C'è una frase che si sente spesso al telefono, una domenica pomeriggio, con un po' di imbarazzo nella voce: «Ho ricevuto un messaggio strano della banca, credo di aver cliccato». Segue un silenzio. Poi, quasi sempre, una scusa: «Sono stupido, non avrei dovuto».
Questa vergogna è il vero problema. Ritarda la segnalazione di diverse ore, a volte di giorni, mentre la finestra utile per bloccare un addebito o una carta si misura in minuti. E si basa su un malinteso: le persone anziane non cadono in trappola perché sarebbero «negate per l'informatica». Ci cadono perché i messaggi fraudolenti del 2026 sono progettati per funzionare su chiunque, e perché dispongono di qualche punto di riferimento in meno per incrociare le informazioni — non di un po' meno intelligenza.
Accompagnare un genitore su questo terreno è un esercizio da equilibristi: bisogna proteggere senza espropriare. Ecco come procedere concretamente, sul fronte delle impostazioni, del vocabolario e della procedura quando il danno è fatto.
Perché l'SMS resta il canale d'attacco preferito
Si tende a immaginare la truffa moderna come una faccenda di falsi siti web sofisticati. In pratica, la porta d'ingresso resta il messaggio, per una ragione strutturale: l'SMS non ha una lista di amici. Non c'è richiesta di contatto, né moderazione, né algoritmo di selezione. Qualsiasi numero al mondo può inviare un messaggio a qualsiasi altro numero.
Aggiungete tre caratteristiche proprie del canale:
- Il messaggio arriva in una conversazione legittima. Sia su iOS che su Android, un SMS inviato con un nome mittente contraffatto può inserirsi nella conversazione già esistente con la vostra banca o il vostro operatore. Il messaggio fraudolento appare così appena sotto messaggi autentici. Nessuna vigilanza visiva regge a questo.
- Lo schermo è piccolo. Un URL troncato su un display da sei pollici, con un carattere medio e la presbiopia, non si legge. Il sottodominio ingannevole passa inosservato.
- Il canale ispira ancora fiducia. Un'intera generazione ha imparato che l'SMS era il canale «serio»: quello del medico, del laboratorio, della banca, della farmacia. Questa reputazione, meritata per vent'anni, oggi viene sfruttata.
La piattaforma Cybermalveillance.gouv.fr colloca da diversi anni il phishing — di cui lo smishing, la variante via SMS — in cima alle richieste di assistenza dei privati. Non è un fenomeno di nicchia: è il core business della criminalità informatica di massa.
Cosa è cambiato negli ultimi due o tre anni
Il cliché dell'SMS pieno di errori appartiene al passato. Gli strumenti di generazione del testo hanno eliminato il principale segnale d'allarme: la sgrammaticatura. I messaggi oggi sono grammaticalmente impeccabili, correttamente accentati, in un registro amministrativo credibile.
Tre evoluzioni riguardano in particolare le persone anziane:
- La personalizzazione. Le fughe di dati a ripetizione permettono di citare un nome, una città, a volte un'assicurazione sanitaria o un operatore. Un messaggio che comincia con «Buongiorno signora Rossi» disarma istantaneamente la diffidenza.
- Il rimbalzo vocale. L'SMS non è più che un innesco: invita a richiamare un numero, dove un interlocutore umano — il «falso consulente bancario» — prende il testimone. È lo scenario più costoso, con danni che si contano in decine di migliaia di euro.
- La leva affettiva. La truffa cosiddetta «del finto figlio» («Mamma, ho rotto il telefono, questo è il mio nuovo numero») prende di mira esplicitamente genitori e nonni. Non chiede nulla di informatico: solo un bonifico, a qualcuno che si crede di amare.
Una regola utile da trasmettere: un'urgenza che vieta di riagganciare e richiamare da soli è, per definizione, una truffa. Nessuna istituzione ha mai preteso che si restasse in linea.
I cinque scenari da conoscere a memoria
Piuttosto che imparare un elenco infinito di varianti, conviene memorizzare le cinque famiglie. Coprono la stragrande maggioranza dei casi.
| Scenario | Il pretesto | Il segnale che non inganna |
|---|---|---|
| Falso pacco | «Spese doganali di 1,80 € da saldare» | Una cifra irrisoria per catturare una carta di credito |
| Falsa banca | «Tentativo di pagamento sospetto, conferma» | Richiesta di un codice ricevuto via SMS, o di richiamare un numero |
| Falso ente pubblico | Multa, fisco, sanità, assegni familiari | Link diretto invece del sito ufficiale conosciuto |
| Falso familiare | «Sono io, ho cambiato numero» | Passaggio rapido a un'app di messaggistica, poi richiesta di denaro |
| Falsa assistenza | «Il suo account sarà chiuso entro 24 ore» | Conto alla rovescia artificiale |
Il punto in comune di questi cinque scenari non è tecnico, è emotivo: paura, urgenza, curiosità o affetto. È questo che bisogna imparare a riconoscere, non i dettagli dell'ortografia di un URL.
