SMS truffa Poste e banca (smishing): come riconoscerli

"Gentile cliente, il suo conto è stato sospeso. Verifichi subito i suoi dati." Un SMS del genere, con un link, può sembrare arrivare da Poste, dalla tua banca o da un corriere. Si chiama smishing (phishing via SMS) ed è tra le truffe più diffuse perché costa poco e si basa sulla fretta. Questa guida ti aiuta a riconoscere i messaggi truffa, ti dice cosa fare se hai già cliccato o inserito dei dati e come segnalare.

Informazioni generali, non parere legale né bancario.

Che cos'è lo smishing

È una variante del phishing: invece di una email falsa, ricevi un SMS (o un messaggio su WhatsApp o altre app) che finge di arrivare da un ente affidabile e ti spinge a cliccare un link. Il link porta a un sito copiato, identico a quello vero, dove ti chiedono credenziali, dati della carta o un codice. Chi ti truffa li usa subito per fare operazioni a tuo nome.

La Polizia Postale descrive il phishing come una frode che inganna gli utenti con messaggi che sembrano provenire da banche, società di carte di credito o siti che richiedono la registrazione, con link verso siti clonati: tutto ciò che inserisci va ai criminali. Per approfondire puoi leggere la pagina della Polizia Postale sul phishing.

Gli schemi più frequenti

1. Il conto sospeso o bloccato. "Accesso sospetto sul suo conto, clicchi qui per verificare."
2. Il pacco in giacenza. "Il suo pacco non può essere consegnato, completi i dati e paghi una piccola somma."
3. Poste Italiane / PostePay. "Il suo servizio verrà disattivato", con richiesta di "aggiornare" i dati.
4. Il rimborso o il bonus. "Hai diritto a un rimborso: clicca per riceverlo."
5. Il finto ente di polizia. Messaggi che si presentano come uffici delle forze dell'ordine e invitano a richiamare un numero.
6. Il "parente in difficoltà". Un messaggio da un numero sconosciuto: "Mamma, ho cambiato telefono, mi mandi dei soldi?".

I dettagli cambiano di continuo (marchi, importi, testi), ma la struttura è identica: urgenza + link + richiesta di dati o pagamento.

I segnali che ti aiutano a riconoscerlo

• Urgenza o minaccia: "entro 24 ore", "il conto verrà bloccato".
• Saluto generico: "Gentile cliente".
• Link strano: abbreviato, con nome simile ma non uguale a quello ufficiale, o con parole aggiunte.
• Errori di lingua o maiuscole eccessive (non sempre presenti: i testi migliorano).
• Richiesta di dati sensibili tramite SMS o link: banche ed enti seri non li chiedono così.
• Mittente che sembra giusto: attenzione, il nome del mittente può essere falsificato e il messaggio può comparire nella stessa conversazione dei messaggi veri della tua banca.

La regola utile è: non fidarti del messaggio, verifica da un altro canale. Apri l'app ufficiale o digita tu l'indirizzo del sito nel browser.

Cosa fare se ricevi un SMS sospetto

1. Non cliccare il link, non rispondere, non richiamare il numero indicato.
2. Verifica in modo indipendente: apri l'app della banca o del servizio, oppure cerca tu il numero ufficiale.
3. Segnala il messaggio alla Polizia Postale tramite commissariatodips.it, dove è disponibile un modulo per segnalare phishing.
4. Elimina il messaggio e, se possibile, blocca il mittente.

Se hai cliccato

Cliccare un link non significa automaticamente essere stato truffato, ma agisci con prudenza:

1. chiudi la pagina senza inserire nulla;
2. se il browser ha scaricato un file o app, non aprirlo e controlla il dispositivo (vedi come capire se il PC è infetto);
3. cambia le password degli account che usi sul telefono, da un dispositivo pulito se hai dubbi.

