Tipologia di attacco: SMS / Smishing

Hai ricevuto un SMS dalla tua banca? Ecco come capire se è vero o falso

Ti arriva un SMS che sembra della tua banca: “Rilevato un accesso sospetto. Verifica subito il tuo conto cliccando qui”. Spesso compare addirittura nella stessa conversazione degli SMS veri della banca, con lo stesso nome del mittente. È fatto apposta per spaventarti e farti cliccare di fretta. Ma è una truffa, e dietro quel link c’è un sito finto identico a quello della tua banca, costruito per rubarti le credenziali.

Perché è così insidiosa

Questa truffa funziona perché unisce tre cose:

  • Sembra autentica: i truffatori riescono a far apparire l’SMS sotto il nome reale della banca, mescolato ai messaggi veri.
  • Fa paura: parla di un problema sul tuo conto, e la paura ti spinge ad agire senza pensare.
  • Ti porta su un sito clone: la pagina dove atterri è una copia perfetta del sito della banca. Inserisci utente e password… e li consegni al truffatore.

A volte, subito dopo, ricevi anche una telefonata di un finto operatore che ti “aiuta” a risolvere — completando il furto.

I segnali per riconoscerlo

  • C’è un link da cliccare per “verificare”, “sbloccare” o “confermare” il conto.
  • Il messaggio crea urgenza o paura (“conto bloccato”, “accesso sospetto”, “entro 24 ore”).
  • L’indirizzo del sito, se guardi bene, è strano: lettere in più, parole storte, manca la “s” di “https”.
  • Ti viene chiesto di inserire password, codici o dati della carta.

Ricorda la regola d’oro: la tua banca non ti chiede mai password o codici via SMS, email o telefono. Mai.

Il Metodo 3×3 contro l’SMS della finta banca

3 secondi. Davanti a un SMS che ti allarma sul conto, fermati prima di toccare qualsiasi cosa.

3 domande:

  1. Mi chiede di cliccare un link per “sistemare” qualcosa?
  2. Mi mette fretta o paura?
  3. Mi chiede password, codici o dati della carta?

3 verifiche:

  1. Non cliccare il link. Mai dal messaggio.
  2. Apri l’app della banca da sola, oppure digita tu l’indirizzo del sito a mano: se c’è davvero un problema, lo vedi lì.
  3. Chiama la banca al numero che trovi sul retro della tua carta — mai a un numero scritto nell’SMS.

L’azione concreta da fare oggi

Salva in rubrica il numero ufficiale della tua banca (lo trovi sul retro della carta o sui documenti del conto). Così, quando avrai un dubbio, avrai già il contatto giusto a portata di mano e non sarai tentato di usare quello del messaggio sospetto.

Se hai già cliccato o inserito i dati

  1. Chiama subito la banca dai canali ufficiali e fai bloccare carta e conto.
  2. Cambia la password dell’home banking e di ogni altro account dove usavi la stessa.
  3. Controlla i movimenti del conto e segnala subito operazioni che non riconosci.
  4. Denuncia alla Polizia Postale su commissariatodips.it.
  5. Diffida di chi ti richiama offrendo di recuperare i soldi: è spesso una seconda truffa.

—

Fonti ufficiali: Polizia Postale e delle Comunicazioni (commissariatodips.it); CERT-AGID per le campagne di smishing bancario. Articolo verificato a maggio 2026.

“Il tuo pacco è fermo in dogana”: smetti di cliccare su quel link

Ti arriva un SMS: “Il tuo pacco è fermo in dogana, è necessario pagare una piccola tassa di 1,99€ per la consegna”, con un link da cliccare. La cifra è volutamente bassa, quasi ridicola: serve a non farti insospettire. Ma quella pagina dove ti porta il link non vuole 1,99 euro — vuole i dati completi della tua carta, per poi prosciugartela.

Come funziona

I truffatori sfruttano il fatto che quasi tutti, oggi, aspettiamo un pacco:

  1. Ricevi un SMS che imita un corriere noto (i nomi cambiano in continuazione).
  2. Si parla di un pacco fermo, in giacenza o bloccato in dogana, e di una piccola somma da pagare.
  3. Clicchi il link e arrivi su una pagina finta che imita il sito del corriere.
  4. Ti chiede i dati della carta per il micro-pagamento. In realtà li registrano per fare addebiti molto più grandi, o li rivendono.
  5. A volte parte un abbonamento nascosto che ti preleva soldi ogni mese.

I segnali per riconoscerlo

  • Si parla di un pagamento piccolo per sbloccare la consegna (è l’esca).
  • C’è un link da cliccare per “pagare” o “riprogrammare” la consegna.
  • Spesso non aspettavi nessun pacco, oppure non da quel corriere.
  • L’indirizzo del sito è strano, non è quello ufficiale del corriere.
  • Ti chiedono i dati della carta su una pagina raggiunta dal link.

Il Metodo 3×3 contro il finto corriere

3 secondi. Prima di cliccare per “sbloccare il pacco”, fermati e respira.

3 domande:

  1. Sto davvero aspettando un pacco da questo corriere?
  2. Mi chiede di pagare una piccola cifra cliccando un link?
  3. La pagina mi chiede i dati della carta?

3 verifiche:

  1. Non cliccare il link dell’SMS.
  2. Controlla la spedizione direttamente sul sito o sull’app ufficiale del corriere, con il codice di tracciamento che hai ricevuto al momento dell’acquisto.
  3. Ricorda: i corrieri veri non chiedono i dati della carta via SMS per “sbloccare” un pacco. Eventuali costi di dogana si pagano con procedure ufficiali, non con un link in un messaggio.

L’azione concreta da fare oggi

Quando aspetti un pacco, traccialo sempre dall’app ufficiale del corriere o dal sito dove hai comprato (Amazon, il negozio, ecc.), mai dai link che arrivano via SMS. Prendi l’abitudine di salvare il codice di tracciamento al momento dell’ordine: così avrai sempre il modo giusto per controllare, senza dover dare retta a messaggi sospetti.

Se hai già inserito i dati della carta

  1. Chiama subito la banca o l’emittente della carta e falla bloccare.
  2. Controlla i movimenti e contesta eventuali addebiti che non riconosci.
  3. Verifica che non sia partito un abbonamento non voluto.
  4. Denuncia alla Polizia Postale su commissariatodips.it.
  5. Cambia le password se sulla pagina finta hai inserito anche credenziali.

—

Fonti ufficiali: Polizia Postale e delle Comunicazioni (commissariatodips.it); CERT-AGID per le campagne di smishing a tema spedizioni. Articolo verificato a maggio 2026.