«BUONGIORNO, il suo dispositivo (pratica RP-77421) e stato regolarmente ricevuto e valutato 189 EUR. Confermi le sue coordinate bancarie per avviare il bonifico entro 48h: https://reprise-mobile-validation.net/rp77421»
Questo non ti minaccia in alcun modo. Nessuna multa, nessun conto chiuso, nessun pacco bloccato in dogana. Al contrario: ti annuncia una buona notizia. Il tuo vecchio telefono, quello che hai infilato in uno scatolone dieci giorni fa, vale 189 €, e il denaro sta arrivando. Resta solo una formalità amministrativa: fornire l'IBAN su cui versare la somma.
Ed è esattamente per questo che questo SMS funziona meglio della maggior parte degli altri. Le truffe più redditizie non sono quelle che fanno paura. Sono quelle che arrivano nel momento preciso in cui ti aspetti un messaggio di quel tipo, con un contenuto che somiglia in tutto e per tutto a ciò che stavi aspettando.
Perché la permuta dei telefoni è diventata un terreno di caccia
In pochi anni, rivendere il proprio vecchio smartphone è diventato un riflesso di massa. Bonus permuta presso l'operatore in occasione di un rinnovo, programma di riacquisto del produttore, piattaforme specializzate nel ricondizionato, totem automatici nei centri commerciali, buoni acquisto nella grande distribuzione: i canali si sono moltiplicati, e ognuno funziona secondo regole proprie.
Poniti onestamente la domanda. Se hai spedito un dispositivo due settimane fa, sai dire a memoria:
- il nome esatto della società che lo acquista (spesso un intermediario di cui non avevi mai sentito parlare prima della procedura d'ordine);
- il numero di pratica assegnato alla tua spedizione;
- l'importo effettivamente riconosciuto dopo la perizia, che differisce quasi sempre dalla stima online;
- il termine di pagamento annunciato, e con quale modalità: bonifico, buono acquisto, sconto in fattura, PayPal;
- l'indirizzo e-mail o il numero da cui la piattaforma comunica?
Nella grande maggioranza dei casi, no. Ed è precisamente questo vuoto informativo che il truffatore viene a colmare. Non ha bisogno di sapere a quale piattaforma hai inviato il tuo dispositivo. Manda il suo messaggio a decine di migliaia di numeri sapendo che una piccola frazione dei destinatari si trova, in quell'istante, nella finestra di attesa perfetta.
Il ricondizionato ha anche una particolarità: è virtuoso e ben visto. Se ne parla in termini di economia circolare, di ecologia, di buon senso. Risultato: la diffidenza si abbassa. Nessuno pensa «attenzione, il riacquisto di cellulari è una cosa sospetta».
Anatomia del messaggio
Circolano tre grandi varianti, e non hanno lo stesso obiettivo finale.
1. La richiesta di IBAN «per avviare il bonifico»
È la più diretta. Il link porta a un modulo dall'aspetto credibile che richiede nome, cognome, indirizzo, poi IBAN completo e a volte un documento d'identità «per conformità antiriciclaggio».
Molte vittime si rassicurano con un ragionamento logico ma sbagliato: «un IBAN serve solo a ricevere denaro». In realtà, un IBAN associato al tuo nome, al tuo indirizzo e a una copia del documento d'identità costituisce un kit di furto d'identità molto completo. Permette di tentare addebiti SEPA fraudolenti, di aprire conti o abbonamenti a tuo nome e, soprattutto, di alimentare un dossier di ingegneria sociale che renderà ultra-credibile una successiva telefonata della «tua banca».
2. Il falso «conguaglio spese» o «somma versata in eccesso»
Variante più subdola: ti spiegano che il dispositivo è arrivato con uno schermo più danneggiato di quanto dichiarato, che ti è già stato versato per errore un «anticipo» e che occorre regolarizzare 3,90 € di spese di gestione. La cifra ridicola disarma la diffidenza. Ciò che conta non sono i 3,90 €: è l'inserimento del numero di carta di credito sulla pagina di pagamento, spesso seguito da una richiesta di convalida 3-D Secure dirottata.
