«BANQUE DE FRANCE: a seguito di un incidente di pagamento, la sua pratica è oggetto di una procedura di segnalazione FICP. Regolarizzazione obbligatoria entro 48 ore: bdf-regularisation-dossier[.]com»
Il messaggio arriva un martedì mattina, tra una notifica di consegna e un promemoria di appuntamento. Non parla di pacchi, né di multe, né di tessera sanitaria. Parla di qualcosa di molto più intimo: la vostra solvibilità. E colpisce un punto che la maggior parte delle truffe ignora: la vergogna.
Perché una segnalazione alla Banque de France non è una semplice seccatura burocratica. È una parola che non si osa pronunciare, una situazione che non si racconta né ai propri cari né ai colleghi. I truffatori l'hanno capito: quando una vittima ha paura di parlarne con chi le sta intorno, non ha alcuna rete di protezione. Clicca da sola, paga da sola e poi tace.
Che cosa ha realmente comunicato la Banque de France
Questa campagna non è un'ipotesi da laboratorio. La Banque de France ha pubblicato più volte, sul proprio sito ufficiale, avvisi relativi a messaggi fraudolenti — SMS, e-mail, telefonate — che ne usurpano l'identità evocando una segnalazione o una procedura di sovraindebitamento. L'istituzione vi ricorda una regola semplice, da tenere a mente prima di ogni altra cosa:
La Banque de France non chiede mai, tramite SMS o e-mail, pagamenti, coordinate bancarie, copie di documenti d'identità né credenziali di accesso.
Le comunicazioni relative a una segnalazione avvengono per posta cartacea — tramite il vostro istituto bancario, che è l'organismo dichiarante — oppure attraverso i canali ufficiali della Banque de France che avete voi stessi contattato. Mai tramite un link ricevuto spontaneamente sul telefono.
Altro punto cruciale, spesso ignorato: la Banque de France non segnala nessuno di propria iniziativa. Gestisce gli archivi, ma l'iscrizione viene dichiarata da una banca o da un istituto di credito a seguito di un incidente preciso (rate di credito non pagate, assegno scoperto, decisione della commissione per il sovraindebitamento). L'istituzione è un cancelliere, non un controllore che viene a sorprendervi con un messaggio.
I tre archivi che i truffatori confondono di proposito
Il messaggio fraudolento funziona tanto meglio quanto più il lessico bancario risulta nebuloso per la maggior parte di noi. Ecco che cosa indicano realmente le sigle sbandierate dai truffatori.
| Archivio | Che cosa registra | Origine dell'iscrizione | Durata massima |
|---|---|---|---|
| FICP (Archivio degli incidenti di rimborso dei crediti ai privati) | Insoluti conclamati su un credito, pratiche di sovraindebitamento | Dichiarazione dell'istituto erogante o della commissione per il sovraindebitamento | 5 anni (fino a 7 anni per un piano di sovraindebitamento) |
| FCC (Archivio centrale degli assegni) | Assegni scoperti, ritiro della carta bancaria per uso abusivo | Dichiarazione della banca | 5 anni (cancellazione immediata dopo la regolarizzazione) |
| FNCI (Archivio nazionale degli assegni irregolari) | Assegni rubati, smarriti, conti chiusi | Dichiarazione della banca | Variabile |
Negli SMS fraudolenti queste sigle vengono usate indifferentemente, a volte inventate («archivio FBF», «registro nazionale degli incidenti»). È un ottimo indizio: una vera comunicazione bancaria è precisa, datata e menziona l'organismo dichiarante per nome.
L'anatomia del messaggio-trappola
Nelle decine di varianti osservate, la struttura resta straordinariamente stabile. Si regge su quattro elementi.
- Un'autorità presa in prestito. «Banque de France», a volte «BDF», a volte «Servizio nazionale di regolarizzazione bancaria» — un ente che non esiste. Il mittente può mostrare un nome anziché un numero: è spoofing dell'intestazione, tecnicamente banale da realizzare.
- Un termine molto breve. 24 ore, 48 ore, «prima della chiusura della pratica». L'urgenza è l'ingrediente universale dello smishing: impedisce la verifica.
- Una conseguenza sproporzionata. «Blocco dei suoi conti», «interdizione bancaria di 5 anni», «pignoramento dello stipendio». Nessuna di queste misure si attiva tramite SMS.
- Un link unico. Dominio lungo, trattini multipli, estensione esotica (.info, .icu, .top) oppure un nome di dominio che imita l'ufficiale
banque-france.fraggiungendovi una parola (banque-france-regularisation).
