# RCS, l'SMS di nuova generazione: cosa cambia davvero questo standard per le truffe

> L'RCS sta gradualmente sostituendo l'SMS sui telefoni Android e iPhone. Loghi verificati, crittografia, messaggi arricchiti: cosa protegge realmente questo standard e quali nuove porte apre ai truffatori.

- Source: https://www.envoyer-sms-gratuit.com/it/blog/2026-09-06/sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces
- Published: 2026-09-06 (6 settembre 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: it
- Categories: Guide
- Tags: Cybersécurité, SMS, Smartphone, Protection des données, Guide, France 2026

---
«Colissimo — Il tuo pacco non ha potuto essere consegnato.» Il messaggio compare, ma qualcosa è cambiato. Accanto al nome del mittente, un piccolo logo tondo con i colori dell'azienda. Sotto, una casella blu: «Verificato». E tre pulsanti proposti: «Traccia il mio pacco», «Riprogramma», «Contatta il servizio clienti».

Non è più un SMS. È un messaggio RCS — e assomiglia molto più a una conversazione WhatsApp che al testo grezzo da 160 caratteri che conosciamo da trent'anni. Da quando Apple ha integrato lo standard in iOS alla fine del 2024 e Google lo ha generalizzato su Android, la messaggistica nativa del vostro telefono ha discretamente cambiato natura. La maggior parte degli utenti non se n'è mai accorta.

Questo passaggio è una buona notizia per la sicurezza. Ma crea anche una situazione pericolosa: un pubblico che impara a fidarsi dei piccoli loghi e delle spunte «verificato» senza sapere cosa garantiscano realmente — e soprattutto cosa non garantiscano.

![Smartphone appoggiato su un tavolo di legno che mostra il tastierino di chiamata con un numero sconosciuto composto](/images/blog/2026-09-06-sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces/hero.jpg)

## RCS: di cosa stiamo parlando esattamente?

La sigla significa *Rich Communication Services*, «servizi di comunicazione arricchiti». È uno standard promosso dalla GSMA, l'associazione mondiale degli operatori mobili, concepito già nel 2008 per sostituire SMS e MMS, diventati tecnicamente arcaici di fronte alle messaggistiche internet.

In concreto, l'RCS porta quattro cose che l'SMS non ha mai saputo fare:

- **Messaggi senza limiti di dimensione**, con foto, video e file a piena risoluzione;
- **Le conferme di lettura e l'indicatore «sta scrivendo»**, come nelle app di messaggistica;
- **Il passaggio via internet** (Wi-Fi o dati mobili) invece che tramite il canale di segnalazione della rete telefonica;
- **Mittenti professionali identificati**, con logo, nome completo, colore del marchio e badge di verifica.

È quest'ultimo punto che ci interessa qui. Nell'ecosistema RCS, un'azienda che desidera inviarvi messaggi non può più limitarsi a pagare un gateway e scrivere «SFR» o «CPAM» nel campo mittente. Deve passare attraverso un processo di registrazione: verifica dell'identità giuridica, convalida del logo, controllo da parte dell'operatore o di Google. È il tassello chiamato **RCS Business Messaging**.

Sulla carta, questo risolve il problema storico dell'SMS: la totale assenza di autenticazione del mittente.

## Il peccato originale dell'SMS, e perché l'RCS lo corregge

Bisogna capire quanto l'SMS sia un protocollo ingenuo. Creato alla fine degli anni Ottanta per un uso tra abbonati della stessa rete, non ha mai previsto un meccanismo di verifica del mittente. Quando un'azienda invia un messaggio, compila un campo di testo libero chiamato *sender ID*. Questo campo non viene verificato da nessuno nella catena tecnica.

È esattamente ciò che rende possibile lo **spoofing**: l'usurpazione del nome del mittente. Un truffatore che scrive «AMELI» in questo campo vedrà il proprio messaggio atterrare nel thread di conversazione esistente dell'Assurance Maladie sul vostro telefono, proprio sotto i messaggi autentici. Cybermalveillance.gouv.fr, il dispositivo nazionale francese di assistenza alle vittime di atti di cybercriminalità, documenta questo meccanismo da anni nelle sue schede sullo smishing.

Di fronte a ciò, la Francia ha istituito nell'ottobre 2023 il **registro dei nomi dei mittenti SMS**, gestito dall'Association Française du Multimédia Mobile (AF2M) sotto l'egida dell'Arcep. Ogni azienda che voglia utilizzare un nome alfanumerico deve ormai dichiararlo, e gli operatori bloccano gli invii il cui mittente non è registrato. È un vero progresso, ma resta nazionale: gli invii che transitano da gateway stranieri o da false antenne ripetitrici (i famosi SMS Blaster) aggirano in parte il dispositivo.

L'RCS va oltre, perché la verifica non è dichiarativa ma **crittografica e visiva**: il logo e il badge vengono inviati dalla piattaforma, non dal mittente del messaggio. Un truffatore non può fabbricarli nel testo del proprio messaggio.

