubblicano foto e nomi delle scuole a ogni inizio d'anno. Un nome conosciuto non è una firma.
La regola che vale sempre: un'informazione esatta all'interno di un messaggio non convalida il messaggio. Convalida soltanto il fatto che il mittente ha avuto accesso a quell'informazione, in un modo o nell'altro.
L'importo è volutamente irrisorio
12,40 €. 6,90 €. 23 €. Le somme richieste sono calibrate per non far scattare la diffidenza: troppo piccole per giustificare una telefonata al comune, abbastanza plausibili da corrispondere a qualche pasto. L'obiettivo non è quasi mai quell'addebito. L'obiettivo è l'inserimento del numero della vostra carta, della data di scadenza e del codice di sicurezza su una pagina clonata — dati che verranno poi usati per operazioni ben più consistenti, con conferma carpita da un falso consulente che vi chiamerà qualche giorno dopo.
La verifica in trenta secondi
Non serve essere esperti. Serve una sola abitudine: non usare mai il percorso proposto dal messaggio.
- Non cliccate sul link. Nemmeno per « dare solo un'occhiata ». Alcune pagine tentano un download automatico su Android.
- Aprite voi stessi il portale abituale. Tramite l'applicazione già installata, il preferito salvato nel browser o digitando l'indirizzo del comune. Se esiste davvero un insoluto, comparirà lì.
- Telefonate alla segreteria dell'istituto o all'ufficio scuola del comune al numero riportato su un documento cartaceo ricevuto a inizio anno, mai al numero contenuto nell'SMS.
- Guardate il dominio del link senza aprirlo, con una pressione prolungata che mostra l'URL. Gli indirizzi ufficiali francesi terminano con
.gouv.fr, con il.frdel comune o con il nome del fornitore conosciuto — non con suffissi esotici o nomi di dominio chilometrici. - Chiedete a un altro genitore. Un messaggio ai rappresentanti di classe basta spesso a sapere in trenta secondi se tutta la classe ha ricevuto lo stesso SMS.
Quest'ultimo punto è sottovalutato. Le campagne di smishing scolastico sono massicce: se il vostro vicino di pianerottolo ha ricevuto lo stesso messaggio pur avendo il figlio in un'altra scuola, il dubbio è sciolto all'istante.
Il fattore aggravante: il telefono del bambino
Settembre è anche il mese in cui molti bambini ricevono il loro primo dispositivo. Ma i messaggi fraudolenti non si fermano ai genitori: gli adolescenti ricevono le proprie versioni — falsi codici per videogiochi, false offerte telefoniche, falsi premi di concorsi — e statisticamente sono più propensi a cliccare.
Tre precauzioni valgono più di un lungo discorso:
- Configurate il filtraggio dei mittenti sconosciuti nell'applicazione Messaggi (sia Android sia iOS offrono uno smistamento automatico dei messaggi provenienti da mittenti non salvati in rubrica).
- Disattivate l'installazione di applicazioni da fonti esterne allo store ufficiale sui dispositivi Android.
- Prevedete un supporto fisico per le password: un quaderno per le password custodito in casa resta, per molte famiglie, più sicuro di un file « codici.txt » nelle note del telefono.
E se il dispositivo è destinato a un uso molto controllato, un telefono cellulare semplice con tasti grandi, senza browser né possibilità di installare applicazioni, riduce meccanicamente la superficie d'attacco — il messaggio trappola può arrivare, ma non porta da nessuna parte. È anche la soluzione che molte famiglie adottano per un nonno che riceve gli stessi messaggi senza avere i riferimenti per distinguerli.
Mettere in sicurezza il dispositivo che riceve questi messaggi
Uno smartphone che funge da unica porta d'ingresso alla vita amministrativa familiare merita alcune precauzioni materiali elementari, spesso trascurate.
Tenete il sistema aggiornato. La maggior parte delle pagine di phishing sfrutta la credulità, non le vulnerabilità — ma quelle che tentano di installare uno spyware prendono di mira versioni vecchie e non corrette.
Proteggete lo schermo e la scocca. Un telefono con il display rotto finisce per essere sostituito in fretta e furia, spesso recuperando i backup alla meno peggio e reinstallando applicazioni a caso: è lì che si insinuano gli errori di sicurezza. Una pellicola protettiva in vetro temperato e una cover antiurto non hanno nulla di affascinante, ma evitano questo genere di transizione precipitosa.
Tenete d'occhio l'autonomia. Un dispositivo che si spegne nel momento sbagliato vi priva dell'accesso alle applicazioni bancarie e all'autenticazione a due fattori, proprio quando avreste bisogno di verificare. Una batteria esterna compatta nella borsa risolve il problema per l'intera giornata scolastica.
Se avete cliccato, o pagato
Il peggior riflesso è il silenzio per vergogna. Questi messaggi sono concepiti da professionisti per ingannare persone attente; cadere nella trappola non è un difetto di intelligenza.
Entro un'ora:
- Contattate la banca per bloccare la carta utilizzata e segnalare l'operazione.
- Cambiate la password del portale coinvolto e di qualsiasi altro servizio in cui usavate la stessa.
- Non rispondete a nessuna chiamata in entrata che si presenti come la vostra banca: il falso consulente arriva quasi sempre dopo l'inserimento dei dati.
Nei giorni successivi:
- Segnalate il messaggio al 33700, la piattaforma ufficiale francese di segnalazione degli SMS fraudolenti (inoltrate l'SMS al 33700, poi inviate il numero del mittente quando vi viene richiesto).
- Sporgete denuncia, online o presso il commissariato. La ricevuta è spesso richiesta dalla banca.
- Consultate Cybermalveillance.gouv.fr, che propone una diagnosi guidata e indirizza verso le procedure adeguate, e il servizio Info Escroqueries (0 805 805 817), gratuito.
- Avvisate l'istituto scolastico: può allertare le altre famiglie, il che blocca la campagna molto più efficacemente di una segnalazione isolata.
L'articolo L. 133-18 del codice monetario e finanziario francese prevede il rimborso delle operazioni non autorizzate, salvo negligenza grave del cliente. Comunicare volontariamente i propri codici su un sito fraudolento viene spesso qualificato come negligenza dalle banche, ma la giurisprudenza si è evoluta a favore delle vittime di spoofing convincente. Insistete e non esitate a rivolgervi al mediatore bancario in caso di rifiuto.
Il riflesso da acquisire una volta per tutte
Il rientro a scuola passerà e i pretesti cambieranno: Halloween, i regali di Natale, le iscrizioni di gennaio, i viaggi d'istruzione di primavera. Ciò che non cambierà è la struttura della trappola.
Un ente reale + una scadenza ravvicinata + un piccolo importo + un link. Non appena questi quattro elementi convivono in uno stesso messaggio, consideratelo falso fino a prova contraria — e andate a cercare la prova altrove, non nel messaggio stesso.
Spiegatelo ai vostri figli, ai vostri genitori, alle altre famiglie della classe. Un libro divulgativo sulla cybersicurezza in famiglia può aiutare a gettare le basi con gli adolescenti, ma l'essenziale sta in una frase che tutti possono ricordare: un messaggio non si verifica mai con il messaggio stesso.
E se dovete avvisare rapidamente altri genitori che è in corso una campagna, un semplice SMS inviato da un servizio online, senza installare nulla, va benissimo. La migliore difesa collettiva contro una campagna di smishing resta ancora la velocità con cui l'informazione circola tra vicini di pianerottolo.
