# «Ho già pagato, conferma la consegna»: la truffa del finto acquirente sui siti di annunci

> Stai vendendo un oggetto usato e un acquirente frettoloso ti invia un link via SMS per «confermare la ricezione del pagamento». Analisi completa della truffa del finto acquirente, dei segnali d'allarme e di cosa fare se hai già cliccato.

- Source: https://www.envoyer-sms-gratuit.com/it/blog/2026-09-16/arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement
- Published: 2026-09-16 (16 settembre 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: it
- Categories: Guide
- Tags: Cybersécurité, SMS, Guide, Cas d'usage, France 2026, Smartphone, Protection des données

---
«Buongiorno, prendo la sua bicicletta al prezzo richiesto, non serve trattare. Ho già effettuato il pagamento sicuro tramite la piattaforma, riceverà un SMS per confermare la ricezione dei fondi. Il mio corriere passa domani mattina.»

Il messaggio è educato, rapido, senza contrattazioni. È esattamente ciò che dovrebbe far scattare l'allarme — ed è esattamente ciò che rassicura. Dopo tre settimane di annuncio online e quattro curiosi che hanno offerto la metà del prezzo, un acquirente che dice subito di sì sembra una liberazione, non una trappola.

La truffa del finto acquirente ha una particolarità che la rende temibile: ribalta i ruoli. Tutte le campagne di prevenzione ci hanno insegnato a diffidare quando si **compra** online. Quasi nessuno ci ha spiegato che si può essere derubati **vendendo**. Eppure oggi è uno degli scenari di smishing più diffusi, e non colpisce più soltanto i principianti.

![Uomo con maglione beige che guarda il cellulare per strada, con un bicchiere di caffè in mano](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/hero.jpg)

## Lo scenario completo, passo dopo passo

A differenza del finto SMS di consegna che arriva a freddo, questa truffa si costruisce nel tempo. Parte sempre da un annuncio **reale**, pubblicato da te, su una piattaforma **reale**. Il truffatore non inventa nulla: sfrutta ciò che hai messo online.

**Fase 1 — Il contatto lampo.** Da pochi minuti a poche ore dopo la pubblicazione arriva un messaggio attraverso la chat interna del sito. L'acquirente accetta il prezzo indicato, non pone alcuna domanda tecnica sull'oggetto e si dichiara «molto interessato». Spesso invoca un vincolo: è in partenza per lavoro, compra per un familiare, non può spostarsi.

**Fase 2 — L'uscita dalla piattaforma.** È il momento cruciale. L'acquirente chiede il tuo numero di telefono «per fare prima» o «perché l'app non funziona». Tu glielo dai, lo scambio si sposta su SMS o su una messaggistica criptata. Hai appena abbandonato lo spazio in cui la piattaforma archivia, modera e può sospendere un account.

**Fase 3 — La prova di pagamento.** Il truffatore invia lo screenshot di un bonifico effettuato, a volte una falsa e-mail di conferma con i colori della piattaforma. Sono documenti ben fatti: logo corretto, font corretto, note legali ricopiate. Non hanno alcun valore, ma creano la sensazione che la trattativa stia procedendo.

**Fase 4 — L'SMS trappola.** Arriva un messaggio, apparentemente automatico, con un link: «Il venditore ha 480 € in attesa. Clicca per confermare la ricezione dei fondi sul tuo conto.» Il dominio imita quello della piattaforma o di un servizio di pagamento noto, con una variazione minima.

**Fase 5 — Il modulo.** La pagina chiede il numero della carta, la data di scadenza, il codice di sicurezza, a volte il saldo disponibile «per verificare la compatibilità del versamento». Poi ti chiede di confermare una notifica nell'app della tua banca.

**Fase 6 — L'addebito.** Quella conferma non autorizza un incasso, autorizza un **pagamento in uscita** oppure la registrazione della tua carta in un portafoglio digitale controllato dal truffatore. Gli addebiti seguono, a volte distribuiti su più giorni per non far scattare allarmi.

## La menzogna centrale: un incasso non si «conferma» mai

Va inciso da qualche parte, perché è l'unico punto su cui poggia l'intera truffa.

