«CAF: il suo fascicolo n°ALL-77204 è sospeso a causa di coordinate bancarie mancanti. Aggiorni il suo IBAN entro il 25/09 per evitare l'interruzione del versamento: http://caf-allocataire-maj.fr/rib»
Sono le 18.40, stai rientrando dalla spesa e questo messaggio compare tra due notifiche. Non hai chiesto nulla alla CAF questo mese. Però hai cambiato banca a luglio. Oppure tua figlia si è trasferita. O ancora il tuo quoziente familiare è cambiato dopo l'ultima dichiarazione dei redditi. In un fascicolo di beneficiario c'è sempre qualcosa che non è perfettamente aggiornato.
E soprattutto: se salta il versamento, non è una semplice seccatura amministrativa. È l'affitto del giorno 5, la mensa scolastica, la benzina per andare al lavoro. È esattamente su questa tensione che fa leva la truffa.
Perché la CAF è diventata un bersaglio privilegiato
La Caisse nationale des allocations familiales (CNAF) e la sua rete di casse locali erogano prestazioni a circa 13,7 milioni di beneficiari in Francia. Assegni familiari, contributo personalizzato per l'alloggio, premio di attività, RSA, assegno di sostegno familiare, indennità per l'educazione del minore disabile: è il più grande archivio di beneficiari del Paese dopo quello dell'assicurazione sanitaria.
Per un truffatore, questa massa critica cambia tutto. Quando invia 100.000 SMS a caso spacciandosi per una banca regionale, raggiunge forse il 3% di clienti reali. Quando si finge la CAF, colpisce una fetta enorme della popolazione — e soprattutto una popolazione che, statisticamente, ha un bisogno immediato di quel denaro.
Aggiungi tre ingredienti specifici:
- Un lessico amministrativo intimidatorio. «Richiamo dei diritti», «indebito», «somma percepita in eccesso», «quoziente familiare», «dichiarazione trimestrale dei redditi», «regolarizzazione». Chi sa spontaneamente cosa dà luogo a un rimborso e cosa invece a una richiesta di pagamento?
- Versamenti a date fisse e attesi. Il calendario dei pagamenti della CAF è pubblico: il versamento avviene di norma il 5 di ogni mese. Un SMS che arriva il 28 o il 2 si inserisce esattamente nell'ansia del bonifico in arrivo.
- Una relazione digitale per impostazione predefinita. Dalla diffusione dell'account online e dell'app mobile, la CAF comunica effettivamente via e-mail e tramite notifiche. Il falso si infila in un flusso legittimo.
La CNAF pubblica del resto regolarmente avvisi sul suo sito caf.fr e sui suoi profili ufficiali: ricorda che non chiede mai coordinate bancarie complete, numeri di carta o password via SMS o e-mail.
I quattro scenari che circolano
1. La sospensione del fascicolo
Il più diffuso. Un numero di pratica credibile, una scadenza tra tre o quattro giorni, un link verso una pagina che riproduce fedelmente la grafica di caf.fr. Ti vengono chiesti il numero di beneficiario, la data di nascita e poi un IBAN «da confermare» — in realtà da rubare, o da sostituire con quello del truffatore su una sessione autentica dirottata.
2. La somma percepita in eccesso da restituire
Una variante aggressiva: la CAF ti avrebbe versato 428,30 € in più, devi regolarizzare online pena il «recupero contenzioso». L'importo è sempre preciso, mai tondo. Il pagamento avviene con carta su una pagina di pagamento fasulla, spesso seguito da una chiamata «dell'ufficio recupero crediti» per farti convalidare un'operazione più consistente.
3. Il bonus straordinario
Lo specchio positivo: avresti diritto a un «complemento di solidarietà» o a un «contributo straordinario per il rientro a scuola» di 180 €, da richiedere prima della scadenza. Per incassarlo bisogna… inserire la carta di credito, presumibilmente per «verificare l'identità del titolare». Questa versione fiorisce nel periodo del rientro scolastico e a dicembre.
4. Il falso consulente che richiama
La più pericolosa. L'SMS si limita a seminare il dubbio; poi chiama un essere umano, da un numero che compare come quello della tua cassa locale (spoofing del chiamante, tecnicamente banale). Conosce già il tuo nome e la tua città — informazioni a volte provenienti da una fuga di dati precedente. Ti chiede di leggergli un codice ricevuto via SMS «per autenticare il colloquio». Quel codice in realtà convalida un pagamento, un cambio di coordinate o l'aggiunta di un dispositivo al tuo conto online.
