Esiste un momento di svolta molto preciso in una truffa via SMS. Non è quello in cui il messaggio arriva, e nemmeno quello in cui si clicca. È quello, qualche secondo o qualche ora dopo, in cui si capisce. Il sito sembrava autentico, la pagina ha «dato errore», e poi si insinua un dubbio. Si rilegge il messaggio. Il numero del mittente non somiglia più per niente a quello della banca.
Ciò che segue è quasi sempre vissuto e gestito male. Non per mancanza di intelligenza, ma perché nessuno ci ha mai spiegato in quale ordine agire. Bisogna chiamare la banca prima o dopo aver sporto denuncia? Il 33700 serve a qualcosa? Una denuncia ha qualche possibilità di andare a buon fine? E soprattutto: la banca deve rimborsare?
Ecco il percorso completo, così come esiste realmente in Francia nel 2026, con i termini di legge, le norme applicabili e le frasi che fanno la differenza di fronte a un consulente.
Le prime tre ore: l'ordine delle priorità
La regola è semplice: si comincia da ciò che sanguina. Le pratiche dichiarative vengono dopo, mai prima.
1. Bloccare gli strumenti di pagamento
Se hai inserito un numero di carta, un codice usa e getta o le tue credenziali bancarie, l'urgenza assoluta è il blocco. Tre canali, in quest'ordine di efficacia:
- L'app bancaria, che ormai propone quasi sempre un pulsante di blocco istantaneo della carta;
- Il numero per il blocco della tua banca, indicato sul retro della carta e nell'area clienti;
- Il servizio interbancario di blocco delle carte di pagamento, al 0 892 705 705, attivo 24 ore su 24 se non riesci a contattare il tuo istituto.
Un aspetto spesso ignorato: bloccare la carta non sempre basta. Se i truffatori hanno ottenuto le tue credenziali di home banking, possono tentare un bonifico. Chiedi esplicitamente il blocco dell'accesso all'area clienti e il ripristino delle credenziali.
2. Riprendere il controllo del telefono
Se hai installato un'applicazione tramite il link, o concesso un'autorizzazione, considera il dispositivo compromesso. Riavvialo, disinstalla ciò che è stato aggiunto, verifica nelle impostazioni quali app hanno accesso agli SMS e cambia le password da un altro dispositivo: un computer, un tablet. È anche il momento giusto per valutare una chiave di sicurezza fisica FIDO2 per gli account più sensibili: rende inefficace l'intercettazione di un codice via SMS, perché non c'è più alcun codice da intercettare.
3. Documentare prima di cancellare
Riflesso controintuitivo ma decisivo: non cancellare il messaggio fraudolento. Fai degli screenshot dell'SMS, del numero del mittente, dell'URL visitato, dell'orario e delle operazioni bancarie contestate. Questi elementi costituiscono il tuo fascicolo. Senza di essi, la denuncia è una dichiarazione sulla parola; con essi, è un dossier.
Il 33700: a cosa serve davvero (e a cosa non serve)
Il 33700 è il dispositivo nazionale di segnalazione di SMS e chiamate indesiderate, gestito dagli operatori francesi sotto l'egida dell'Association Française du Multimédia Mobile. Il funzionamento è banale: inoltri l'SMS sospetto al 33700, poi invii in un secondo messaggio il numero del mittente.
Ciò che fa: alimenta una banca dati comune che permette agli operatori di disattivare i numeri e i kit di spam utilizzati in modo massivo. Un numero segnalato centinaia di volte viene neutralizzato rapidamente.
Ciò che non fa: non tratta il tuo caso personale, non avvia alcuna indagine sul tuo danno e non ti rimborsa nulla. Il 33700 è un gesto collettivo, non un ricorso individuale. Vale la pena farlo — trenta secondi — ma non sostituisce nessuna delle tappe successive.
Da notare inoltre: la segnalazione al 33700 funziona per gli SMS classici. Per i messaggi che passano da applicazioni o tramite RCS, la segnalazione si effettua nell'app stessa, che dispone di propri meccanismi di notifica.
Segnalare alle piattaforme ufficiali: Cybermalveillance e Pharos
Due dispositivi pubblici completano il quadro, e non servono alla stessa cosa.
Cybermalveillance.gouv.fr è il dispositivo nazionale di assistenza alle vittime di atti di criminalità informatica, gestito da un ente di interesse pubblico che coinvolge lo Stato. Il suo percorso diagnostico online ti orienta in base alla tua situazione (phishing, usurpazione d'identità, violazione di account) e ti mette in contatto con operatori di zona se è necessario un intervento tecnico. È il punto d'ingresso giusto se non sai da dove cominciare.
Pharos, la piattaforma di armonizzazione, analisi, riscontro e orientamento delle segnalazioni, è gestita dall'Office anti-cybercriminalité. La segnalazione si effettua su internet-signalement.gouv.fr. Pharos riceve le segnalazioni di contenuti e comportamenti illeciti online, siti di phishing compresi. Anche qui: segnalazione ≠ denuncia.