## Cosa garantisce il badge «verificato» — e cosa non garantisce

È il cuore della questione, e la fonte della maggior parte dei malintesi.

**Ciò che il badge garantisce:**

> L'entità che vi scrive ha fornito documenti di identità aziendale ed è stata convalidata dalla piattaforma. Il logo visualizzato le appartiene. Il messaggio non è stato fabbricato da un terzo che si spaccia per lei.

**Ciò che il badge non garantisce affatto:**

- Che il contenuto del messaggio sia onesto. Una società commerciale realmente registrata può benissimo inviarvi un'offerta ingannevole, un abbonamento trappola o una sollecitazione aggressiva. La verifica riguarda l'identità, non l'intenzione.
- Che il link contenuto nel messaggio sia sicuro. Nulla impedisce a un messaggio legittimo di puntare verso una pagina compromessa.
- Che tutti i messaggi non verificati siano fraudolenti. Molte piccole realtà, associazioni, studi medici o autofficine inviano ancora semplici SMS. L'assenza del badge non è un segnale di frode.

Questa sfumatura è essenziale da trasmettere, soprattutto al pubblico più esposto. Abbiamo passato dieci anni a insegnare agli anziani che «il lucchetto verde nel browser non significa che il sito sia onesto». Il badge RCS sta diventando il nuovo lucchetto verde: un indizio utile, trasformato in prova assoluta da chi non sa cosa misuri.

## Le nuove superfici di attacco aperte dall'RCS

Passare dal testo grezzo a una messaggistica arricchita sposta meccanicamente il terreno di gioco. Tre evoluzioni meritano attenzione.

### 1. Il messaggio che non sembra più un messaggio

Un SMS fraudolento si riconosceva dalla sua bruttezza: errori, URL strani in chiaro, impaginazione inesistente. Un messaggio RCS può mostrare un **carosello di immagini**, pulsanti di azione, una mappa interattiva, un colore del marchio. L'errore di ortografia resta, ma è annegato in un'interfaccia curata che ispira fiducia.

Il riflesso «guardo il link prima di cliccare» diventa peraltro più difficile: in un pulsante di azione, l'URL di destinazione semplicemente **non è visibile**. Premete su «Traccia il mio pacco» senza mai vedere dove vi porta.

### 2. Il ritorno del file allegato

L'SMS trasportava solo un link. L'RCS trasporta file, fino a diverse centinaia di megabyte. Ritroviamo dunque nella messaggistica mobile un vettore che credevamo riservato alla posta elettronica: l'allegato trappola. Su Android, un file APK inviato in una conversazione e presentato come «l'applicazione per seguire la tua pratica» resta una delle principali modalità di installazione di spyware bancari, come documentano regolarmente i team dell'ANSSI e gli sviluppatori di soluzioni di sicurezza mobile.

### 3. La dipendenza da internet

L'RCS passa dai dati. Un messaggio inviato mentre siete in una zona non coperta o a corto di traffico passa automaticamente a SMS classico — quindi senza badge, senza logo, senza crittografia. Questo passaggio silenzioso crea un'incoerenza visiva che i truffatori possono sfruttare: «il tuo messaggio è arrivato in modalità degradata, clicca per consultarlo». Tenere il telefono carico e connesso ha qui una vera funzione di sicurezza, il che spiega il successo dei [power bank tascabili](https://www.amazon.it/s?k=batterie+externe+compacte+pour+smartphone&tag=ds0c3d1-21) tra i grandi utilizzatori del mobile.

![Giovane donna con occhiali da sole che legge un messaggio sul cellulare davanti a una vetrina](/images/blog/2026-09-06-sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces/body-1.jpg)

## E la crittografia, in tutto questo?

È l'argomento peggio compreso. L'SMS **non è crittografato end-to-end**: transita in chiaro nell'infrastruttura dell'operatore, che può tecnicamente leggerlo, ed è conservato per qualche tempo sui suoi server. È del resto per questa ragione che gli specialisti sconsigliano da tempo di ricevere via SMS i codici di autenticazione bancaria.

L'RCS ha a lungo ereditato questa debolezza. Google ha aggiunto la crittografia end-to-end nella propria applicazione Messaggi, ma soltanto tra due utenti di quella stessa app. Dalla pubblicazione del profilo **RCS Universal Profile 3.0** da parte della GSMA nel 2025, la crittografia end-to-end è prevista a livello dello standard stesso, anche tra Android e iPhone. La sua effettiva diffusione dipende dagli aggiornamenti dei sistemi operativi e delle applicazioni.

Teniamo a mente due cose:

| | SMS classico | RCS (profilo recente) |
|---|---|---|
| Mittente autenticato | No (registro AF2M in Francia) | Sì per i professionisti verificati |
| Crittografia end-to-end | No | Sì, a seconda delle versioni |
| Trasporto | Rete dell'operatore | Internet |
| Allegati | No | Sì |
| Leggibile senza rete dati | Sì | No |

La crittografia protegge i vostri scambi **privati** dall'intercettazione. Non protegge assolutamente in nulla dalla truffa: un truffatore che vi scrive direttamente vi scrive in un tubo crittografato, il che non rende la sua menzogna più affidabile. Confondere riservatezza e affidabilità è l'errore di ragionamento più frequente su questo tema.

