« Il suo pacco non e stato consegnato il 26/09 in sua assenza. Nuovo tentativo possibile entro 48h: spese di riprogrammazione 1,95 EUR. https://suivi-repriselivraison.com »
Il messaggio arriva il venerdì sera. Sei a 400 chilometri da casa, l'auto è parcheggiata davanti a un appartamento in affitto, e sai benissimo che stai effettivamente aspettando qualcosa. Sei assente: è un dato di fatto. Un corriere avrebbe potuto passare. E in quel preciso istante non hai alcun modo semplice di verificare cosa c'è nella tua cassetta della posta.
È tutto il principio dello smishing stagionale: non inventare una situazione, ma infilarsi in una situazione reale. Il truffatore non ti chiede di credere a una storia improbabile, ti chiede di confermare qualcosa che già pensi.
Perché la tua assenza vale oro per un truffatore
Un falso SMS di consegna inviato a caso converte molto poco. Lo stesso messaggio inviato a qualcuno che è effettivamente lontano da casa converte molto meglio, per tre ragioni.
La verifica è impossibile. A casa, il riflesso naturale è andare a guardare nella cassetta della posta: nessun avviso di mancata consegna cartaceo, nessuna storia che tenga. In viaggio, questo controllo fisico svanisce. Restano solo l'SMS e la sua promessa.
L'urgenza è reale. Un pacco che torna in deposito, un prodotto deperibile, una raccomandata con un termine di giacenza: chi è assente sa di avere un vincolo di tempo che non controlla.
Il carico mentale è massimo. In vacanza come in viaggio di lavoro, si gestiscono le notifiche tra una porta e l'altra, su una rete instabile, spesso con la batteria agli sgoccioli. E Cybermalveillance.gouv.fr lo ripete in tutte le sue schede sul phishing: la fretta è il primo fattore di successo di una truffa. Non è l'intelligenza della vittima a essere in discussione, è il suo contesto.
Il problema è che questo contesto non è più un segreto.
Come i truffatori sanno (o indovinano) che sei partito
Non esiste un archivio dei vacanzieri. Ma esiste un accumulo di segnali che rende l'informazione deducibile su larga scala.
Le pubblicazioni in tempo reale
La foto della spiaggia pubblicata nelle storie, il check-in in aeroporto, la frase «finalmente in vacanza»: questi elementi sono pubblici o semi-pubblici per centinaia di account, alcuni dei quali non hanno alcun motivo di essere benevoli. Le forze dell'ordine ripetono ogni estate la stessa raccomandazione, nell'ambito dell'Opération Tranquillité Vacances: pubblicare le foto al ritorno, mai durante.
Il calendario, semplicemente
Non c'è bisogno di conoscerti. Le ondate di falsi SMS di consegna raggiungono il picco nei periodi in cui statisticamente un intero paese è in movimento: vacanze scolastiche, ponti di primavera, settimana tra Natale e Capodanno, rientro a settembre. Inviare un «avviso di mancata consegna in sua assenza» il 15 agosto significa giocare con un tasso di assenza nazionale altissimo.
Le fughe di dati commerciali
Le campagne più elaborate combinano il calendario con database rubati contenenti nome, indirizzo postale e numero di cellulare, spesso provenienti da violazioni di dati presso corrieri, negozi online o piattaforme di prenotazione. Il messaggio non dice più «il suo pacco» ma «il suo pacco per via dei Tigli 12». La CNIL pubblica regolarmente diffide e sanzioni in seguito a queste fughe: ogni incidente alimenta il mercato dell'SMS mirato per anni.
Il vicinato digitale
Alcuni truffatori operano dalla strada. Una cassetta della posta che straborda, persiane chiuse per una settimana intera, luci sempre spente: la ricognizione fisica esiste ancora, e oggi si combina con il canale SMS per costruire uno scenario credibile.
I quattro scenari della stagione
1. Il falso avviso di mancata consegna con spese di riprogrammazione
Il grande classico, ma affinato. L'importo richiesto è irrisorio — 1,95 €, 2,40 €, 0,99 € — il che disinnesca la diffidenza. L'obiettivo non è mai quel micropagamento: è l'inserimento completo delle coordinate bancarie su una pagina di pagamento clonata, riutilizzate poi per addebiti molto più consistenti o per registrare la tua carta in un portafoglio mobile.
