«La tua offerta mobile sarà sospesa il 14/09 per mancato pagamento (1,90 € ancora dovuti). Regolarizza qui: espace-client-regularisation[.]info»
Una somma irrisoria. Una scadenza fra due giorni. E soprattutto: un servizio che possiedi di sicuro, visto che stai leggendo questo messaggio proprio sul telefono in questione.
È qui che risiede la superiorità statistica di questa truffa su tutte le altre. Un falso SMS di consegna funziona solo se stai aspettando un pacco. Una falsa multa funziona solo se guidi. Un falso SMS dell'assicurazione sanitaria presuppone che tu ne abbia una. Ma un falso SMS di un operatore telefonico raggiunge per definizione il 100 % dei destinatari: per ricevere il messaggio bisogna avere una linea mobile, quindi un operatore, quindi una fattura. Il tasso di pertinenza è massimo senza il minimo lavoro di targeting.
Perché questo scenario è matematicamente il più redditizio
Le campagne di smishing si valutano in base al rendimento: numero di vittime rapportato al numero di invii. I truffatori, che acquistano database di numeri all'ingrosso, ragionano esattamente come degli inserzionisti pubblicitari.
Ora, lo scenario «operatore» somma quattro vantaggi:
- Un bersaglio universale. Non serve alcun filtro. Orange, SFR, Bouygues Telecom e Free coprono la quasi totalità del mercato francese: scegliendo uno dei quattro a caso, il truffatore ha già una probabilità su quattro o cinque di indovinare, e ancora di più scrivendo semplicemente «il tuo operatore» senza nome di marca.
- Un importo credibile e indolore. 1,90 €, 2,40 €, 4,99 €: cifre che corrispondono a ciò che chiunque ha già visto su una bolletta telefonica (costi extra soglia, numero a sovrapprezzo, opzione attivata per errore). Troppo basse per giustificare una telefonata al servizio clienti, abbastanza reali da far venire voglia di chiudere la questione.
- Una sanzione immediata e concreta. La sospensione della linea non è una minaccia astratta. Senza telefono non si ricevono più i codici bancari, non si può più chiamare, si è tagliati fuori. Questa paura è ben superiore a quella di un pacco perduto.
- Un'abitudine preesistente. Gli operatori inviano davvero SMS: monitoraggio dei consumi, esaurimento dei giga, solleciti di pagamento, conferme d'ordine. Il falso messaggio si inserisce in un flusso legittimo già familiare.
L'Arcep, nelle sue raccomandazioni sui messaggi indesiderati e fraudolenti, ricorda che il settore delle telecomunicazioni figura tra le identità più usurpate nelle campagne di phishing in Francia, insieme ai servizi pubblici e alle banche. Cybermalveillance.gouv.fr classifica lo smishing tra le minacce più segnalate dai privati, con una quota crescente di scenari che imitano fornitori di servizi di uso quotidiano.
Le cinque varianti che si incontrano davvero
1. La regolarizzazione della fattura
La più diffusa. Importo piccolo, scadenza ravvicinata, link verso una falsa pagina di pagamento che riprende il logo e l'identità grafica dell'operatore. L'obiettivo immediato è la carta di credito — numero, scadenza, codice di sicurezza — poi la convalida 3-D Secure dirottata da un falso consulente che ti chiama subito dopo.
2. Il regalo fedeltà
«Gentile cliente, 18 anni di fedeltà: ricevi in omaggio il tuo smartphone ricondizionato, spese di spedizione 2 €». Il registro cambia completamente: niente più paura, ma gratificazione. È la stessa leva delle truffe sui rimborsi. Le spese di spedizione servono a catturare la carta di credito e, soprattutto, a far sottoscrivere, in caratteri minuscoli, un abbonamento ricorrente da 49 € al mese.
3. La falsa assistenza tecnica
«È stata rilevata un'anomalia sulla tua scheda SIM. Conferma la tua identità per evitare l'interruzione del servizio.» Qui non si chiedono soldi. Si chiedono il tuo identificativo cliente, la password dell'area riservata, a volte il numero della scheda SIM o il documento d'identità. È lo scenario più pericoloso, e il meno compreso dal pubblico.
