« La tua nuova carta di pagamento è stata emessa. Per completare la spedizione, conferma il tuo codice segreto. » Il messaggio arriva una mattina, tra un promemoria di appuntamento e la promozione di un supermercato. Sembra burocratico, quasi noioso. Ed è esattamente questo che lo rende efficace: il rinnovo di una carta di pagamento è un evento banale, che nessuno tiene davvero d'occhio sul proprio calendario.
Questa truffa occupa un posto particolare nella famiglia dello smishing. Non si limita a rubare credenziali online: nella sua versione più elaborata, si conclude con la visita di un falso corriere a casa tua, che se ne va con la tua vera carta e il tuo PIN. Analisi, passo dopo passo.
Perché il rinnovo della carta è un pretesto perfetto
Una carta di pagamento ha una validità che va dai due ai quattro anni secondo la banca. La sua sostituzione arriva quindi in un momento che non hai annotato, senza alcuna azione da parte tua, e a volte con una lettera separata per il PIN. Tre ingredienti ideali per un truffatore:
- Non ti aspetti nulla, ma non ti sembra nemmeno anomalo. Un SMS su una carta in fase di spedizione non suscita alcun sospetto particolare.
- Il linguaggio bancario è opaco. « Emissione della carta », « messa a disposizione », « attivazione del supporto »: termini tecnici che suonano autentici.
- La data di scadenza è stampata sulla tua carta. Se il truffatore dispone di un database trafugato o ti ha già fatto inserire i tuoi dati su un sito falso, può far coincidere il suo messaggio con una scadenza plausibile.
A questo si aggiunge un dettaglio che spiazza molte vittime: l'SMS arriva spesso nello stesso thread di conversazione dei messaggi autentici della banca. È lo spoofing del mittente, una tecnica che permette di visualizzare qualsiasi nome di emittente. Il telefono archivia quindi il messaggio falso accanto ai veri codici di conferma dei bonifici. Nessun indizio visivo ti mette in allarme.
Un SMS che compare nella conversazione « LA MIA BANCA » non è per questo inviato dalla tua banca. Il mittente alfanumerico è un semplice campo di testo, non una prova d'identità.
Le tre varianti dello scenario
Variante 1: « Conferma il tuo codice segreto »
Il link dell'SMS porta a una pagina con i colori della banca. Ti vengono chiesti il nome utente, la password e poi — ed è il cuore della trappola — il tuo PIN a 4 cifre, presumibilmente per « convalidare l'associazione della carta ». Nessuna banca chiede mai questo codice online, né per telefono, né via SMS. Mai. È l'unico segreto che non condividi con nessuno, nemmeno con il tuo consulente.
Nei minuti successivi, le tue credenziali vengono usate per creare un pagamento online. Un falso consulente ti chiama allora per « bloccare un'operazione sospetta » e farti dettare il codice ricevuto via SMS. Questo meccanismo lo abbiamo spiegato in dettaglio nel nostro articolo sui codici di verifica dettati al telefono.
Variante 2: « Restituisci la tua vecchia carta »
Più rara ma molto più costosa. Dopo l'SMS e una telefonata, un « corriere incaricato dal servizio sicurezza » si presenta a casa tua entro un'ora, a volte entro un quarto d'ora. Recupera la vecchia carta « per la distruzione sicura », in una busta, e ti chiede di scrivere il PIN su un foglietto allegato o di comunicarglielo a voce « per verifica ».
La carta non viene distrutta: entro mezz'ora serve per prelievi al bancomat e acquisti nei negozi. La polizia e diverse federazioni bancarie lanciano regolarmente allarmi su questo modus operandi, a volte chiamato « truffa del falso corriere » o « truffa del falso bancario ». Nessun istituto incarica corrieri per recuperare una carta a domicilio.
Variante 3: « Spese di spedizione sicura da pagare »
Qui non viene chiesto nessun PIN: semplicemente « 2,90 € di spese di spedizione con raccomandata ». Una somma ridicola, pensata per non far scattare nessun allarme mentale. Il vero bottino è il formulario di pagamento: numero di carta completo, data di scadenza, codice di sicurezza. Il piccolo addebito serve anche a verificare se la carta è attiva prima di una serie di operazioni più consistenti. È la stessa meccanica della truffa del rimborso indebito.
