C'è un momento molto particolare, subito dopo l'atterraggio, quando si disattiva la modalità aereo: il telefono vibra tre o quattro volte di seguito. Un messaggio di benvenuto dell'operatore locale, un promemoria del vostro operatore nazionale sulle tariffe, a volte una notifica bancaria. Questo piccolo rituale sembra insignificante. Segnala invece un cambiamento tecnico importante: i vostri messaggi non seguono più lo stesso percorso di ieri.
Un SMS inviato da Marsiglia e un SMS inviato da Marrakech non attraversano gli stessi apparati, non sono soggetti alle stesse normative e non espongono agli stessi rischi. L'argomento viene raramente affrontato nelle guide di viaggio, incastrato da qualche parte tra «ricordati l'adattatore» e «tieni d'occhio lo zaino». Merita di meglio, perché è spesso in viaggio che si ha più bisogno di ricevere un codice bancario — e più difficoltà a ottenerlo.
Ecco, concretamente, che cosa cambia per i vostri messaggi non appena superate una frontiera, e come preparare la vostra linea prima della partenza.
Che cosa succede davvero quando il vostro telefono cambia Paese
Quando vi collegate a una rete straniera, la vostra scheda SIM (o eSIM) si autentica presso l'operatore locale, che interroga il vostro operatore nazionale per verificare che abbiate effettivamente il diritto di utilizzare la sua rete. È il roaming, o itineranza. Il vostro numero resta lo stesso, così come il vostro abbonamento, ma l'antenna che vi serve non appartiene più a Orange, SFR, Bouygues o Free.
Questo dettaglio ha tre conseguenze dirette.
I vostri SMS transitano attraverso un operatore che non avete scelto
Un SMS ricevuto all'estero arriva prima al vostro operatore nazionale, che lo inoltra tramite l'interconnessione internazionale fino all'operatore locale, il quale ve lo consegna. A ogni passaggio, il messaggio viene archiviato in chiaro — è la natura stessa dell'SMS, che non è mai stato concepito con una cifratura end-to-end. Non scegliete voi questi intermediari e non avete alcuna visibilità sulle loro pratiche di conservazione.
Nell'Unione europea, il regolamento sul roaming (il cosiddetto «roam like at home») disciplina le tariffe e il GDPR si applica ai dati trattati. Fuori dall'UE queste garanzie decadono: gli obblighi di conservazione, l'accesso delle autorità locali e le condizioni di sicurezza dipendono dal diritto del Paese visitato.
Il protocollo di interconnessione resta l'anello debole
Gli scambi tra operatori si basano in gran parte su protocolli di segnalazione storici — SS7 per il 2G/3G, Diameter per il 4G — le cui vulnerabilità sono documentate pubblicamente da oltre un decennio. L'ANSSI, come l'ENISA a livello europeo, ha regolarmente lanciato l'allarme sui rischi di intercettazione o reindirizzamento dei messaggi che sfruttano questi protocolli. Si tratta di attacchi mirati e costosi: il viaggiatore comune non è il bersaglio. Ma il principio è acquisito: un SMS non è un canale riservato, e lo è ancora meno quando attraversa più operatori su più continenti.
I tempi si allungano, ed è un problema pratico
L'instradamento internazionale aggiunge latenza. Un codice di verifica monouso valido sessanta secondi può arrivare dopo la scadenza. Su alcune reti, la coda dei messaggi in entrata si svuota solo nel momento in cui il telefono si riaggancia alla rete — da qui quelle raffiche di SMS che arrivano tutti insieme con diverse ore di ritardo.
La vera trappola del viaggio: non ricevere più i codici di sicurezza
È lo scenario più frequente e più fastidioso. Siete all'estero, dovete convalidare un pagamento online o riconnettervi alla vostra banca, e l'SMS di conferma non arriva mai.
Spesso si sommano tre cause:
| Causa | Sintomo | Che cosa fare |
|---|---|---|
| Roaming dati disattivato | Le chiamate funzionano, gli SMS arrivano, ma l'app bancaria non si connette | Attivare i dati in roaming o passare al Wi-Fi dell'hotel |
| Linea nazionale sostituita da una eSIM locale | Nessun SMS sul vostro numero abituale | Mantenere la linea nazionale attiva in ricezione, anche senza piano dati |
| Convalida tramite notifica dell'app | L'app chiede una conferma al suo interno, non via SMS | Prevedere una connessione Internet stabile per l'app |
Il caso più comune nel 2026 riguarda i viaggiatori che acquistano una eSIM turistica per evitare i costi di roaming fuori dall'UE. Ottima idea per i dati, trappola classica per i messaggi: se disattivate completamente la vostra linea nazionale, interrompete la ricezione degli SMS delle banche, delle pubbliche amministrazioni e dei servizi online. La configurazione corretta consiste nel mantenere la linea nazionale attiva per voce e SMS (la ricezione è generalmente gratuita o molto economica) e riservare la eSIM locale ai dati.