4. Il falso rimborso di un importo pagato in eccesso
«A seguito di un errore di fatturazione, ti spetta un accredito di 38,60 €.» Variante commerciale del falso rimborso fiscale: ti viene chiesto un IBAN «per il bonifico», poi le credenziali bancarie «per verificare l'intestatario».
5. La falsa modifica dell'offerta
«La tua offerta cambia dal 1° ottobre: +3 € al mese. Per rifiutare, clicca qui.» Tecnicamente gli operatori hanno il diritto di modificare le condizioni contrattuali avvisando con un mese di anticipo, e il cliente può recedere senza spese: questa regola reale, prevista dal Code des postes et des communications électroniques, conferisce al falso messaggio una credibilità temibile.
Il vero bottino: la tua area clienti, non la tua carta
È il punto che la maggior parte degli articoli di prevenzione tralascia. Rubare 1,90 € non ha alcun interesse. Rubare un numero di carta di credito è utile, ma la carta verrà bloccata nel giro di pochi giorni.
L'accesso alla tua area clienti dell'operatore, invece, vale molto di più. Da lì, un truffatore può:
- ordinare una scheda SIM sostitutiva e farla recapitare a un indirizzo che controlla — è la porta d'ingresso del SIM swap, che gli consente poi di ricevere i tuoi codici di convalida bancaria;
- recuperare il tuo codice RIO, indispensabile per portare il tuo numero presso un altro operatore: con questo codice e i tuoi dati anagrafici può trasferire la tua linea e privartene;
- consultare le tue fatture dettagliate, che contengono il tuo indirizzo, a volte l'IBAN parzialmente mascherato, lo storico dei tuoi ordini;
- sottoscrivere opzioni, ordinare un telefono a rate a tuo nome, modificare l'indirizzo e-mail di contatto per tagliarti fuori dagli avvisi.
In altre parole, il modulo che ti chiede «solo» le credenziali è infinitamente più tossico di quello che chiede la carta. Il primo ti fa perdere l'identità digitale, il secondo una somma recuperabile presso la banca.
Regola semplice: un operatore non ti chiederà mai via SMS la password, il codice RIO, il codice PUK o una foto del documento d'identità. Questi elementi non circolano via messaggio.
Sei segnali che tradiscono il falso SMS
| Segnale | Messaggio legittimo | Messaggio fraudolento |
|---|---|---|
| Mittente | Nome breve non rispondibile (es. «Orange») o numero breve a 5 cifre | Numero di cellulare classico 06/07, oppure numero straniero |
| Link | Dominio ufficiale dell'operatore, senza sottodomini esotici | Dominio somigliante: orange-facture-client[.]info, sfr-regul[.]xyz |
| Personalizzazione | Spesso il tuo nome, le ultime 4 cifre della linea | «Gentile cliente», nessun dato verificabile |
| Importo | Corrisponde alla tua fattura reale | Cifra tonda o minuscola, mai riscontrabile |
| Scadenza | Diverse settimane, solleciti scaglionati | Da 24 a 72 ore, tono intimidatorio |
| Metodo di pagamento richiesto | Addebito già attivo | Carta di credito da inserire «in via eccezionale» |
Il segnale più affidabile resta il link. Gli operatori francesi utilizzano i propri domini principali; tutto ciò che assomiglia a nome-di-marca-qualcosa.tld merita immediata diffidenza. Su mobile l'URL viene troncato dalla visualizzazione: tieni premuto a lungo sul link per vederlo per intero senza aprirlo, oppure ricopialo a mano su uno schermo più grande. Molti lettori scoprono l'inganno semplicemente guardando il messaggio su un computer o su un tablet con supporto inclinabile, dove l'indirizzo compare per esteso.
Cosa fare, nell'ordine, se hai cliccato
Non perdere tempo a colpevolizzarti: la rapidità conta più della lucidità passata.
- Se hai inserito la carta di credito: chiama subito il numero per il blocco della tua banca (o quello riportato sul retro della carta) e fai bloccare la carta. In caso di addebito già effettuato, la banca deve rimborsare le operazioni non autorizzate ai sensi del Code monétaire et financier, salvo tua grave negligenza — da qui l'importanza di segnalare in fretta.