Il sito di destinazione, dal canto suo, è spesso una copia curata: logo, tipografia istituzionale, note legali copiate. Chiede i vostri dati anagrafici, il numero di previdenza sociale, un documento d'identità scansionato, poi le coordinate bancarie — e finisce per proporre il pagamento di «spese di cancellazione della segnalazione» da 29 a 99 €. Non esiste alcuna spesa per essere cancellati da un archivio della Banque de France.
Perché questo scenario colpisce profili molto diversi
Si tende a immaginare che solo le persone in difficoltà finanziaria abbocchino. È falso, ed è anzi il contrario a rendere redditizia la frode.
Le persone realmente segnalate ricevono il messaggio come una conferma di ciò che già sanno. Cliccano perché il messaggio «combacia» con la loro situazione — e perché sperano in una via d'uscita rapida.
Le persone che non lo sono affatto vanno in panico in modo diverso: si chiedono se un credito dimenticato, una garanzia prestata a un familiare o un furto d'identità non abbiano generato un incidente a loro insaputa. Il dubbio basta a far cliccare.
Gli anziani e le persone poco a proprio agio con il digitale sono i più esposti. Secondo i lavori del Défenseur des droits e del Crédoc sull'analfabetismo digitale, diversi milioni di francesi restano in difficoltà di fronte alle pratiche online. Davanti a un messaggio istituzionale, il riflesso è obbedire, non verificare. In famiglia è utile aver stabilito la regola in anticipo: nessun messaggio finanziario si gestisce da soli. Una rubrica telefonica a caratteri grandi posata accanto al telefono fisso, con il numero diretto della filiale bancaria e quello di un familiare di riferimento, vale più di qualsiasi filtro tecnico: trasforma un riflesso di panico in un riflesso di chiamata.
I lavoratori autonomi e le micro-imprese, infine, vivono con il timore costante di un mancato pagamento da parte di un cliente. Il messaggio li colpisce con efficacia a fine trimestre.
Verificare gratuitamente se si è segnalati: l'unica reazione giusta
È la risposta più efficace a questo tipo di SMS, e non costa nulla. Il diritto di accesso agli archivi della Banque de France è gratuito e garantito dal GDPR oltre che dalla legge francese Informatique et Libertés.
Esistono tre strade:
- Online, tramite il servizio di accesso agli archivi degli incidenti disponibile sul sito ufficiale della Banque de France, con autenticazione tramite FranceConnect.
- Di persona, presso una delle filiali della Banque de France, muniti di un documento d'identità in corso di validità.
- Per posta, all'indirizzo indicato sul sito ufficiale, allegando copia del documento d'identità.
In tutti e tre i casi: nessun pagamento, nessun intermediario, nessun link ricevuto via SMS. Se scoprite un'iscrizione che contestate, l'interlocutore da contattare è l'istituto dichiarante — la vostra banca — poi, in caso di disaccordo persistente, la Banque de France stessa e, se necessario, la CNIL.
Un dettaglio non trascurabile: per queste procedure vi servirà scansionare o fotografare dei documenti giustificativi. Tanto vale farlo bene, lontano da qualsiasi sito sospetto — uno scanner portatile per documenti o semplicemente un'applicazione ufficiale sul telefono permette di preparare una pratica in ordine da inviare attraverso i canali ufficiali, senza mai caricare i vostri documenti su una piattaforma sconosciuta.
I segnali che devono fermarvi in tre secondi
Prima ancora di leggere il contenuto, bastano alcuni riflessi di selezione.
- Un'amministrazione non inserisce mai un link di pagamento in un SMS. Né la Banque de France, né la DGFiP, né l'Assurance Maladie.
- Il "tu" istituzionale non esiste, così come non esistono errori di concordanza o maiuscole casuali («La sua Pratica è In Attesa»).
- Un numero francese che inizia per 06 o 07 per un messaggio istituzionale è un'assurdità: gli enti usano numeri brevi o intestazioni alfanumeriche.
- Il link accorciato (bit.ly, tinyurl e simili) non viene mai utilizzato da un'istituzione pubblica.
- Il messaggio vi conosce troppo poco o troppo bene. Niente nome completo, nessun riferimento di pratica? Sospetto. Al contrario, un messaggio iper-personalizzato può tradire una fuga di dati precedente.