Infine, Perceval è il servizio online di segnalazione delle frodi con carta di pagamento, accessibile tramite FranceConnect su service-public.fr. Riguarda specificamente gli addebiti fraudolenti su una carta rimasta in tuo possesso. La ricevuta Perceval è un documento utile da allegare al fascicolo consegnato alla banca.
Sporgere denuncia: dove, come e con quali possibilità
Contrariamente a una convinzione diffusa, la denuncia non può mai essere rifiutata. L'articolo 15-3 del Code de procédure pénale obbliga gli ufficiali e gli agenti di polizia giudiziaria a ricevere le denunce, anche fuori dalla propria competenza territoriale, e a rilasciarne ricevuta. Se un agente ti dice «non serve a nulla», la risposta è: «desidero comunque sporgere denuncia, la prego di rilasciarmene ricevuta».
Tre strade possibili:
| Via | Tempistica indicativa | Vantaggio |
|---|---|---|
| Commissariato o caserma della gendarmeria | Da immediato a qualche giorno | Ricevuta consegnata sul posto, fascicolo costituito con l'agente |
| Denuncia online (procedura dematerializzata) | Qualche giorno | Pratica, ma talvolta riqualificata come semplice segnalazione se il fascicolo è scarno |
| Lettera al procuratore della Repubblica | Da 1 a 3 settimane | Utile in caso di danno rilevante, permette di esporre tutto per iscritto |
Per la lettera al procuratore, rivolgiti al tribunale giudiziario del luogo del reato o del tuo domicilio, con raccomandata con ricevuta di ritorno. Il plico deve contenere i tuoi dati completi, il racconto cronologico datato, la qualificazione ipotizzata (truffa, articolo 313-1 del Code pénal; raccolta fraudolenta di dati personali, articolo 226-18) e i documenti. Un semplice raccoglitore per archiviare documenti amministrativi evita di dover ritirare fuori il fascicolo alla rinfusa tre mesi più tardi, quando l'assicurazione o la banca chiede un documento integrativo.
Sulle probabilità di successo: siamo onesti. Le campagne di smishing sono in gran parte gestite dall'estero, tramite infrastrutture noleggiate e numeri usa e getta. L'identificazione degli autori è rara. Ma la denuncia non ha solo una funzione repressiva: è il pezzo forte del fascicolo bancario e assicurativo. Senza di essa, la banca ha gioco facile nell'invocare un dubbio sulla reale sussistenza della frode.
La vera posta in gioco: ottenere il rimborso
È qui che si gioca l'essenziale, ed è qui che la maggior parte delle vittime si ferma troppo presto, scoraggiata da un primo rifiuto.
Cosa dice la legge
Il Code monétaire et financier stabilisce un principio chiaro. L'articolo L. 133-18 prevede che, in caso di operazione di pagamento non autorizzata segnalata dall'utente, il prestatore di servizi di pagamento rimborsi immediatamente, e al più tardi entro la fine del primo giorno lavorativo successivo alla segnalazione, salvo sospetto di frode dell'utente stesso comunicato alla Banque de France.
L'articolo L. 133-19 limita la quota a carico del pagatore e, soprattutto: quando l'operazione è stata effettuata senza autenticazione forte pur essendo questa richiesta, il pagatore non sopporta alcuna perdita.
L'articolo L. 133-23 pone l'onere della prova a carico della banca: spetta a essa dimostrare che l'operazione è stata autenticata, registrata e non è stata compromessa da un guasto tecnico. E la norma precisa esplicitamente che l'utilizzo dello strumento di pagamento registrato dal prestatore non è necessariamente sufficiente a provare la negligenza grave.
La nozione di negligenza grave e la svolta della giurisprudenza
La banca sfugge al rimborso solo se dimostra una negligenza grave da parte tua (articolo L. 133-19, IV). A lungo, gli istituti hanno ritenuto che comunicare un codice ricevuto via SMS costituisse per sua natura una negligenza grave.
La Cour de cassation ha considerevolmente ristretto questa interpretazione. In una decisione molto commentata della sua sezione commerciale (sentenza del 12 novembre 2020, ricorso n. 19-12.112), ha ricordato che spetta alla banca fornire la prova della negligenza grave, e che questa non si deduce dal solo fatto che il cliente abbia comunicato i propri dati. La giurisprudenza successiva ha confermato questa linea nei casi di spoofing, ossia di falsificazione del numero o del nome del mittente della banca: quando il messaggio fraudolento si inserisce nel thread di conversazione autentico dell'istituto, la vittima non può ragionevolmente essere considerata gravemente negligente.