La Banque de France, nel rapporto annuale dell'Observatoire de la sécurité des moyens de paiement, sottolinea la crescita costante di queste truffe per manipolazione: non è più la tecnica a violare la sicurezza, è la vittima che, in buona fede, apre lei stessa la porta.
I segnali che non ingannano
Ci sono indizi affidabili e indizi fasulli. Cominciamo con lo sfatare un luogo comune: l'ortografia non è più un criterio. I generatori di testo attuali producono SMS impeccabili. Alcuni messaggi falsi sono scritti meglio di quelli veri.
Ecco cosa resta solido:
| Elemento | SMS legittimo della CAF | SMS fraudolento |
|---|---|---|
| Link | Rimanda a caf.fr o all'app; spesso nessun link | caf-allocataire.xyz, caf-regularisation.com, caf.fr.secure-maj.net |
| Richiesta | Ti invita a consultare la tua area personale | Chiede IBAN, carta di credito, password, documento d'identità |
| Urgenza | Tempi amministrativi lunghi, lettere di sollecito | 24-72 ore, minaccia di sospensione |
| Pagamento | La CAF non incassa mai pagamenti con carta tramite un link via SMS | Pagina di pagamento con carta immediata |
| Mittente | Nome breve («CAF») o numero ufficiale | Numero di cellulare 06/07, prefisso estero o nome usurpato |
Il punto più importante riguarda il sottodominio. caf.fr.verification-dossier.com non appartiene alla CAF: il dominio reale è sempre ciò che precede immediatamente l'ultimo punto prima della prima /. Qui, verification-dossier.com. È la trappola più efficace di tutto lo smishing, perché lo schermo di un telefono tronca l'indirizzo e mostra proprio la parte rassicurante.
Un dettaglio pratico: leggere un URL completo su uno schermo crepato o su un display da 5 pollici con caratteri troppo piccoli è un'impresa. Molte vittime raccontano di aver «visto caf.fr» senza aver visto il resto. Sostituire un vetro rotto o applicare un vetro temperato protettivo non è un gesto di cybersicurezza, ma uno schermo leggibile fa parte delle condizioni minime per verificare un link prima di toccarlo.
Cosa fa davvero la CAF — e cosa non fa mai
Per riconoscere il falso, bisogna conoscere il vero. Alcuni punti fermi tratti dal funzionamento ufficiale della rete delle CAF:
- Le notifiche relative ai diritti e le decisioni importanti arrivano nell'area «Mon compte» su caf.fr e, per quelle più formali, per posta cartacea.
- Un indebito (somma percepita in eccesso) viene notificato per lettera, con indicazione dei mezzi e dei termini di ricorso, e viene recuperato tramite trattenuta sulle prestazioni successive o con un titolo di pagamento indirizzato alla cassa. Mai con carta di credito tramite un link ricevuto via SMS.
- Un cambio di IBAN si effettua dall'area personale autenticata o tramite FranceConnect. La CAF non ti telefona per fartelo dettare.
- La CAF non chiede mai la tua password, né il codice monouso inviato dalla tua banca.
- Le chiamate in uscita di un consulente esistono, ma un consulente non pretende mai un'operazione finanziaria all'istante.
In caso di dubbio, l'unico metodo valido è ignorare il messaggio e tornare su un canale che controlli tu: l'app CAF installata dallo store ufficiale del tuo telefono, l'indirizzo caf.fr digitato a mano, oppure il 3230 — il numero nazionale del servizio pubblico, senza sovrapprezzo.
Chi ci casca davvero
Si tende a immaginare vittime anziane e poco a proprio agio con il digitale. I dati delle piattaforme pubbliche raccontano altro. Le persone colpite dai falsi SMS di enti previdenziali sono spesso attive, giovani genitori, in condizioni di lavoro precario o con affidamento condiviso, cioè proprio coloro il cui fascicolo cambia spesso e il cui bilancio mensile non ha alcun margine.
Nelle testimonianze ricorrono tre fattori aggravanti:
- Il multitasking. L'SMS viene letto sull'autobus, tra un figlio e l'altro, alla cassa di un negozio. L'attenzione disponibile è di pochi secondi.
- La vergogna anticipata. Molti temono di aver «commesso un errore nella dichiarazione». Questo senso di colpa diffuso spinge a regolarizzare in fretta e in silenzio, senza parlarne.
- L'abitudine allo sportello digitale. Quando tutta la relazione passa da uno schermo, uno schermo in più non fa scattare alcun allarme.
Esiste un contro-riflesso semplicissimo ed efficace: vietarsi qualsiasi decisione finanziaria nei cinque minuti successivi a un messaggio inatteso. Cinque minuti bastano perché la paura si plachi e l'incoerenza emerga.