I segnali che smascherano l'SMS falso
Nessuno di questi indizi è decisivo da solo, ma il loro accumulo non inganna.
| Segnale | Cosa fa una vera banca | Cosa fa il truffatore |
|---|---|---|
| Codice segreto | Non lo chiede mai, con nessun pretesto | Lo pretende per « attivare » o « verificare » |
| Link nell'SMS | Rarissimo, e mai verso un formulario per inserire i dati della carta | Link breve, dominio somigliante |
| Urgenza | Ti lascia settimane, sollecita per posta | Conto alla rovescia di 24 o 48 ore |
| Visita a domicilio | Non esiste per recuperare una carta | Corriere « del servizio sicurezza » |
| Canale alternativo | Ti rimanda alla filiale o all'app | Ti dà un numero da richiamare |
Guarda anche il dominio del link, per intero, prima del primo slash. I truffatori puntano su indirizzi come banca-sicurezza-cliente.com o su sottodomini interminabili che spingono il vero nome fuori dallo schermo. Su un piccolo schermo questo troncamento è temibile; molti lettori se la cavano meglio consultando i messaggi delicati su uno schermo più grande, o tenendo a portata di mano una lente d'ingrandimento con LED per rileggere un indirizzo scritto in caratteri minuscoli.
La regola d'oro: riagganciare e richiamare da sé
Tutto l'impianto della truffa si regge su una sola cosa: che tu resti nel loro canale di comunicazione. Il link che inviano, il numero che forniscono, la persona che ti richiama.
La contromisura è di una semplicità assoluta:
- Non usare mai il link né il numero forniti. Anche se sembrano corretti.
- Apri la tua app bancaria o digita a mano l'indirizzo della tua banca. Qualsiasi operazione realmente in corso è indicata lì.
- Chiama il numero stampato sul retro della tua carta o quello della tua filiale, annotato su un estratto conto cartaceo.
- Prenditi il tuo tempo. Nessuna decisione bancaria legittima si gioca in dieci minuti.
Per chi non ha l'abitudine di muoversi all'interno di un'app, è utile scrivere una volta per sempre il numero della filiale e quello del blocco carta su un foglietto, infilato in un portacarte con blocco RFID tenuto nel portafoglio. Il riflesso diventa allora meccanico: si legge il foglietto, si compone il numero, non si clicca.
Se un « corriere » suona alla tua porta
Questa situazione merita un protocollo a parte, perché mette in gioco la tua sicurezza fisica tanto quanto il tuo denaro.
- Non aprire. Parla attraverso la porta o il citofono.
- Non consegnare mai una carta di pagamento, un assegno, denaro contante o gioielli a una persona che non hai tu stesso annunciato.
- Chiedi tempo: « Richiamo la mia banca e la contatto io. » Un truffatore insisterà; un vero professionista non esiste in questo scenario.
- Annota tutto: ora, descrizione, veicolo, targa se visibile.
- Chiama le forze dell'ordine se la persona insiste o rifiuta di andarsene.
Per le persone anziane che vivono sole, uno spioncino digitale con schermo rende questo controllo molto meno stressante: si vede chi suona senza avvicinarsi alla porta, e si può poi descrivere con precisione l'individuo. È un'attrezzatura modesta che cambia la dinamica di una sollecitazione a domicilio. I nostri consigli complementari sono nella guida proteggere gli anziani dalle truffe via SMS.
Cosa fare se hai già dato qualcosa
Il fattore determinante è il tempo. Le prime ore contano più di tutto il resto.
Nei minuti successivi
Blocca la carta. Dalla tua app bancaria (funzione di blocco immediato della carta), poi telefonicamente presso la tua banca. In Francia, il server interbancario di blocco è raggiungibile al 0 892 705 705, disponibile 24 ore su 24 se non riesci a contattare il tuo istituto.
Cambia le tue credenziali bancarie da un dispositivo sicuro, e non dal link ricevuto.
Non rispondere più a nessuna chiamata che si presenti come la tua banca. I truffatori richiamano spesso, a volte spacciandosi per il servizio antifrode, per ottenere un ultimo codice.
