«Ciao mamma sono io, mi è caduto il tel nell'acqua. Ti scrivo da un altro numero, salvalo. Mi puoi fare un favore adesso subito?»
Nessun link trappola. Nessun logo istituzionale. Nessuna minaccia di sovrattassa. Solo una frase che qualunque genitore ha già sentito, con gli errori di ortografia che si perdonano a un figlio di fretta. È proprio questa essenzialità che rende la truffa del finto parente — a volte chiamata Hi Mum scam nei Paesi anglofoni — così difficile da riconoscere.
Mentre il falso SMS bancario vi chiede di credere a una storia, questo vi chiede semplicemente di rispondere a vostro figlio. E per i quindici minuti successivi non state più dialogando con un truffatore: state dialogando con qualcuno che il vostro cervello ha già identificato come vostro figlio.
Una frode senza tecnologia, o quasi
La maggior parte delle truffe via SMS descritte in questo blog si basa su una falsificazione tecnica: un nome del mittente contraffatto («SANEF», «CAF», «Ameli»), un dominio che somiglia all'originale, a volte una falsa cella telefonica come nel caso dell'SMS Blaster. Qui, niente di tutto questo. Il messaggio arriva da un normalissimo numero di cellulare — spesso un 06 o un 07 reale, acquistato con scheda prepagata o affittato a una piattaforma di invio SMS — e non contiene alcun link.
Conseguenza diretta: nessun filtro antispam può fermarlo. Gli operatori bloccano gli SMS che contengono URL noti come malevoli, i mittenti alfanumerici contraffatti, le campagne inviate in massa dalla stessa sorgente. Un messaggio di quindici parole inviato da un numero comune verso un numero comune non fa scattare assolutamente nessun allarme.
La tecnica, quando c'è, interviene a monte: serve a sapere a chi scrivere e a nome di chi.
Dove i truffatori trovano il legame di parentela
Non è più necessario indovinare. Tre fonti alimentano queste campagne:
- Le fughe di dati. Gli archivi provenienti da attacchi a siti di e-commerce, piattaforme di prenotazione o forum contengono regolarmente cognome, nome, data di nascita e numero di cellulare. Incrociati tra loro, permettono di ricostruire i nuclei familiari: stesso cognome, stesso indirizzo, due generazioni.
- I social network aperti. Un commento «Buon compleanno mamma ❤️» sotto una foto pubblica, e il legame è stabilito pubblicamente, con il nome di entrambe le parti.
- Gli annunci funebri e i necrologi online. Elencano nomi, filiazioni e comuni con una precisione che ai truffatori basta incrociare.
Cybermalveillance.gouv.fr ha documentato più volte questa categoria di «truffa del finto parente», ricordando che ormai si diffonde tanto via SMS quanto via WhatsApp, Messenger o Telegram. Il denominatore comune: un canale privato, un tono familiare, nessun allegato sospetto.
Lo scenario, passo dopo passo
Il copione è notevolmente stabile da una campagna all'altra.
Fase 1 — L'aggancio neutro. «Ciao sono tuo figlio, nuovo numero.» Non viene chiesto nulla. L'obiettivo è unicamente ottenere una risposta, che conferma sia che il numero è attivo sia che un figlio esiste davvero. I truffatori inviano questi messaggi a migliaia; solo quelli che ottengono una risposta passano alla fase successiva.
Fase 2 — La giustificazione. Telefono caduto nel water, schermo rotto, furto in metropolitana, piano tariffario bloccato. La storia spiega insieme il cambio di numero e l'impossibilità di telefonare. È il pezzo forte: neutralizza in anticipo il riflesso di chiamare. «Non posso chiamare, il microfono non funziona più.»
Fase 3 — L'urgenza finanziaria. Un bonifico da fare oggi, un affitto, una fattura, un acquisto professionale da saldare entro le 17. La cifra è calibrata: raramente più di 1.500-3.000 €, cioè un importo doloroso ma possibile, che non fa scattare un allarme bancario automatico.
Fase 4 — La pressione gentile. Nessuna minaccia. Gratitudine anticipata, «grazie mamma ti ridò tutto domani promesso», a volte un'emoji. Il truffatore tiene viva la conversazione mentre il bonifico parte.