Proteggere il proprio telefono senza diventare esperti
Nessuno strumento sostituisce la vigilanza, ma alcune impostazioni riducono nettamente la superficie di esposizione.
Attivare il filtro dei mittenti sconosciuti. Su iPhone: Impostazioni → App → Messaggi → «Filtra mittenti sconosciuti». Su Android, l'app Messaggi di Google offre una protezione antispam da attivare nelle impostazioni. I messaggi sospetti finiscono così in una scheda separata, il che annulla l'effetto sorpresa.
Non aprire mai un link dalla notifica. Prendi l'abitudine di chiudere l'SMS, aprire l'app ufficiale e cercare lì l'informazione. Se il messaggio è autentico, l'informazione c'è.
Blindare la convalida dei pagamenti. La maggior parte delle banche consente di fissare un tetto ai pagamenti online e di richiedere una convalida biometrica nell'app. È l'ultima barriera quando tutto il resto ha ceduto.
Salvare ciò che conta. Una chiavetta USB per smartphone o un piccolo disco esterno permette di conservare offline i documenti di un fascicolo di beneficiario (attestazioni, giustificativi, IBAN) senza dipendere da un account che potrebbe essere compromesso.
Preparare il terreno per i familiari meno a loro agio. Per un genitore anziano o una persona poco abituata al digitale, un telefono cellulare con tasti grandi, privo di browser internet, elimina semplicemente il rischio di cliccare su un link trappola. Molte famiglie fanno questa scelta e se ne trovano benissimo.
E per chi vuole capire invece che subire, una guida pratica di cybersicurezza per il grande pubblico in francese — ne esistono diverse, anche scritte da ex investigatori — fa più effetto dell'ennesima app di sicurezza installata e poi dimenticata.
Se hai cliccato: cosa fare, nell'ordine
Il riflesso più costoso è l'attesa. Ecco la sequenza da seguire.
- Interrompi. Chiudi la pagina, non inserire altro, non rispondere a un'eventuale chiamata «dell'ufficio antifrode».
- Chiama subito la tua banca, usando il numero riportato sul retro della carta. Chiedi il blocco della carta e la sorveglianza del conto. Se un bonifico è già partito, chiedi esplicitamente una procedura di richiamo dei fondi.
- Segnala l'SMS al 33700, il dispositivo nazionale di segnalazione degli spam vocali e via SMS: inoltra il messaggio al 33700, poi invia il numero del mittente quando ti viene richiesto. È gratuito e alimenta il blocco delle campagne in corso.
- Sporgi denuncia. Per una frode bancaria, la piattaforma Perceval (tramite service-public.fr) consente di segnalare l'uso fraudolento della carta. Per una truffa online più ampia, il dispositivo THESEE permette di presentare denuncia online.
- Avvisa la CAF tramite la tua area personale o al 3230, per verificare che sul tuo fascicolo non sia stato registrato alcun cambio di IBAN.
- Segnala il sito fraudolento su Phishing Initiative e Cybermalveillance.gouv.fr, che assiste gratuitamente le vittime e indirizza verso le procedure adeguate.
- Cambia le password se hai inserito credenziali riutilizzate altrove. Un gestore di password, anche gratuito, evita la trappola della password unica usata su dieci siti.
Da ricordare: nel diritto francese, l'articolo L133-18 del Code monétaire et financier impone alla banca di rimborsare un'operazione di pagamento non autorizzata, salvo negligenza grave del cliente. Il fatto di aver comunicato dati in seguito a un messaggio fraudolento sofisticato è stato giudicato, in più occasioni dalla Cour de cassation, come non sufficiente a dimostrare automaticamente tale negligenza grave. Non rinunciare a chiedere il rimborso con la scusa che «è colpa tua».
Parlare di soldi è già un modo per proteggersi
La forza della truffa in nome della CAF non sta nella tecnica — che è rudimentale. Sta nel silenzio che instaura. Non si racconta volentieri di avere paura di perdere il contributo per l'affitto, né di aver creduto di dover 428 € a un ente previdenziale.
Qui il miglior antivirus resta una frase detta ad alta voce: «Ho ricevuto un SMS strano della CAF, l'hai ricevuto anche tu?». In una casa, in una famiglia, in un'associazione di quartiere, è spesso questa domanda a stroncare la truffa sul nascere.
E se vuoi avvisare rapidamente più persone care che è in corso una campagna, basta un semplice messaggio — quello, almeno, non conterrà link trappola.