L'unico riflesso che sostituisce tutti gli altri
Se dovete trasmettere una sola cosa a un genitore, che sia questa: non si clicca mai dentro un messaggio, si apre da soli il canale che si conosce.
La banca lo preoccupa? Richiama il numero stampato sul retro della carta. Lo contatta l'ente sanitario? Apre il suo profilo online come al solito. Un pacco sarebbe bloccato? Va sul sito del corriere che ha scelto lui stesso. Questo riflesso da solo neutralizza praticamente tutto, senza richiedere la minima competenza tecnica.
Per fissarlo, non c'è niente di meglio del supporto cartaceo. Un taccuino per password di carta appoggiato vicino al telefono fisso, su cui annotare i numeri veri — banca, assicurazione, medico, operatore — e due o tre regole scritte a caratteri grandi, spesso vale più di un'ora di spiegazioni. L'oggetto è datato, ma si consulta in tre secondi, in preda al panico, senza batteria.
Impostare il telefono: un'ora ben spesa
L'accompagnamento non si gioca soltanto nella conversazione. Mezz'ora di impostazioni riduce meccanicamente il volume di messaggi sospetti che arrivano allo schermo.
Filtrare i mittenti sconosciuti
Su iPhone, in Impostazioni → App → Messaggi, l'opzione «Filtra mittenti sconosciuti» sposta automaticamente in una scheda separata i messaggi provenienti da numeri non presenti in rubrica. Non compaiono più come notifiche. La conversazione principale contiene solo la famiglia, gli amici e i servizi registrati.
Su Android, Google Messages propone una protezione antispam e un rilevamento dei messaggi potenzialmente pericolosi, attivabili in Impostazioni → Protezione dallo spam. Le versioni recenti segnalano anche i link ritenuti sospetti prima dell'apertura.
Questo filtraggio ha un costo: un messaggio legittimo proveniente da un numero nuovo (un artigiano, un laboratorio) può finire nella scheda secondaria. Bisogna quindi spiegare l'esistenza di questa scheda e dove ritrovarla.
Blindare il livello finanziario
È il gesto più redditizio, e non riguarda il telefono ma la banca. Molti istituti permettono, dall'app o allo sportello, di:
- fissare un massimale di bonifico giornaliero basso (qualche centinaio di euro);
- imporre un ritardo di 24-48 ore prima che un nuovo beneficiario sia utilizzabile;
- disattivare i pagamenti all'estero o via internet quando non vengono usati.
Un massimale basso non protegge dalla truffa, ma trasforma una catastrofe in un incidente. È esattamente il ruolo che ci si aspetta da una misura di sicurezza.
Documentare gli interlocutori veri
Salvate in rubrica, con nomi inequivocabili («BANCA — numero vero», «ASSICURAZIONE — numero vero»), i contatti ufficiali. Quando una chiamata in arrivo compare senza nome pur sostenendo di venire dalla banca, l'incoerenza salta agli occhi.
Per chi fatica a muoversi nei menu, un telefono cellulare con tasti grandi tenuto come secondo apparecchio, con i cinque numeri essenziali in memoria diretta, resta una soluzione di ripiego molto efficace — in particolare per richiamare una banca senza passare dallo smartphone potenzialmente compromesso.
Migliorare le condizioni di lettura
Una parte non trascurabile dei clic sbagliati deriva semplicemente dal fatto che non si legge ciò su cui si clicca. Ingrandire la dimensione del testo nelle impostazioni di accessibilità, attivare il contrasto elevato e avere un paio di occhiali da lettura a portata di poltrona cambia davvero le cose. Non è un consiglio di comodità: è una misura di sicurezza.
Parlare dell'argomento senza umiliare
È la parte più delicata, e quella che si sbaglia più spesso. Qualche principio ricavato dall'esperienza.
Non cominciare mai con «stai attento»
«Stai attento alle truffe» non trasmette alcuna informazione utilizzabile e instaura una postura di tutela. Meglio il racconto concreto: raccontare un messaggio che voi avete ricevuto, spiegare come avete verificato, ammettere che avete esitato. L'obiettivo è mostrare che dubitare è normale, anche per qualcuno più giovane.
Creare un diritto all'errore esplicito
Formulatelo ad alta voce, una volta, chiaramente: «Se un giorno clicchi su qualcosa, mi chiami subito, anche alle 23, anche se pensi che sia una sciocchezza. Non ti prenderò in giro». Questa frase vale tutti i filtri antispam del mondo, perché accorcia il tempo di reazione.
Istituire una parola d'ordine familiare
Contro la truffa del finto familiare, la contromossa è antica ed efficace: concordare una parola o una domanda che solo i membri della famiglia conoscono. Non una data di nascita (circola), non il nome di un animale (è su Facebook). Un dettaglio senza traccia digitale. Se il presunto nipote in difficoltà non sa fornirlo, la conversazione finisce lì.