> Ricevere denaro non richiede **mai** di comunicare il numero della carta, il codice di sicurezza, né di confermare un'operazione nell'app della tua banca.

Un bonifico in entrata arriva da solo. Un rimborso arriva da solo. Un pagamento tramite una piattaforma di vendita arriva sul portafoglio della piattaforma, e poi sul tuo conto dopo una richiesta di prelievo che **tu** avvii dall'app ufficiale, accedendo personalmente.

I dati di una carta di pagamento servono esclusivamente ad **addebitare** quella carta. Il codice a tre cifre sul retro esiste soltanto per dimostrare che possiedi fisicamente la carta al momento di un acquisto. Nessun sistema al mondo ne ha bisogno per versarti del denaro. Cybermalveillance.gouv.fr, il dispositivo nazionale francese di assistenza alle vittime di atti di criminalità informatica, ripete questo principio in tutte le sue schede dedicate al phishing.

Il corollario pratico: nel momento in cui un interlocutore, chiunque sia, mette le parole «ricevere» e «carta di pagamento» nella stessa frase, la conversazione è finita.

## Le varianti che circolano nel 2026

Lo scenario di base si declina in molti modi. Ecco le forme segnalate più di frequente.

| Variante | Pretesto | Cosa ti viene chiesto |
|---|---|---|
| Il pagamento in eccesso | «Ho pagato 800 € invece di 80 €, mi rimborsi la differenza» | Un bonifico da parte tua verso un IBAN sconosciuto |
| Le spese di spedizione | «Il corriere esige che sia il venditore ad anticipare le spese, poi rimborsate» | Un pagamento da 30 a 60 € con carta |
| L'assicurazione del pacco | «L'oggetto deve essere assicurato, la piattaforma ti rimborsa dopo» | Un pagamento + i tuoi dati bancari |
| L'account professionale | «Il tuo account deve passare allo stato di venditore verificato» | Un documento d'identità + le coordinate bancarie + una carta |
| La falsa contestazione | «L'acquirente contesta, regolarizza entro 24 h» | Un accesso a una falsa area clienti |

La variante del pagamento in eccesso merita un'attenzione particolare: non passa da un link trappola. Il truffatore invia una falsa ricevuta di bonifico, tu constati «un errore» e il tuo riflesso di onestà ti spinge a rimborsare subito. Il bonifico iniziale non è mai esistito, oppure verrà annullato. Il tuo rimborso, invece, è ben reale e irrecuperabile.

## Perché i venditori ci cascano, anche i più prudenti

Ci sono ragioni strutturali, e non hanno nulla a che vedere con l'ingenuità.

**Il contesto ha reso lo scambio plausibile.** Stavi aspettando un acquirente. L'SMS arriva nel momento esatto in cui ha senso. È ciò che i ricercatori in sicurezza chiamano *contesto di attesa*: un messaggio fraudolento che coincide con un'azione reale della vittima moltiplica il proprio tasso di riuscita.

**Il truffatore conosce dettagli veri.** Il modello della bici, il colore del divano, il prezzo richiesto, a volte il tuo nome: è tutto sul tuo annuncio. Questi elementi danno al messaggio una patina di autenticità che nessun SMS falso generico raggiunge.

**La pressione temporale fa parte del commercio.** «Il mio corriere passa domani» non ha nulla di anomalo in una trattativa. L'urgenza non viene percepita come manipolazione, ma come logistica.

**Il venditore è in posizione di domanda.** Vuole liberarsi dell'oggetto, spesso per recuperare una somma già mentalmente spesa. Questa asimmetria emotiva disattiva lo spirito critico molto più efficacemente di una minaccia.

![Ragazzo seduto su una panchina di legno in un parco mentre guarda lo smartphone](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/body-1.jpg)

## Leggere l'URL: i tre secondi che salvano

Quando arriva un link, esiste un metodo semplice per esaminarlo senza cliccare. Leggi l'indirizzo **da destra a sinistra**, partendo dalla prima `/`.

Il dominio reale è ciò che precede immediatamente la prima `/`, risalendo fino al punto che precede l'estensione. Tutto il resto è decorativo.

