«AGENZIA: il bonifico della sua cauzione (1.180,00 €) è stato respinto dalla sua banca. La preghiamo di confermare le coordinate bancarie entro 48h per evitare la chiusura della pratica: http://espace-locataire-remb.fr/xk29»
Avete restituito le chiavi tre settimane fa. Il verbale di riconsegna è andato bene, ma l'agente ha parlato di una «piccola trattenuta per le pareti della camera». Da allora, silenzio assoluto. Avete sollecitato una volta via mail, senza risposta. Ed ecco che arriva questo SMS, con l'importo giusto — o quasi — e una spiegazione che combacia esattamente con ciò che stavate aspettando.
Cliccate. Perché avete già pagato il primo canone della nuova casa, la cauzione del nuovo contratto, il furgone, e di quei 1.180 euro avete bisogno adesso.
Sta tutta qui l'abilità di questa truffa: non crea l'ansia, ci si appoggia sopra.
Perché la fine della locazione è la finestra di tiro ideale
La maggior parte delle campagne di smishing arriva a freddo: un pacco che non aspettate, una multa che non avete ricevuto, un conto bancario di cui vi si annuncia il blocco. Funzionano per volume, sperando di capitare su qualcuno che, quel giorno, aspettava davvero un pacco.
Il finto SMS sulla cauzione funziona diversamente. Prende di mira una popolazione che aspetta realmente del denaro, che sa che il versamento può richiedere tempo e che spesso ignora la procedura esatta.
Ricordiamo il quadro normativo, perché è la materia prima della truffa. La legge francese del 6 luglio 1989 che regola i rapporti di locazione impone al locatore di restituire la cauzione:
- entro un mese dalla riconsegna delle chiavi se il verbale di riconsegna è conforme a quello di ingresso;
- entro due mesi in caso di difformità che giustifichino delle trattenute.
Trascorso tale termine, il locatore deve maggiorare la somma del 10% del canone mensile al netto degli oneri accessori per ogni mese di ritardo iniziato. È quanto ricordano il servizio pubblico e l'ANIL (Agence nationale pour l'information sur le logement), che ogni anno riceve migliaia di domande proprio su questo tema.
Risultato: tra il giorno della riconsegna delle chiavi e il giorno del bonifico esiste una zona di sospensione di trenta o sessanta giorni durante la quale aspettate, non sapete quando arriverà il denaro e trovate normale ricevere una comunicazione dall'agenzia. È proprio questa zona che i truffatori hanno individuato.
Come fanno a sapere che state traslocando
È la domanda che torna sempre. Quattro fonti principali, e nessuna presuppone un attacco informatico sofisticato.
Gli annunci immobiliari pubblici. Quando un alloggio torna sul mercato degli affitti, l'annuncio contiene l'indirizzo approssimativo, il canone, la superficie, la data di disponibilità. Un truffatore che incrocia questa data con un elenco di numeri può colpire alla cieca un intero quartiere: su cento invii, una manciata di destinatari sarà davvero a fine contratto.
Le fughe di dati. Le piattaforme di ricerca casa, i siti che mettono in contatto inquilini e proprietari, i servizi di trasloco online hanno tutti subito incidenti. Il fascicolo di locazione che preparate contiene nome, telefono, redditi, datore di lavoro — un concentrato da sogno per uno scenario credibile.
I cambi di indirizzo. Sottoscrivere un nuovo contratto internet, una fornitura di energia elettrica, un servizio di rispedizione della posta: ogni pratica moltiplica le copie dei vostri dati in sistemi diversi, con livelli di sicurezza diversi.
I gruppi di mutuo aiuto per traslochi. Sui social è frequente pubblicare «libero il mio bilocale in zona centro il 30, qualcuno cerca?» con il numero in chiaro. È un'informazione ad accesso libero.
Nessuna di queste fonti fornisce l'importo esatto della vostra cauzione. Ecco perché l'SMS fraudolento mostra spesso una cifra plausibile ma sbagliata — ed è uno dei primi segnali da cogliere.