Vale la pena ricordare un aspetto tecnico: la visualizzazione del mittente non prova nulla. Un SMS fraudolento può inserirsi in una conversazione già esistente con la vostra vera banca se l'intestazione usurpata è identica. Il filo della conversazione non è quindi una garanzia di autenticità: è uno dei preconcetti più pericolosi in materia di smishing.
Cosa fare se avete già cliccato
La tempistica conta più della gravità apparente.
Entro un'ora: se avete inserito credenziali bancarie, chiamate subito il numero riportato sul retro della carta o sull'app bancaria ufficiale — mai un numero trovato nell'SMS. Bloccate la carta. Il servizio interbancario Perte et vol (0 892 705 705) permette di bloccare una carta in urgenza.
Nella giornata: cambiate la password della vostra area bancaria da un dispositivo sicuro e attivate l'autenticazione a due fattori se non l'avete già fatto. Per chi gestisce molti conti, una chiave di sicurezza fisica FIDO2 rappresenta il livello di protezione più solido, nettamente superiore al codice ricevuto via SMS — proprio perché non dipende dalla rete mobile.
Entro 48 ore: segnalate il messaggio al 33700, la piattaforma ufficiale francese di contrasto allo spam via SMS, inoltrando il testo ricevuto e poi il numero del mittente. Effettuate quindi una segnalazione su cybermalveillance.gouv.fr e, in caso di danno economico, sporgete denuncia presso la polizia o la gendarmeria. Il servizio Perceval, accessibile dal sito service-public.fr, consente di segnalare una frode con carta bancaria.
Entro la settimana: se avete trasmesso un documento d'identità, considerate che esiste un rischio di furto d'identità. Esercitate il vostro diritto di accesso agli archivi della Banque de France per verificare che non sia stato acceso alcun credito a vostro nome, e tenete d'occhio gli estratti conto per diversi mesi.
Ricordiamo infine il principio sancito dal Code monétaire et financier francese: in caso di operazione di pagamento non autorizzata segnalata senza indugio, la banca deve in linea di principio rimborsare il titolare, salvo negligenza grave da parte di quest'ultimo. Una giurisprudenza ormai consolidata della Cour de cassation ha precisato che la sola comunicazione di un codice ricevuto via SMS, in un contesto di frode sofisticata, non basta a configurare tale negligenza grave. In altre parole: non rinunciate a reclamare.
Proteggere una persona cara senza metterla sulla difensiva
È spesso la parte più delicata. Parlare di soldi, di debiti o di segnalazioni con un genitore anziano o con un giovane adulto appena diventato indipendente tocca l'amor proprio. Alcuni approcci funzionano meglio della predica:
- Partire da sé. «Ho ricevuto questo SMS, per dieci secondi ci sono cascato» apre la conversazione là dove «stai attento» la chiude.
- Creare un canale di emergenza. Una parola d'ordine di famiglia, o semplicemente la regola «non si gestisce mai da soli un messaggio finanziario», disinnesca l'urgenza artificiale.
- Rendere più facile la chiamata che il clic. Per le persone anziane, un telefono per senior con tasti grandi con alcuni numeri programmati in memoria diretta riduce meccanicamente la tentazione di rispondere a un link: il primo riflesso torna a essere quello di chiamare qualcuno.
- Mettere in sicurezza il dispositivo. Uno smartphone aggiornato, protetto da un blocco biometrico ed eventualmente dotato di una SIM prepagata dedicata agli usi sensibili, limita i danni in caso di smarrimento o furto.
Infine, la cultura generale resta la migliore protezione. Un buon libro sulla cybersicurezza quotidiana, lasciato su un tavolino, insegna a una famiglia più di dieci allerte ministeriali — perché spiega il perché dei meccanismi anziché elencare divieti.
Cosa ricordare
Il falso SMS di segnalazione alla Banque de France non inventa nulla dal punto di vista tecnico: è smishing classico. La sua forza sta altrove, nella scelta del pretesto. Toccando la reputazione finanziaria, isola la vittima e neutralizza il riflesso più efficace contro le truffe: chiedere a qualcun altro che cosa ne pensa.
Bastano tre frasi per immunizzarsi:
- La Banque de France non notifica mai una segnalazione via SMS.
- La cancellazione di una segnalazione è sempre gratuita e passa dall'istituto dichiarante.
- Consultare gli archivi degli incidenti è un diritto gratuito, esercitabile online, in filiale o per posta.
Il resto — i link, i termini di 48 ore, le «spese di istruttoria» — è solo scenografia. Una scenografia dipinta molto bene, ma pur sempre scenografia.