## I riflessi da aggiornare nel 2026

L'arrivo dell'RCS non rende obsoleto nessuno dei riflessi esistenti. Ne aggiunge qualcuno.

**1. Verificare il canale, non il messaggio.** La regola d'oro resta invariata: nessuna amministrazione, nessuna banca, nessun corriere vi chiederà di inserire le vostre credenziali o le vostre coordinate bancarie a partire da un messaggio ricevuto. Qualunque sia il logo mostrato, si chiude e si va da soli sul sito ufficiale o nell'applicazione.

**2. Premere a lungo invece di toccare.** Nella maggior parte delle app di messaggistica, una pressione prolungata su un pulsante di azione o su un link mostra l'indirizzo di destinazione senza aprirlo. Prendete questa abitudine: è l'unico modo per vedere dove porta un pulsante RCS.

**3. Diffidare di qualsiasi file ricevuto in una conversazione.** Nessun servizio pubblico, nessuna banca francese distribuisce la propria applicazione se non tramite l'App Store o il Play Store. Un file di installazione ricevuto via messaggio è fraudolento, senza eccezioni.

**4. Guardare la coerenza, non l'estetica.** Un messaggio professionale verificato che vi dà del tu, che vi minaccia con una scadenza di 24 ore o che vi chiede una «regolarizzazione di 1,99 €» è sospetto qualunque sia la sua veste grafica. L'urgenza e il micropagamento sono i due indicatori più costanti della truffa.

**5. Tenere a portata di mano il 33700.** Il servizio nazionale francese di segnalazione di SMS e chiamate fraudolente, gestito dagli operatori sotto l'egida delle autorità pubbliche, accetta l'inoltro dei messaggi indesiderati. Parallelamente, la piattaforma Pharos e il sito cybermalveillance.gouv.fr restano i punti di accesso per i casi più gravi.

**6. Fare ordine tra le applicazioni di messaggistica.** Molti telefoni Android ospitano due applicazioni in grado di ricevere messaggi, il che moltiplica i punti di ingresso e confonde i riferimenti. Tenerne una sola, aggiornata, semplifica considerevolmente la vigilanza.

## Il caso particolare degli anziani e degli utenti poco a proprio agio

Ogni evoluzione dell'interfaccia produce un effetto collaterale: azzera i riferimenti di chi aveva impiegato anni a costruirseli. Una persona di 80 anni che era finalmente arrivata a capire che «un vero messaggio della mia banca non contiene mai un link» si ritrova davanti a bolle colorate, pulsanti, loghi e miniature.

Alcune misure semplici riducono il rischio:

- **Disattivare l'RCS** nelle impostazioni dell'app Messaggi se l'utente non ne fa alcun uso. Il telefono torna all'SMS classico, più povero ma più leggibile.
- **Bloccare l'installazione di applicazioni da fonti sconosciute**, opzione presente nelle impostazioni di sicurezza di Android, che neutralizza gran parte degli attacchi tramite allegato.
- Per usi davvero limitati, valutare un **[telefono per anziani con tasti grandi](https://www.amazon.it/s?k=telephone+portable+senior+grosses+touches&tag=ds0c3d1-21)**, la cui messaggistica resta volutamente basilare: meno funzioni significa anche meno superficie di attacco.
- Annotare su un **quaderno cartaceo per le password** custodito in casa le credenziali importanti, invece di conservarle nelle note del telefono o di doverle richiedere d'urgenza — un momento che i truffatori sfruttano.
- Sistemare un **supporto da scrivania per telefono** vicino alla postazione di lavoro domestica, perché la persona prenda l'abitudine di leggere i messaggi con calma, seduta, invece che per strada camminando. La fretta è il primo fattore di clic.

## Cosa bisogna ricordare

L'RCS è un miglioramento reale. L'autenticazione dei mittenti professionali rende molto più difficile la grossolana usurpazione di «CPAM» o «La Poste» che ha fatto la fortuna dello smishing per dieci anni. La crittografia end-to-end, man mano che si diffonde, colma una debolezza strutturale dell'SMS.

Ma nessun miglioramento tecnico ha mai eliminato una truffa: la sposta. Le campagne fraudolente migrano verso i normali numeri di cellulare, verso WhatsApp, verso le messaggistiche delle piattaforme di vendita, verso i falsi QR code. E soprattutto si appoggiano su ciò che la tecnica non correggerà mai: la paura, l'urgenza, la stanchezza, la fiducia accordata a un logo.

La domanda da porsi davanti a un messaggio non è quindi «sembra autentico?», ma «mi sta chiedendo qualcosa che non ho avviato io?». Quella domanda funziona indifferentemente su un SMS del 1995 e su un messaggio arricchito del 2026.

{/* image-sources: https://images.pexels.com/photos/11090579/pexels-photo-11090579.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/12679946/pexels-photo-12679946.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}