- Se hai inserito le credenziali dell'operatore: cambia la password dell'area riservata dall'app ufficiale, attiva l'autenticazione a due fattori se disponibile e verifica che non siano stati registrati ordini di SIM o cambi di indirizzo.
- Se riutilizzavi quella password altrove (cosa molto frequente), cambiala ovunque. È il momento di passare a un gestore di password o, in mancanza, a un quaderno per le password cartaceo riposto fuori dalla vista — soluzione imperfetta ma nettamente migliore della stessa password su quindici siti.
- Segnala il messaggio al 33700, piattaforma ufficiale di segnalazione degli SMS e delle chiamate indesiderate gestita dagli operatori e vigilata dall'Arcep: inoltra l'SMS al 33700, poi invia il numero del mittente quando ti viene richiesto. È gratuito e alimenta il blocco dei numeri emittenti.
- Segnala l'indirizzo del sito sulla piattaforma Phishing Initiative o tramite cybermalveillance.gouv.fr, che indirizza anche verso un supporto gratuito.
- Sporgi denuncia in caso di danno economico, presso la polizia, i carabinieri o tramite il servizio di denuncia online del ministero dell'Interno. Conserva screenshot, estratti conto e orari precisi.
Ridurre stabilmente la superficie d'attacco
Non si può impedire a un truffatore di scrivere. Si può però ridurre ciò che può ottenere dalla tua reazione.
Blindare l'accesso fisico. La scheda SIM è protetta da un codice PIN: non lasciarlo al valore di fabbrica. Se cambi spesso dispositivo o viaggi, un piccolo portaschede per SIM evita di perdere la tessera originale che riporta il codice PUK — documento che i truffatori adorano vedere circolare in foto.
Separare il canale bancario da quello quotidiano. Molte truffe riescono perché lo stesso telefono riceve la pubblicità, gli SMS sconosciuti e i codici di convalida bancaria. Alcune famiglie conservano volutamente un telefono cellulare basico con tasti grandi, con una seconda linea riservata agli enti sensibili: è una pratica diffusa tra chi è già stato vittima e tra gli anziani seguiti dai familiari.
Installare gli aggiornamenti e un filtro. Sia Android sia iOS filtrano ormai una parte dei mittenti sconosciuti e segnalano alcuni link pericolosi. Queste protezioni funzionano solo su un sistema aggiornato — il che presuppone a volte di sostituire una batteria stanca invece di rimandare gli aggiornamenti per paura di perdere autonomia.
Proteggere anche l'hardware. Uno schermo crepato non è un problema di cybersicurezza, ma rende quasi impossibile leggere un URL; una pellicola in vetro temperato e una custodia decente costano meno di un errore di lettura.
Formarsi, con calma. Le guide di Cybermalveillance.gouv.fr sono eccellenti e gratuite, ma per le persone meno a proprio agio con il digitale una guida cartacea sulle truffe digitali lasciata vicino al telefono funziona spesso meglio di un link mandato dai familiari: la si sfoglia nel momento del dubbio, senza schermo.
Il riflesso che rende la truffa inefficace
Tutto questo dispositivo si regge su una sola regola, semplice da ricordare e applicabile senza alcuna competenza tecnica:
Non usare mai il percorso fornito dal messaggio.
Se la fattura è vera, si troverà nella tua area clienti, accessibile dall'app ufficiale che apri tu stesso. Se la sospensione è reale, comparirà anche lì. Se il regalo fedeltà esiste, sopravvivrà a cinque minuti di verifica. Nessun operatore francese interrompe una linea in 48 ore per 1,90 € senza vari solleciti scritti precedenti.
Chiudi l'SMS. Apri l'app. Guarda la fattura. Nel 100 % dei casi fraudolenti non ci sarà nulla da pagare — e avrai evitato, in trenta secondi, una truffa che migliaia di persone pagheranno cara questo mese.
Un ultimo consiglio, valido per tutte le famiglie: parlatene. Questi messaggi funzionano perché li si affronta da soli, di fretta, tra un impegno e l'altro. Un SMS riletto ad alta voce davanti a qualcun altro perde all'istante la sua forza persuasiva. È probabilmente la misura di sicurezza meno costosa che esista.