- `https://leboncoin.paiement-securise[.]xyz/valider` → il dominio reale è `paiement-securise.xyz`. Il marchio è solo un sottodominio, cioè un testo che chiunque può scrivere.
- `https://secure-paypa1[.]com/confirm` → l'`1` sostituisce la `l`. Su uno schermo da 6 pollici, camminando, nessuno lo nota.
- `https://bit[.]ly/3xK9pL` → un accorciatore di link maschera completamente la destinazione. Un servizio di pagamento legittimo non ne usa mai in un SMS transazionale.

Questa verifica richiede uno schermo leggibile e una luce adeguata. Molte persone cliccano perché non distinguono i caratteri: se fatichi a leggere i testi piccoli, aumentare la dimensione dei caratteri di sistema cambia davvero le cose, così come una [pellicola antiriflesso per smartphone](https://www.amazon.it/s?k=film+protection+%C3%A9cran+antireflet+smartphone&tag=ds0c3d1-21) quando si consulta il telefono all'aperto. Non è un dettaglio estetico: buona parte dello smishing si regge su differenze tipografiche di un solo carattere.

Altro riflesso utile: non aprire mai un link sensibile sui mezzi pubblici o mentre si cammina. L'attenzione visiva crolla, ed è statisticamente lì che avvengono i clic accidentali.

## I segnali d'allarme da conoscere a memoria

Nessun segnale basta da solo. Due segnali insieme sono una truffa fino a prova contraria.

- **L'acquirente non tratta e non fa alcuna domanda sull'oggetto.** Un vero acquirente vuole sapere se la bici è stata revisionata, se la garanzia è ancora valida, se lo schermo ha graffi.
- **Vuole uscire dalla chat della piattaforma.** Sempre, subito, con un pretesto tecnico.
- **Impone il proprio corriere.** Un «corriere privato» che paga lui stesso, che passa molto in fretta e per il quale devi anticipare delle spese.
- **Il pagamento passa da un canale insolito.** Un link inviato via SMS, un'e-mail di conferma ricevuta prima di esserti iscritto a qualsiasi cosa, una richiesta di coordinate bancarie fuori dall'app.
- **L'italiano è quasi perfetto — ma non del tutto.** Un «la preghiamo di confermare la sua ricezione di fondo» al singolare, una maiuscola fuori posto, una formula di cortesia tradotta male.
- **Il numero è un cellulare, mentre il messaggio si presenta come automatico.** Le notifiche reali delle piattaforme arrivano da un mittente alfanumerico o da un numero breve.

## Se hai cliccato e inserito i tuoi dati

Il tempo conta più di ogni altra cosa. Ecco l'ordine esatto.

**1. Bloccare subito la carta.** Chiama il numero per il blocco riportato sul retro della carta o presente nell'app della tua banca. In Francia il servizio interbancario nazionale di blocco delle carte è raggiungibile al **0 892 705 705**, 24 ore su 24. Fallo prima ancora di avvisare chiunque altro.

**2. Cambiare le password coinvolte.** Quella della piattaforma di annunci, quella della banca se l'avevi inserita e quella dell'e-mail se la password era riutilizzata. Attiva l'autenticazione a due fattori ovunque sia possibile. Per chi accumula decine di account, un [quaderno cartaceo per le password](https://www.amazon.it/s?k=carnet+de+mots+de+passe+papier&tag=ds0c3d1-21) conservato al riparo da sguardi resta una soluzione imperfetta ma infinitamente più sicura di un file «codici.txt» sul desktop.

**3. Segnalare il messaggio.** Inoltra l'SMS fraudolento al **33700**, la piattaforma nazionale francese di segnalazione di spam vocale e SMS. È gratuito e alimenta il blocco dei numeri. Anche il sito **signal-arnaques.com** e la piattaforma **Pharos** (internet-signalement.gouv.fr) accettano segnalazioni.

**4. Sporgere denuncia.** Presso la polizia, i carabinieri o tramite la denuncia online. Porta gli screenshot dell'annuncio, della conversazione e dell'SMS. Senza denuncia, la speranza di rimborso è quasi nulla.