Fase 5 — Il rilancio. Se il primo bonifico passa, ne arriva un secondo entro 48 ore. È spesso a quel punto che la vittima finisce per chiamare il vecchio numero — e scopre la verità.
Nella classifica 2026 delle frodi per manipolazione pubblicata dall'Observatoire de la sécurité des moyens de paiement, le truffe basate sull'ingegneria sociale crescono nettamente più in fretta della frode «tecnica» sulle carte di pagamento. La Banque de France ha sottolineato essa stessa, nel settembre 2026, l'aumento delle truffe per manipolazione, in cui è la vittima a eseguire personalmente l'operazione.
Perché funziona, anche con persone prudenti
Vorremmo credere che questa truffa colpisca solo persone credulone. È falso, ed è utile capire perché.
Il canale è un canale di fiducia
Un SMS o un messaggio WhatsApp in arrivo viene trattato dal cervello come una conversazione, non come un documento. Non verificate l'identità del vostro interlocutore a ogni messaggio ricevuto dai vostri cari. Il truffatore si inserisce in una routine, non in una procedura burocratica.
Il cambio di numero è diventato banale
Portabilità, seconda SIM, numero di lavoro, eSIM attivata per un viaggio, telefono di riserva: oggi è del tutto ordinario che una persona cara scriva da un nuovo numero. L'anomalia ha perso il suo carattere anomalo. Molte famiglie conservano peraltro un telefono cellulare semplice con tasti grandi come apparecchio di scorta, il che rende la storia del «ti scrivo da un vecchio telefono» ancora più credibile.
L'affetto cortocircuita la verifica
Gli studi sull'ingegneria sociale lo dimostrano: sotto carico emotivo, il controllo razionale si indebolisce. Di fronte a un figlio che si crede in difficoltà, la domanda «e se fosse falso?» sembra quasi sleale. Molte vittime raccontano di averci pensato — e di aver scartato l'idea per senso di colpa.
L'ingegneria inversa della relazione
Il truffatore pone domande aperte: «hai ricevuto il messaggio di papà?», «come va dalla settimana scorsa?». La vittima risponde e fornisce lei stessa i dettagli che serviranno poi a rendere credibile l'impostura. È la vittima ad alimentare la menzogna.
Le varianti individuate nel 2026
| Variante | Pretesto | Segno distintivo |
|---|---|---|
| Finto figlio | Telefono rotto, bonifico urgente | Rifiuto sistematico della chiamata vocale |
| Finto nipote | Incidente, cauzione, avvocato | Prende di mira gli anziani, tono in preda al panico |
| Finto coniuge | Acquisto professionale, plafond della carta raggiunto | Linguaggio di coppia imitato |
| Finto amico in viaggio | Portafoglio rubato all'estero | Richiesta di ricarica o di trasferimento di denaro |
| Finto parente in lutto | Spese funerarie da anticipare | Incrocio con un annuncio funebre pubblico |
Una variante più recente aggiunge un messaggio vocale. Pochi secondi di una voce rauca — «ho mal di gola, ti scrivo piuttosto» — a volte generata con sintesi vocale a partire da un estratto pubblico. La qualità non deve essere perfetta: deve solo bastare perché il dubbio non si trasformi in verifica.
I sette secondi che fanno fallire tutto
Esiste una risposta unica, gratuita e infallibile: chiamare il vecchio numero. Non rispondere al nuovo, non chiedere conferma nella conversazione in corso. Comporre il numero che avete da sempre in rubrica.
Se la persona cara risponde, la questione è chiusa. Se non risponde, chiamate un'altra persona della famiglia. Nel 100% dei casi documentati, il truffatore troverà un motivo perché voi non chiamiate. È quello il segnale.
Altri tre riflessi completano questa regola:
- Porre una domanda a risposta privata. Non «sei davvero mio figlio?», ma «come si chiama il cane della nonna?» oppure «cosa abbiamo mangiato lo scorso Natale?». Un'informazione che non compare in nessuna fuga di dati né su alcun social network.