3. Il falso «problema di identificazione della spedizione»
Qui ti dicono che il pacco è arrivato correttamente ma che il dispositivo è bloccato e che bisogna «disattivare la protezione» o fornire le credenziali del tuo account Apple o Google per completare la perizia. Obiettivo: impossessarsi di un intero account online. È di gran lunga la versione più dannosa, perché quell'account contiene spesso foto, contatti, backup e metodi di pagamento.
Nessuna piattaforma di riacquisto seria ti chiederà mai, via SMS o e-mail, le credenziali del tuo account Apple, Google o Samsung. Lo sblocco lo esegui tu, prima della spedizione, dalle tue stesse impostazioni.
I segnali che non ingannano
I falsi SMS di permuta condividono una serie di indizi quasi immutabili.
| Segnale | Cosa fa una piattaforma vera | Cosa fa la truffa |
|---|---|---|
| Mittente | Nome di marca breve o numero coerente, messaggio rintracciabile nella tua area clienti | Numero di cellulare, numero estero, o nome mittente approssimativo |
| Link | Dominio ufficiale della marca, a volte nessun link | Dominio composito: reprise-mobile-validation.net, rachat-mon-tel-fr.com |
| Coordinate bancarie | Già inserite al momento dell'ordine, nella tua area clienti | Richieste con urgenza tramite un modulo esterno |
| Tono | Informativo, senza conto alla rovescia | «entro 48h», «ultimo sollecito», «pratica annullata in assenza di risposta» |
| Importo | Corrisponde alla tua stima, dettagliato in un rapporto di perizia | Cifra tonda, allettante, spesso superiore a quanto speravi |
| Ortografia | Accenti presenti, formattazione pulita | Accenti mancanti, maiuscole strane, spazi prima della punteggiatura |
L'assenza di accenti è un indizio ricorrente, ma non fidarti ciecamente: i kit di smishing si stanno professionalizzando e sempre più messaggi sono scritti in un italiano impeccabile. Cybermalveillance.gouv.fr lo ricorda regolarmente nelle sue schede sul phishing via SMS: l'unico criterio davvero affidabile è la verifica attraverso un canale che scegli tu stesso.
Il riflesso da acquisire una volta per sempre
Si riassume in una frase: non si verifica mai un messaggio partendo dal messaggio.
- Non cliccare. Nemmeno per «vedere com'è fatto».
- Apri lo storico dei tuoi ordini. Non il link dell'SMS: la tua e-mail di conferma originale, o l'app della piattaforma che hai installato tu.
- Confronta il numero di pratica. Se non corrisponde esattamente, la questione è chiusa.
- Verifica la tracciatura del pacco presso il corriere, dal suo sito ufficiale. Se il dispositivo è ancora in transito, nessuna valutazione può essere avvenuta.
- Chiama il servizio clienti al numero indicato sulla tua fattura, mai a quello indicato nell'SMS.
- Segnala il messaggio inoltrandolo ai canali antiphishing ufficiali (in Francia il 33700, gratuito, servizio ufficiale degli operatori; in Italia puoi rivolgerti alla Polizia Postale) e conserva il numero del mittente. Puoi anche presentare una segnalazione sulle piattaforme dedicate.
Se accompagni un genitore anziano in questo tipo di procedura, stampagli questi sei passaggi e infila il foglio dove consulta i suoi documenti. Un buon vecchio taccuino di carta appoggiato accanto al telefono fisso resta lo strumento più efficace per annotarvi, al momento della spedizione, il nome della società, il numero di pratica e l'importo annunciato. Tre righe scritte a mano bastano a disinnescare l'intera truffa, perché colmano il vuoto informativo.
Prima di spedire: preparare il dispositivo è già proteggersi
Gran parte delle truffe di questo tipo fa presa solo perché la pratica di permuta è stata preparata male. Pochi gesti, compiuti nell'ordine giusto, rendono il falso SMS inoffensivo.
Fare il backup, poi dissociare
- Esegui un backup completo. Un disco rigido esterno portatile permette di conservare una copia locale di foto e documenti indipendente dal cloud — utile proprio nel giorno in cui un account viene compromesso.
- Disconnetti l'account Apple, Google o Samsung e disattiva la localizzazione del dispositivo. È una tua responsabilità, non di chi lo acquista. Un telefono ancora collegato al tuo account è ingestibile per il laboratorio, ed è il pretesto ideale per i falsi messaggi di «sblocco».