Entro 24 ore
Presenta denuncia al commissariato o alla stazione dei carabinieri, oppure effettua una pre-denuncia online sul portale del ministero dell'Interno. La presentazione della denuncia è una condizione quasi sempre indispensabile per ottenere un rimborso.
Contesta le operazioni per iscritto presso la tua banca. In Francia il Code monétaire et financier (articoli L.133-18 e seguenti) prevede il rimborso delle operazioni di pagamento non autorizzate. Attenzione: se la banca accerta una negligenza grave — in particolare la comunicazione volontaria del PIN — può rifiutare. Da qui l'importanza di descrivere con precisione la manipolazione subita, lo spoofing del numero, il falso consulente, lo scenario di urgenza.
Segnala il messaggio. Inoltra l'SMS fraudolento al 33700, il dispositivo nazionale francese di segnalazione degli spam via SMS, gestito dagli operatori. Segnala anche l'indirizzo del sito sulla piattaforma Phishing Initiative e il caso complessivo su cybermalveillance.gouv.fr, il servizio nazionale di assistenza alle vittime di atti di cybercriminalità. Il nostro articolo segnalare un SMS fraudolento illustra tutto il percorso.
Nei giorni successivi
- Controlla i tuoi estratti conto per diverse settimane: alcuni addebiti compaiono in differita.
- Se le tue credenziali erano riutilizzate altrove, cambiale. Un quaderno per le password in formato cartaceo, riposto in un cassetto chiuso a chiave, resta una soluzione accettabile per chi rifiuta i gestori digitali — in ogni caso molto meglio della stessa password dappertutto.
- In caso di controversia persistente con la tua banca, rivolgiti al mediatore bancario dell'istituto e, se necessario, all'ACPR (Autorité de contrôle prudentiel et de résolution).
Tre abitudini che chiudono la porta in modo duraturo
Conoscere la data di scadenza della propria carta. È stampata sopra. Se un SMS annuncia un rinnovo mentre la tua carta è valida ancora per diciotto mesi, il dubbio è immediato. Annota questa data in agenda, e la questione sarà risolta per tre anni.
Attivare le notifiche di pagamento nell'app bancaria. Ogni operazione fa scattare un avviso sul telefono. Un prelievo fraudolento diventa visibile in pochi secondi invece che in settimane. È la misura gratuita più efficace che esista.
Separare gli usi. Un conto corrente con un massimale modesto per gli acquisti quotidiani, e i risparmi su un altro conto non collegato alla carta. Il danno massimo è così limitato per costruzione. Per chi paga soprattutto online, le carte virtuali usa e getta proposte dalla maggior parte delle banche aggiungono un livello utile.
E per i pagamenti contactless sui mezzi pubblici o nei luoghi affollati, una custodia anti-RFID per carta di pagamento limita la lettura a distanza — un rischio marginale rispetto allo smishing, ma il riflesso costa poco.
Cosa dice questa truffa sul panorama del 2026
La Banque de France rileva da diversi trimestri un aumento delle truffe per manipolazione, quelle in cui è la vittima stessa a effettuare l'operazione dopo essere stata ingannata, a scapito delle frodi puramente tecniche. È esattamente il registro del falso rinnovo della carta: nessuna violazione informatica, nessun software malevolo, solo uno scenario credibile e una pressione temporale.
Gli strumenti di rilevamento progrediscono in parallelo: i sistemi di analisi dei messaggi integrati nei telefoni Android e iOS segnalano sempre meglio i link sospetti, e gli operatori filtrano una quota crescente delle campagne. Ma questi filtri non vedono la telefonata che segue, né il corriere che suona. L'ultimo anello resta umano.
La buona notizia è che la difesa si riassume in una frase, trasmissibile a chiunque in dieci secondi: nessuno, mai, chiede il tuo codice segreto, e nessuno viene a ritirare la tua carta a casa. Ripetila ai tuoi genitori, ai tuoi nonni, ai tuoi figli che aprono il loro primo conto. Vale tutti i software del mondo.
Se devi avvisare rapidamente una persona cara di una campagna in corso, un SMS breve e concreto funziona spesso meglio di una lunga telefonata. Puoi inviarne uno gratuitamente dalla nostra home page, senza registrazione — poche parole del tipo « Se ricevi un SMS sulla tua carta di pagamento, non cliccare, chiamami » possono evitare un brutto quarto d'ora.