Nessun corriere fattura una «riprogrammazione della consegna» via SMS. La Poste ricorda esplicitamente di non chiedere mai il pagamento di spese tramite link SMS per la consegna di un pacco o di una lettera.
2. Il falso allarme antintrusione o della telecamera
«Rilevato movimento presso la sua abitazione, 03:14. Consulta le immagini: …» Il messaggio fa leva sulla paura più viva di chi è in vacanza. Il link porta a una falsa pagina di accesso a un servizio di videosorveglianza, pensata per catturare nome utente e password, a volte quelli di un account realmente in uso, se il truffatore ha indovinato la marca da una fuga di dati o da una semplice foto della facciata.
Se usi davvero un sistema di sorveglianza, una telecamera di sorveglianza connessa per interni va consultata solo dalla sua app ufficiale, mai da un link ricevuto per messaggio. E prima di partire verifica che l'autenticazione a due fattori sia attiva sull'account associato.
3. Il falso vicino, il falso portiere, il falso amministratore
Più artigianale, più insidioso. «Buongiorno, sono il nuovo portiere, è stata segnalata un'infiltrazione d'acqua nel suo appartamento, può confermarmi il codice d'accesso / dirmi chi ha le sue chiavi?» Qui non c'è nessun link trappola: l'obiettivo è l'informazione fisica. Questo tipo di messaggio a volte precede un furto in appartamento.
4. Il falso servizio di pet sitting o di cura delle piante
Di nicchia, ma in crescita. Le piattaforme che mettono in contatto privati (pet sitting, scambio di case, affitti brevi) generano conversazioni fuori piattaforma dove l'impersonificazione è banale. Un «vengo a prendere il gatto domani, mi confermi l'indirizzo esatto e il codice» è un pretesto eccellente per ottenere un accesso.
I segnali che smascherano il falso SMS
Nessun indizio isolato è sufficiente, ma il loro accumulo è eloquente.
| Elemento | Messaggio legittimo | Messaggio fraudolento |
|---|---|---|
| Mittente | Nome aziendale breve o numero breve identificabile | Numero di cellulare, numero straniero o nome contraffatto |
| Link | Dominio ufficiale del marchio | Dominio composito: suivi-colis-repriselivraison.com, estensioni .top, .icu, .shop |
| Richiesta | Tracciamento, informazione, fascia oraria | Pagamento, credenziali, codice ricevuto via SMS, codice d'accesso fisico |
| Tempistica | Indicativa | Conto alla rovescia di 24 o 48 ore |
| Ortografia | Accenti presenti | Accenti mancanti («e stato», «puo»), maiuscole casuali |
Attenzione a una trappola moderna: l'assenza di accenti non è più sistematica. I generatori di testo attuali producono un italiano corretto. Al contrario, alcuni SMS legittimi non usano gli accenti per ragioni di codifica. L'ortografia è dunque solo un indizio secondario: il nome di dominio resta il giudice supremo.
E soprattutto: un SMS fraudolento può comparire perfettamente nella stessa conversazione di un messaggio autentico dell'azienda. La rete SMS non verifica l'identità del mittente visualizzato; la contraffazione del nome («Colissimo», «Chronopost», «Banca») raggruppa visivamente il falso con i veri. Un messaggio vecchio e autentico appena sopra non garantisce nulla sul messaggio successivo.
Preparare la propria assenza: la check-list prima di partire
Lato abitazione
- Segnalare la propria assenza alle forze dell'ordine tramite l'Opération Tranquillité Vacances, servizio gratuito, modulo disponibile su service-public.fr.
- Far ritirare la posta da una persona di fiducia, oppure attivare la rispedizione o la custodia della corrispondenza presso La Poste. Una cassetta piena è un annuncio pubblico.
- Simulare una presenza senza esagerare: una presa intelligente programmabile collegata a una lampada del soggiorno resta la soluzione più semplice ed economica.
- Evitare messaggi di assenza troppo loquaci sulle segreterie telefoniche e sui social.
Lato telefono
- Aggiornare il sistema operativo prima della partenza: buona parte degli attacchi sfrutta versioni non aggiornate.
- Verificare che la protezione antispam del tuo operatore sia attiva. I principali operatori offrono un filtro, e il 33700 resta il servizio nazionale francese di segnalazione degli SMS indesiderati: inoltra il messaggio, poi il numero del mittente quando il servizio lo richiede.