- Disattiva l'eSIM o rimuovi la SIM fisica, così come la scheda di memoria.
- Esegui un ripristino ai dati di fabbrica, poi riaccendi il dispositivo per verificare che si avvii correttamente sulla schermata di prima configurazione.
Documentare lo stato reale
Il falso «conguaglio spese» si basa su un'ambiguità: non puoi dimostrare in quale stato il dispositivo è partito. Fotografalo da tutti i lati, con lo schermo accesso, prima di imballarlo. Annota l'IMEI, visibile nelle impostazioni o sulla confezione originale.
Per la spedizione, una busta imbottita a bolle delle dimensioni corrette e un imbottitura adeguata evitano le rotture in transito — che sarebbero, quelle sì, un vero motivo di rivalutazione al ribasso. Conserva la prova di spedizione del corriere fino all'effettivo accredito.
Proteggere il telefono che tieni
Un dettaglio passa spesso inosservato: il valore di permuta dipende soprattutto dallo stato dello schermo e dalla salute della batteria. Sul dispositivo che hai appena acquistato, una pellicola in vetro temperato applicata il primo giorno e una custodia antiurto robusta cambiano radicalmente la stima ottenuta due o tre anni dopo. È al tempo stesso conveniente e, indirettamente, una protezione: meno guasti, meno assistenza, meno finestre di ansia in cui un truffatore può infilarsi.
Se hai già risposto
Niente panico, ma metodo. L'ordine conta.
Hai fornito un IBAN. Avvisa la tua banca, chiedi un monitoraggio del conto e, a seconda dei casi, l'attivazione di una lista di autorizzazione degli addebiti SEPA. Controlla gli estratti conto ogni settimana per due mesi: gli addebiti fraudolenti sono spesso di piccoli importi, testati prima di un'operazione più consistente. Un addebito SEPA non autorizzato è contestabile presso la tua banca entro un termine di 13 mesi (8 settimane senza particolare giustificazione): è un diritto previsto dalla normativa europea.
Hai inserito i dati di una carta di credito. Bloccala immediatamente, poi chiedi il rimborso. La Direttiva europea sui servizi di pagamento (PSD2) sancisce il principio del rimborso delle operazioni non autorizzate.
Hai fornito le credenziali di un account. Cambia la password da un altro dispositivo, revoca le sessioni attive, attiva un'autenticazione a due fattori robusta. Preferisci un'app di autenticazione o una chiave di sicurezza fisica al semplice codice via SMS, vulnerabile al SIM swap.
In tutti i casi. Presenta denuncia, anche se non è stato addebitato nulla: la denuncia è spesso richiesta dalla banca e dall'assicurazione. Segnala il numero ai canali antiphishing e conserva uno screenshot dell'SMS con la sua data.
Cosa ci dice questa truffa sulle altre
Il falso SMS di permuta non è una bizzarria isolata. È l'illustrazione di un meccanismo che si ritrova in tutte le famiglie di smishing: il truffatore non crea una situazione, si intrufola in una situazione esistente. Il pacco atteso, la riparazione in corso, il cambio di operatore, la vendita di un'auto, la fine di un contratto d'affitto. Ogni volta che una procedura coinvolge più soggetti, tempi incerti e un pagamento in arrivo, si apre una finestra.
Da qui una regola semplice da trasmettere a chi ti sta attorno, comprese le persone meno a loro agio con la tecnologia: un messaggio che ti annuncia del denaro e ti chiede un'informazione bancaria nello stesso SMS va, in ogni caso, ignorato. Una somma che ti è realmente dovuta arriverà comunque, senza che tu debba cliccare su nulla. Per i familiari che desiderano limitare la superficie di esposizione, un telefono cellulare a tasti grandi senza browser internet elimina semplicemente la possibilità di cliccare su un link trappola — un'opzione pragmatica quando l'uso si limita alle chiamate e agli SMS.
Il ricondizionato è una buona idea. Rivendere il proprio vecchio dispositivo anche. Basta tenere tre informazioni scritte da qualche parte e non verificare mai un messaggio partendo dal messaggio stesso. Due abitudini, e tutta questa famiglia di truffe crolla.