Anatomia del messaggio-trappola
Le varianti si assomigliano molto. Ecco gli schemi ricorrenti rilevati nelle segnalazioni pubbliche e sulla piattaforma 33700, dedicata alla segnalazione di SMS e chiamate indesiderate.
| Cosa dice l'SMS | Cosa cerca di provocare | La realtà |
|---|---|---|
| «Bonifico respinto dalla sua banca» | Vi sentite responsabili di un problema tecnico | Un bonifico respinto genera una lettera o una telefonata, mai un link via SMS |
| «Confermi il suo IBAN entro 48h» | Urgenza artificiale, paura di perdere la somma | Nessun termine di legge si esaurisce in 48h per una cauzione |
| «Pratica in corso di chiusura» | Paura di dover ricominciare tutto | La pratica non si «chiude»: il termine di legge decorre, con penali |
| «Spese di gestione di 1,90 €» | Far passare la carta di credito per una formalità | Nessuna spesa può essere addebitata per restituirvi il vostro denaro |
| «Area inquilino sicura» | Dare l'impressione di un portale ufficiale | L'URL è un nome di dominio acquistato pochi giorni prima |
Convivono due meccanismi di raccolta dati. Il primo, il più semplice, chiede il vostro IBAN: servirà a costruire altre frodi, in particolare addebiti SEPA fraudolenti, oppure a essere rivenduto. Il secondo, più aggressivo, reclama il numero della carta di credito con il pretesto di «spese di pratica» di uno o due euro — una somma irrisoria che abbassa la guardia, ma che consegna i dati necessari a un addebito ben più pesante, spesso completato da una telefonata per estorcervi il codice di conferma.
I sei segnali che devono fermarvi
1. Il canale. Un'agenzia immobiliare o un locatore non chiede mai le coordinate bancarie via SMS. L'IBAN passa attraverso il fascicolo di locazione, per posta, o tramite un'area clienti a cui vi collegate voi stessi, digitando l'indirizzo.
2. L'importo. Confrontatelo al centesimo con il vostro contratto di locazione. La cauzione di un affitto non ammobiliato è limitata a un mese di canone al netto degli oneri; per gli arredati può arrivare a due mensilità. Se la cifra indicata non corrisponde esattamente, è un tentativo a caso.
3. Il link. Guardate cosa precede la prima «/» dopo il nome di dominio. espace-locataire-remb.fr, agence-remboursement-2026.com, restitution-caution.net: questi domini non hanno nulla a che vedere con il nome della vostra agenzia. I truffatori puntano su parole rassicuranti, non su un'identità reale.
4. L'assenza di riferimenti della pratica. Un'agenzia conosce il numero del vostro contratto, l'indirizzo dell'immobile, la data esatta del verbale di riconsegna. Un SMS autentico li menziona. Un SMS fraudolento resta vago: «il suo alloggio», «la sua pratica».
5. Il termine imposto. 24h, 48h, «entro venerdì». Nessuna procedura di restituzione funziona così. L'urgenza è il marcatore più affidabile della frode.
6. Il mittente. Un nome mittente alfanumerico («AGENZIA», «IMMO-SERV») può essere falsificato con estrema facilità — e può persino comparire nella stessa conversazione di un messaggio autentico della vostra agenzia, il che resta la trappola più destabilizzante per le vittime.
Il riflesso che annulla la truffa in tre minuti
Si riassume in una frase: non rispondete mai nel canale da cui arriva la richiesta.
Ricevete l'SMS? Chiudetelo. Prendete il contratto che avete firmato, o la mail di conferma dell'agenzia, e chiamate il numero che vi compare. Non il numero contenuto nell'SMS, non quello che trovate in cima a una ricerca online — quello dei vostri stessi documenti.
È esattamente per questo che è utile uscire dalla dematerializzazione totale al momento di un trasloco. Conservare una copia cartacea del contratto, dei verbali di consegna e riconsegna, dell'IBAN trasmesso, in un raccoglitore a soffietto riposto insieme ai documenti importanti, fa guadagnare un tempo prezioso il giorno in cui bisogna verificare un'informazione sotto pressione. Il numero dell'agenzia è lì, stampato, non modificabile, non falsificabile.
Secondo riflesso: documentare. Fotografate lo stato dei luoghi alla riconsegna, conservate la data di restituzione delle chiavi, annotate il nome dell'agente presente. In caso di contenzioso reale sulla restituzione, questi elementi valgono molto più di un ricordo. Molti inquilini scoprono troppo tardi di non avere alcuna traccia dello stato dell'immobile all'ingresso: un semplice misuratore laser e una serie di foto con data e ora al momento del trasferimento bastano a documentare superfici e difetti preesistenti.
E se avete già cliccato?
Succede, anche a persone molto informate — un SMS ricevuto in una metropolitana affollata, tra due scatoloni, non si legge con la stessa attenzione di una mail davanti a uno schermo.
Avete solo aperto la pagina
Senza inserire nulla, il rischio è basso. Chiudete la scheda, non tornateci. Per prudenza, verificate che il telefono non abbia installato applicazioni al di fuori degli store ufficiali.