È l'argomento centrale da far valere per iscritto:
Il messaggio contestato è comparso nel consueto thread di conversazione del vostro istituto, con lo stesso nome del mittente, il che rendeva impossibile qualsiasi distinzione per un utente normalmente diligente. In applicazione degli articoli L. 133-18 e L. 133-23 del Code monétaire et financier, spetta a voi dimostrare la mia negligenza grave, la quale non può derivare dalla sola comunicazione dei dati.
La procedura, passo per passo
- Contestazione scritta presso la tua filiale, con raccomandata con ricevuta di ritorno, nel più breve tempo possibile. Il termine massimo di legge per contestare un'operazione non autorizzata è di tredici mesi dall'addebito (articolo L. 133-24), ma non aspettare: la tempestività pesa nella valutazione.
- Ricorso al servizio reclami della banca se il rifiuto viene confermato, con gli stessi documenti più la copia del rifiuto.
- Mediatore bancario: gratuito, attivabile online, ha novanta giorni per emettere un parere. I suoi recapiti figurano obbligatoriamente sugli estratti conto e sul sito della banca. Una quota significativa delle controversie per frode si risolve a questo stadio.
- Tribunale giudiziario come ultima risorsa. Per gli importi modesti, la procedura semplificata davanti al giudice del contenzioso della protezione è accessibile senza avvocato. Verifica intanto la tua polizza di tutela legale: molti contratti casa o carte di fascia alta ne includono una, e copre le spese.
Per redigere le tue lettere senza passarci la serata, una guida pratica al diritto dei consumatori aggiornata fornisce modelli di diffida direttamente riutilizzabili.
I danni che ci si dimentica di affrontare
Il rimborso bancario non chiude tutto. Tre punti ciechi meritano un'azione a parte.
L'usurpazione d'identità. Se hai trasmesso una copia di un documento d'identità, un certificato di residenza o le coordinate bancarie, il rischio di sottoscrizione fraudolenta di un finanziamento esiste. Puoi chiedere l'iscrizione al Fichier national des incidents de remboursement des crédits aux particuliers in qualità di vittima di usurpazione, tramite la Banque de France, ed esercitare il tuo diritto di accesso agli archivi delle insolvenze.
I dati personali. Se i tuoi dati sono stati raccolti in modo fraudolento tramite un sito falso che imita un ente, una segnalazione alla CNIL è pertinente, in particolare quando l'ente reale ha subito una fuga di dati all'origine della profilazione. La CNIL non ti risarcisce, ma la sua azione può innescare un controllo.
La messa in sicurezza duratura degli account. Dopo l'incidente, sostituisci i codici ricevuti via SMS con un'app di autenticazione a due fattori ovunque sia possibile, e centralizza le password in un gestore dedicato. Un quaderno cifrato per le password in formato cartaceo, tenuto in casa, resta una soluzione di riserva accettabile per chi è refrattario alle applicazioni, a condizione che non esca mai dall'abitazione.
Il calendario da ricordare
| Momento | Azione |
|---|---|
| H+0 | Blocco della carta e dell'accesso online |
| H+0 | Screenshot dell'SMS, dell'URL e delle operazioni |
| H+1 | Cambio delle password da un altro dispositivo |
| G+0 / G+1 | Contestazione scritta alla banca (raccomandata A/R) |
| G+0 / G+2 | Denuncia in commissariato o online, ricevuta conservata |
| G+0 / G+2 | Segnalazione Perceval, inoltro dell'SMS al 33700 |
| G+30 | Sollecito e ricorso al servizio reclami in caso di silenzio |
| G+60 | Mediatore bancario |
| G+395 max | Limite legale di contestazione (13 mesi) |
Cosa bisogna ricordare
Lo smishing prospera su un meccanismo semplice: la vittima si vergogna, quindi tarda, quindi i termini si chiudono. Eppure la legge francese è, su questo terreno, piuttosto favorevole al consumatore. L'onere della prova grava sulla banca, la negligenza grave deve essere dimostrata e non presunta, e la giurisprudenza ha esplicitamente preso atto del fatto che un messaggio che usurpa l'identità di un istituto è tecnicamente indistinguibile per un utente comune.
L'unico comportamento davvero penalizzante è l'attesa. Una segnalazione fatta entro un'ora, un dossier di screenshot, una raccomandata ben argomentata: è questo che distingue un fascicolo rimborsato da un fascicolo archiviato.
E per il futuro: il riflesso migliore resta quello di non utilizzare mai un link ricevuto via messaggio, anche se perfettamente credibile. Si chiude l'SMS, si apre l'app ufficiale, si verifica. Tre secondi in più, e la storia non accade.
Fonti principali: Code monétaire et financier (articoli L. 133-18, L. 133-19, L. 133-23, L. 133-24), Code de procédure pénale (articolo 15-3), Code pénal (articoli 313-1 e 226-18), Cour de cassation sezione commerciale (sentenza del 12 novembre 2020, n. 19-12.112), Cybermalveillance.gouv.fr, service-public.fr (Perceval), Banque de France, CNIL.