**5. Chiedere il rimborso alla banca.** L'articolo L133-18 del Code monétaire et financier francese prevede il rimborso delle operazioni di pagamento non autorizzate segnalate senza indugio. Le banche oppongono spesso la «negligenza grave» del cliente quando è stato lui stesso a inserire i propri dati. Questo rifiuto non è definitivo: la Cour de cassation ha ricordato più volte che spetta alla banca **provare** la negligenza grave, e non al cliente dimostrarne l'assenza. In caso di rifiuto, rivolgiti al mediatore bancario e, se necessario, alla giustizia.

**6. Controllare gli estratti conto per diversi mesi.** I dati delle carte rivendute su mercati paralleli possono essere sfruttati molto tempo dopo. C'è chi aggiunge una sorveglianza leggera: estratto cartaceo archiviato in un [raccoglitore a scomparti](https://www.amazon.it/s?k=classeur+%C3%A0+compartiments+documents&tag=ds0c3d1-21) invece che in una pila di posta, per individuare un'anomalia da un mese all'altro.

![Uomo con camicia scura, mano sul viso, che guarda lo smartphone davanti a una facciata metallica](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/body-2.jpg)

## Vendere online senza esporre il proprio numero

La miglior protezione consiste nel non dare mai alla truffa l'occasione di iniziare. Bastano poche abitudini.

**Restare nella chat della piattaforma, senza eccezioni.** Nessuna motivazione addotta giustifica di uscirne. Se l'acquirente insiste, si è appena squalificato da solo.

**Preferire la consegna a mano con pagamento in contanti o bonifico istantaneo ricevuto e verificato nella tua app.** Verificato significa: apri la tua banca e vedi la somma accreditata. Non uno screenshot mostrato dall'acquirente.

**Non anticipare mai delle spese.** Nessun corriere legittimo chiede al venditore di pagare per ricevere del denaro.

**Ripulire le foto dell'annuncio.** Una targa, un numero civico, una fattura appoggiata sullo sfondo, un pacco con il tuo indirizzo: sono tutte informazioni che serviranno poi a personalizzare l'attacco. Per gli oggetti ripresi da vicino, fotografare su uno sfondo neutro — basta un semplice [tappetino fotografico pieghevole](https://www.amazon.it/s?k=fond+photo+pliable+studio+produit&tag=ds0c3d1-21) — evita di esporre la tua casa.

**Usare un numero secondario quando la piattaforma lo richiede.** Una [SIM prepagata](https://www.amazon.it/s?k=carte+SIM+pr%C3%A9pay%C3%A9e+sans+engagement&tag=ds0c3d1-21) dedicata agli annunci isola il tuo numero principale, quello collegato alla banca e ai tuoi account. Se il numero secondario finisce in una lista di spam, lo butti via.

**Archiviare gli scambi.** Screenshot dell'annuncio, della conversazione e dell'identità dell'account acquirente. Saranno elementi indispensabili in caso di denuncia.

## Il punto cieco: anche l'acquirente può essere una vittima

Capita che il truffatore utilizzi un account violato appartenente a un utente legittimo, con il suo storico, le sue valutazioni positive e la sua anzianità. La reputazione visualizzata non è quindi una garanzia assoluta: riduce il rischio, non lo annulla.

Allo stesso modo, un profilo creato lo stesso giorno con zero valutazioni non è necessariamente fraudolento — tutti cominciano da qualche parte. È la **combinazione** tra un profilo nuovo, l'assenza di trattativa e la richiesta di uscire dalla piattaforma a costituire l'insieme di indizi.

## Cosa bisogna ricordare

La truffa del finto acquirente non sfrutta alcuna falla tecnica. Sfrutta un'asimmetria di vigilanza: abbiamo tutti imparato a diffidare quando compriamo, nessuno ci ha avvertiti che bisogna diffidare anche quando vendiamo.

La regola che riassume tutto sta in una frase: **ricevere denaro non richiede mai nulla di più che aspettare**. Nessun link da cliccare, nessuna carta da inserire, nessuna conferma da dare, nessuna spesa da anticipare. Il giorno in cui qualcuno ti spiegherà il contrario, con loghi perfetti e un italiano impeccabile, saprai esattamente cosa hai davanti agli occhi.

{/* image-sources: https://images.pexels.com/photos/5648374/pexels-photo-5648374.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/5384455/pexels-photo-5384455.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/13801812/pexels-photo-13801812.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}