Avete inserito il vostro IBAN
Un IBAN da solo non permette di svuotare un conto, ma autorizza tentativi di addebito SEPA fraudolento. Tre azioni:
- avvisate la vostra banca e chiedete l'attivazione di una lista bianca di creditori autorizzati, o quanto meno una sorveglianza rafforzata;
- controllate gli estratti conto per diversi mesi, compresi i piccoli importi ricorrenti;
- sappiate che un addebito SEPA non autorizzato può essere contestato e rimborsato entro tredici mesi (otto settimane senza necessità di motivazione particolare), conformemente al Code monétaire et financier.
Avete inserito i dati della carta
Qui bisogna agire in fretta.
- Bloccate la carta immediatamente presso la vostra banca, o tramite il servizio interbancario di denuncia smarrimento e furto (0 892 705 705).
- Non rispondete a nessuna chiamata di chi si presenta come il vostro consulente nelle ore successive: la seconda fase della truffa consiste quasi sempre nel chiamarvi per ottenere il codice di conferma.
- Segnalate l'SMS al 33700 (o via SMS, inoltrando il messaggio al 33700 e inviando poi il numero del mittente).
- Sporgete denuncia, online tramite il dispositivo THESEE per le truffe in rete, oppure presso un commissariato.
- Dichiarate l'incidente su cybermalveillance.gouv.fr, che indirizza verso le procedure adeguate.
In caso di operazione non autorizzata segnalata nei termini, la banca deve rimborsare, salvo che provi una vostra grave negligenza. Le decisioni della Cour de cassation degli ultimi anni hanno ribadito più volte che essere stati ingannati da un messaggio che imita l'istituto non costituisce, di per sé, una grave negligenza. È un punto da conoscere: molte vittime rinunciano a contestare perché si sentono in colpa.
Proteggere il proprio numero durante un trasloco
È un periodo propizio alle fughe di dati. Qualche abitudine limita i danni.
Separate i vostri numeri. Per gli annunci, i gruppi di mutuo aiuto e le visite, usare un numero secondario evita che la linea principale finisca in banche dati rivendute. Un secondo telefono con una SIM prepagata, tenuto per questo tipo di pratiche temporanee, resta il metodo più semplice — e in seguito serve da telefono di riserva.
Non diffondete mai un documento di locazione non oscurato. Dichiarazioni dei redditi, buste paga e documenti d'identità inviati a un «proprietario» incontrato online alimentano direttamente gli scenari di frode successivi. Nascondete i codici fiscali e gli IBAN con un pennarello oscurante prima di qualsiasi copia.
Bloccate l'accesso fisico al telefono. Un trasloco significa un appartamento aperto, sconosciuti che circolano, un telefono appoggiato su uno scatolone. Un codice a sei cifre anziché a quattro, e il blocco automatico a trenta secondi, costano qualche secondo al giorno ed eliminano un intero vettore di attacco.
Prevenite lo scaricamento della batteria. Il giorno del trasloco il telefono è il vostro unico collegamento con l'agenzia, il noleggiatore del furgone e i vostri cari — e un telefono scarico spinge a farsi prestare quello di un estraneo o a collegarsi a un Wi-Fi pubblico poco affidabile. Una batteria esterna da 20.000 mAh nella borsa evita la situazione.
Cosa dice questo scenario sull'evoluzione delle truffe via SMS
Il finto SMS sulla cauzione appartiene a una famiglia in crescita: le truffe contestuali. Non inventano un evento, si inseriscono in un evento reale della vostra vita — un trasloco, un ricovero, l'inizio dell'anno scolastico, una successione.
Cybermalveillance.gouv.fr documenta da diversi anni questo passaggio dallo smishing di massa a un phishing più mirato, in cui la personalizzazione sostituisce il volume. La logica è economica: meglio cento messaggi credibili inviati a persone che aspettano effettivamente un bonifico che diecimila messaggi generici.
La domanda utile non è più «questo messaggio è scritto bene?» ma «attraverso quale canale dovrei normalmente ricevere questa informazione?».
Una cauzione viene restituita tramite bonifico, senza alcuna azione da parte vostra, perché l'agenzia dispone già del vostro IBAN — gliel'avete fornito per l'addebito dei canoni. Questo semplice ragionamento basta a far crollare tutta la messa in scena.
E se la vostra cauzione tarda davvero? Non sarà un SMS a risolvere il problema, ma una raccomandata con ricevuta di ritorno che intimi al locatore l'adempimento, e poi, se necessario, il ricorso alla commissione dipartimentale di conciliazione. L'ANIL e le ADIL dipartimentali assistono gratuitamente gli inquilini in questa procedura. È più lento di un link cliccabile, ma è l'unica strada che alla fine vi restituisce il vostro denaro.