- Rifiutare ogni urgenza. Nessuna situazione familiare legittima richiede un bonifico entro un'ora senza il minimo scambio vocale. L'urgenza non è un contesto, è uno strumento.
- Non salvare mai il nuovo numero prima della verifica. Una volta registrato il contatto come «Giulio», il vostro telefono mostrerà «Giulio» a ogni messaggio, e il dubbio sparirà definitivamente.
Proteggere i più esposti senza trattarli da bambini
Gli anziani sono sovrarappresentati tra le vittime, non per ingenuità ma perché più spesso sono soli nel momento della decisione, e perché il rapporto nonno/nipote tollera male il sospetto.
Alcune misure concrete, da mettere in atto con calma e in anticipo:
- Concordare una parola d'ordine familiare. Una parola scelta insieme, mai scritta online, da chiedere in caso di richiesta di denaro. È la misura più efficace e più semplice. Alcune guide pratiche sulla cybersicurezza per gli anziani propongono esercizi pronti all'uso per introdurre questo tipo di regola senza drammatizzare.
- Adottare la regola dei due canali. Ogni richiesta di denaro ricevuta per iscritto deve essere confermata con una chiamata a un numero noto. Senza eccezioni, anche per 50 €.
- Tenere la rubrica aggiornata. Una rubrica cartacea in formato grande accanto al telefono fisso permette di ritrovare il numero vero in pochi secondi, anche quando lo smartphone mostra una conversazione ingannevole.
- Evitare il guasto nel momento sbagliato. Una power bank compatta in borsa evita che un telefono spento renda impossibile la verifica telefonica — esattamente lo scenario che i truffatori sperano.
- Limitare l'esposizione pubblica. Rendere private le pubblicazioni che espongono i legami familiari ed evitare di pubblicare il numero di cellulare in chiaro su annunci o forum.
Se il bonifico è già partito
Il tempo conta, e si misura in ore.
- Contattare immediatamente la propria banca per chiedere il blocco o il richiamo del bonifico. Un bonifico SEPA standard può a volte essere sospeso se non è ancora stato accreditato; un bonifico istantaneo molto più raramente — ragione in più per agire in fretta.
- Sporgere denuncia al commissariato o alla gendarmeria, oppure effettuare una segnalazione online. La denuncia è il presupposto di qualsiasi procedura di contestazione presso la banca.
- Segnalare il numero al 33700, il dispositivo nazionale di segnalazione di SMS e chiamate indesiderate, inoltrando il messaggio e comunicando poi il numero del mittente.
- Segnalare sulla piattaforma Pharos o tramite Cybermalveillance.gouv.fr, che indirizza verso le procedure e i professionisti più vicini.
- Avvisare la famiglia. Queste campagne prendono spesso di mira più membri dello stesso nucleo familiare nella stessa settimana.
Un punto giuridico importante: a differenza di un'operazione di pagamento non autorizzata (carta rubata, dati bancari sottratti), un bonifico che avete convalidato voi stessi rientra nella frode «per manipolazione». Il rimborso non è automatico. La giurisprudenza evolve, in particolare quando la banca è venuta meno al proprio dovere di vigilanza su un'operazione insolita, ma nessuna restituzione può essere data per scontata. È esattamente per questo che qui la prevenzione è più efficace della riparazione.
Cosa ricordare
Questa truffa non mette alla prova la vostra cultura digitale. Mette alla prova la velocità con cui il vostro affetto prende il sopravvento sulla vostra verifica. Non ha bisogno né di un sito falso, né di un link trappola, né di una cella clandestina: solo di un nome, di un legame di parentela e di un momento in cui siete soli davanti allo schermo.
La contromisura sta in una frase, e merita di essere ripetuta ad alta voce in ogni famiglia: non si mandano mai soldi a un numero nuovo senza aver sentito la voce della persona su un numero vecchio.
Un ultimo dettaglio, banale ma decisivo: tenete il telefono in condizione di fare quella chiamata. Uno schermo crepato su cui non si legge più nulla, una cover antiurto assente il giorno della caduta, ed ecco che l'intera catena di verifica crolla nel momento peggiore. Un vetro temperato di protezione costa pochi euro; una truffa del finto parente costa in media diverse migliaia.