- Fare un backup del telefono. Se il dispositivo viene perso o rubato in viaggio, il backup cambia tutto.
- Portarsi qualcosa per evitare di restare a secco: una power bank di grande capacità evita le situazioni in cui si gestiscono i messaggi di fretta, con lo schermo al 3%, senza possibilità di verificare nulla.
Lato denaro
- Abbassare temporaneamente i massimali della carta di pagamento dall'app della banca: quasi tutte permettono di ridurli in due clic e di rialzarli al ritorno.
- Attivare le notifiche di pagamento in tempo reale: è il miglior rilevatore di frodi esistente.
- Preferire il pagamento contactless da smartphone, che non trasmette mai il numero reale della carta al commerciante.
Cosa fare quando l'SMS è già arrivato
- Non cliccare. Nemmeno «solo per vedere». Alcune pagine raccolgono informazioni tecniche già alla sola apertura.
- Verificare tramite il canale ufficiale. Apri l'app del corriere, oppure digita tu stesso l'indirizzo del sito. Un numero di tracciamento autentico esiste nel sistema del corriere; uno inventato, no.
- Chiamare una persona di fiducia se il messaggio riguarda la tua abitazione. Un vicino che va a controllare la cassetta della posta risolve la questione in due minuti.
- Segnalare. Inoltra al 33700 (SMS) o segnala su signal-spam.fr. Le truffe si denunciano sulla piattaforma THESEE del Ministero dell'Interno francese.
- Bloccare il numero, poi eliminare il messaggio, dopo la segnalazione.
Se hai cliccato e inserito i tuoi dati
- Contatta immediatamente la tua banca e blocca la carta. Il codice monetario e finanziario francese (articolo L133-18) impone il rimborso delle operazioni di pagamento non autorizzate, salvo negligenza grave del titolare; la Banque de France e l'ACPR ricordano regolarmente che il semplice fatto di essere stati vittime di una manipolazione non costituisce automaticamente una negligenza grave.
- Cambia le password degli account coinvolti, cominciando dalla casella di posta elettronica, che funge da chiave di recupero per tutto il resto. Un gestore di password evita di riutilizzare sempre la stessa chiave.
- Presenta denuncia, anche a distanza. Conserva screenshot, numero del mittente e data e ora.
- Controlla gli estratti conto per diversi mesi: i dati rubati vengono a volte sfruttati con settimane di ritardo.
L'angolo morto: l'SMS non è un canale di identità
È il punto da cui discende tutto il resto. L'SMS è stato concepito nel 1992 come un servizio tecnico di segnalazione; non ha mai integrato un meccanismo di autenticazione del mittente. Visualizzare «Chronopost» al posto di un numero è un'operazione commerciale banale, accessibile a chi sa rivolgersi all'intermediario giusto, anche fuori dall'Europa, dove i controlli sono più permissivi.
L'Arcep e la Fédération française des télécoms hanno introdotto dal 2025 un meccanismo di autenticazione dei numeri per le chiamate, e i registri dei nomi mittente si stanno progressivamente irrigidendo per gli SMS. È un miglioramento concreto, ma non elimina né le campagne inviate da semplici schede SIM, né gli SMS Blaster che trasmettono in locale senza passare dalla rete degli operatori.
Da qui una regola che non invecchia:
Un SMS può informarti. Non deve mai servirti per decidere. Ogni azione che coinvolge denaro, credenziali o un accesso fisico deve essere confermata attraverso un canale che hai scelto tu.
Cosa puoi fare già da questa sera
Prenditi cinque minuti prima della prossima partenza. Verifica chi, tra le persone di fiducia, ritirerà la tua posta. Abbassa il massimale della carta. Attiva le notifiche di pagamento. Salva nei contatti il 33700 per non doverlo cercare al momento giusto. E parlane con le persone intorno a te che ricevono questi messaggi senza sapere sempre cosa farne: una guida pratica sulle truffe digitali lasciata sul tavolo del soggiorno fa spesso più per la vigilanza di una famiglia che un lungo discorso.
La truffa del falso avviso di mancata consegna non si basa su alcuna prodezza tecnica. Si basa su un calendario, un'assenza e trenta secondi di distrazione. I primi due elementi non li cambierai. Il terzo, sì.