Se hai inserito dati o autorizzato operazioni

Qui il tempo conta. I passaggi indicati dalla Banca d'Italia per chi è stato truffato sono questi:

1. Avvisa subito la banca o l'intermediario (numero verde dietro la carta o app): per lo strumento di pagamento usato indebitamente, la Banca d'Italia indica di avvertire senza indugio, così può attivare le contromisure. Blocca carte e accessi.
2. Denuncia alla Polizia Postale, di persona o con i canali del sito. Per le urgenze chiama il 112 o il 113.
3. Presenta un reclamo scritto alla banca. Per i servizi di pagamento la banca deve rispondere entro 15 giorni lavorativi.
4. Se la risposta non ti soddisfa, puoi presentare un esposto alla Banca d'Italia e un ricorso all'Arbitro Bancario Finanziario (ABF); per l'ABF è sempre necessario un reclamo preventivo alla banca.

Tutte le indicazioni sono nella pagina della Banca d'Italia su cosa fare se si viene truffati e nella pagina sul ricorso all'ABF dello stesso sito.

Sul rimborso, la regola generale della normativa sui pagamenti è che un'operazione non autorizzata va rimborsata, salvo colpa grave o dolo dell'utente, ma l'esito dipende dai fatti del caso: se sei stato tu a eseguire l'operazione seguendo le istruzioni del truffatore, la banca può sostenere che era autorizzata, e le decisioni dell'ABF variano a seconda delle circostanze. Se hai dubbi, valuta un parere legale o l'assistenza di un'associazione dei consumatori.

Come ridurre il rischio in futuro

• Entra sempre dal sito o dall'app ufficiale, mai dai link ricevuti.
• Attiva l'autenticazione a due fattori su banca ed email.
• Non condividere mai codici ricevuti via SMS o notifica: sono la chiave per autorizzare operazioni.
• Tieni basso il limite delle operazioni online sulla carta, se la tua banca lo permette.
• Informa i familiari, soprattutto gli anziani, sugli schemi più comuni.

Perché i truffatori sembrano sapere chi sei

Un SMS che cita il tuo nome o la banca che usi davvero è più convincente. Spesso i truffatori inviano messaggi a tappeto, ma talvolta partono da elenchi di contatti e dati provenienti da violazioni precedenti. Per questo vale la pena capire se il tuo indirizzo email e i tuoi dati sono già in circolazione. Tre controlli utili:

1. Verifica la tua email con la scansione gratuita: se compare in violazioni note, è più probabile ricevere messaggi mirati. Con l'abbonamento mensile (14,99 € al mese) il controllo si ripete ogni mese, con un avviso immediato per i nuovi problemi gravi.
2. Controlla le password di banca e posta con il controllo password.
3. Riduci i dati in circolazione: nelle pagine di rimozione dai data broker trovi i contatti per chiedere a molte aziende di non usare più i tuoi dati per marketing. Per gli operatori telefonici, per esempio, vedi TIM.

Domande frequenti

Come faccio a capire se un SMS di Poste è vero?

Non puoi esserne certo dal solo messaggio. Non cliccare i link: apri l'app ufficiale o digita tu l'indirizzo. Poste, come le banche, non chiedono dati o codici tramite link in SMS.

Cosa succede se clicco su un link senza inserire nulla?

Di solito niente di grave, ma evita di scaricare file, chiudi la pagina e tieni il dispositivo aggiornato. Se hai scaricato qualcosa, fai una scansione antivirus.

Posso riavere i soldi se mi hanno svuotato il conto?

Dipende dalle circostanze. La normativa prevede il rimborso delle operazioni non autorizzate salvo colpa grave del cliente, ma se l'operazione è stata eseguita da te sotto l'inganno l'esito è più incerto. Avvisa subito la banca e segui la procedura di reclamo, poi l'ABF.

A chi segnalo gli SMS truffa?

Alla Polizia Postale tramite il sito commissariatodips.it. In caso di denaro già sottratto presenta anche denuncia e avvisa subito la banca.

Lo smishing arriva anche su WhatsApp?

Sì. Lo stesso schema arriva su WhatsApp e altre app: messaggi urgenti, link, richieste di denaro o dati. Valgono le stesse regole: non cliccare, verifica per altra via.