Passare per lo scritto e per un terzo
Certe persone accettano male i consigli dei figli e benissimo quelli di un libro o di un corso. I centri di servizio al cittadino, i servizi sociali comunali e molte biblioteche organizzano laboratori gratuiti di mediazione digitale. Una guida pratica alla sicurezza digitale lasciata sul tavolino, sfogliabile con i propri tempi, senza qualcuno che guarda da sopra la spalla, spesso produce più effetto di una dimostrazione.
Il clic è avvenuto: la procedura, in ordine
Un link cliccato non è ancora un danno. Ciò che conta è quello che è stato digitato dopo il clic. Ecco cosa fare, dal più urgente al meno urgente.
- Non digitare altro, non richiamare nessun numero indicato nel messaggio. Chiudere la pagina.
- Se sono stati inseriti dati bancari: chiamare immediatamente la banca al numero riportato sul retro della carta, bloccare la carta, chiedere il blocco delle operazioni in corso. In Francia, il servizio interbancario di blocco funziona 24 ore su 24 allo 0 892 705 705.
- Se è stato comunicato un codice ricevuto via SMS: è il caso più grave, perché quel codice convalida generalmente un'operazione in corso. Chiamata alla banca con priorità assoluta.
- Cambiare le password degli account coinvolti, cominciando dalla posta elettronica, che funge da chiave di recupero per tutto il resto.
- Segnalare il messaggio inoltrandolo al 33700, il servizio nazionale francese di segnalazione degli SMS indesiderati gestito dagli operatori. La segnalazione è gratuita e permette il blocco dei numeri mittenti.
- Sporgere denuncia in caso di danno economico e segnalare i fatti sulla piattaforma Cybermalveillance.gouv.fr, che indirizza verso le procedure e i fornitori di servizi. Per il phishing, il sito Phishing Initiative permette anche di segnalare gli URL fraudolenti.
Una parola sul rimborso: la normativa europea sui servizi di pagamento impone al prestatore di rimborsare un'operazione non autorizzata, salvo negligenza grave dell'utente. Il confine è controverso, e diverse sentenze della Cour de cassation hanno ricordato che un cliente ingannato da un dispositivo di contraffazione particolarmente credibile non è necessariamente in colpa. Il rifiuto iniziale della banca non è quindi l'ultima parola: si possono adire il mediatore bancario e, in seguito, il giudice.
Cosa conservare come prova
Prima di cancellare qualsiasi cosa, fare screenshot del messaggio, del numero mittente, dell'ora di ricezione e di ogni pagina consultata. Questi elementi servono sia per la denuncia sia per il fascicolo di contestazione. Su un computer di famiglia, un piccolo disco rigido esterno in cui archiviare questi screenshot in una cartella datata evita che spariscano al prossimo cambio di telefono.
Proteggere senza sorvegliare: dove tracciare la linea
La tentazione è reale: installare un'app di controllo, avere accesso alla lista dei messaggi, «giusto per sicurezza». È una cattiva idea, per tre ragioni.
Innanzitutto, la legge. Accedere ai messaggi di un adulto senza il suo consenso espone a conseguenze penali per violazione della segretezza della corrispondenza, punita in Francia dall'articolo 226-15 del codice penale. Essere un figlio che assiste il genitore non crea alcuna deroga, salvo una misura di protezione giuridica disposta da un giudice.
Poi, l'efficacia. Una sorveglianza passiva non previene nulla: constata. E deresponsabilizza la persona, che si affida a una rete di sicurezza di cui ignora le maglie.
Infine, la relazione. Il giorno in cui il vostro genitore scopre il dispositivo, la fiducia necessaria alla segnalazione rapida — il famoso «ti chiamo anche alle 23» — svanisce.
La postura giusta sta in una formula: si attrezza la persona, non la si sostituisce. Impostazioni fatte insieme, massimali bancari decisi insieme, numeri verificati insieme, e una porta sempre aperta in caso di dubbio. Il controllo, invece, resta a lei.
Da ricordare
- Gli SMS truffa non puntano all'ingenuità ma all'emozione: paura, urgenza, affetto. Funzionano su chiunque.
- Un solo riflesso basta nel 90% dei casi: non cliccare mai dentro il messaggio, riaprire sempre da soli il canale ufficiale conosciuto.
- Il filtraggio dei mittenti sconosciuti (iOS e Google Messages) e massimali bancari bassi fanno la gran parte del lavoro preventivo.
- Una parola d'ordine familiare neutralizza la truffa del finto familiare.
- In caso di clic: prima la banca, poi le password, segnalazione al 33700 e su Cybermalveillance.gouv.fr, denuncia se c'è un danno.
- Proteggere non è sorvegliare: leggere i messaggi di un adulto senza il suo consenso è illegale e controproducente.
Il miglior indicatore di successo non è l'assenza di incidenti — non dipende da voi. È il tempo che passa tra il clic e la telefonata. Se scende sotto i dieci minuti, avete vinto.