Verificate prima della partenza, dalla vostra area clienti, che l'opzione «roaming» sia effettivamente attiva sulla vostra linea. Alcune tariffe di fascia base la bloccano per impostazione predefinita fuori dall'area europea.
Un'altra precauzione che sembra banale e che salva le vacanze: partire con una power bank di grande capacità nella borsa a mano anziché nella valigia in stiva. Un telefono spento in aeroporto significa una prenotazione alberghiera inaccessibile, un QR code di trasporto perduto e soprattutto nessun codice di sicurezza ricevibile.
Le truffe via SMS calibrate specificamente sui viaggiatori
Lo smishing segue le stagioni. A luglio e agosto e durante le vacanze scolastiche, le campagne fraudolente cambiano scenario per aderire alle situazioni di mobilità. Cybermalveillance.gouv.fr e la DGCCRF segnalano regolarmente queste ondate.
Il falso messaggio dell'operatore
«La tua tariffa ha raggiunto il limite di dati in roaming. Ricarica per continuare a usare la tua linea.» Il messaggio arriva esattamente nel momento in cui vi preoccupate del vostro consumo. Rimanda a una pagina che imita l'area clienti del vostro operatore e chiede le vostre credenziali, poi un metodo di pagamento.
Il riflesso da avere: nessun operatore chiede di inserire la carta di credito partendo da un link ricevuto via SMS. Si apre l'applicazione ufficiale dell'operatore, oppure si compone il numero del servizio clienti dal telefono stesso.
La falsa notifica di prenotazione
Falso messaggio di una piattaforma di affitti, di una compagnia aerea o di un hotel: «La tua prenotazione richiede una riconvalida del pagamento entro 24 ore». La pressione temporale è il marcatore costante. Le piattaforme serie conservano l'intero scambio nella propria messaggistica interna — un messaggio di prenotazione che vi porta fuori dall'applicazione è sospetto per costruzione.
Il finto familiare in difficoltà
Questo messaggio è rivolto a chi resta a casa: «Mamma, ho perso il telefono all'estero, questo è il mio nuovo numero, puoi mandarmi dei soldi?». La distanza geografica rende difficile la verifica e credibile l'urgenza. La contromisura è vecchia ed efficace: concordare prima della partenza una domanda di cui solo la famiglia conosce la risposta.
Il falso modulo di ingresso nel Paese
Novità degli ultimi anni: falsi SMS che invocano un'autorizzazione di viaggio, un modulo sanitario o una tassa di soggiorno da pagare online prima dell'arrivo. Sfruttano l'effettiva moltiplicazione di queste procedure. Le autorizzazioni ufficiali si pagano esclusivamente sui siti governativi, mai da un link ricevuto via messaggio.
Wi-Fi pubblico, hotel, aeroporto: che cosa cambia per la messaggistica
L'SMS classico non passa da Internet: utilizza la rete di segnalazione dell'operatore. Un Wi-Fi pubblico malevolo non può quindi leggere i vostri SMS. Può però attaccare benissimo tutto il resto: sessioni web, applicazioni mal configurate e soprattutto le messaggistiche IP (RCS, WhatsApp, Signal, iMessage) che, invece, transitano da Internet.
Buona notizia: queste app di messaggistica cifrano i contenuti end-to-end. La rete vede che c'è traffico, non che cosa contiene. Il rischio residuo riguarda i metadati — chi parla con chi, quando, quanto — e le pagine web aperte da un link.
Nella maggior parte dei casi bastano tre regole:
- Disattivare la connessione automatica alle reti Wi-Fi aperte nelle impostazioni del telefono. Altrimenti il dispositivo si aggancia da solo a qualsiasi rete che porti un nome già noto, compreso un falso hotspot battezzato «Airport_Free_WiFi».
- Usare una VPN per le operazioni sensibili da una rete condivisa. Un abbonamento a un servizio serio fa il suo lavoro; diffidate delle applicazioni gratuite che monetizzano il traffico.
- Non inserire mai credenziali bancarie da una pagina aperta tramite un link, qualunque sia la rete.
Per chi viaggia con un computer portatile in spazi condivisi, un filtro privacy per schermo risolve un problema che né la cifratura né la VPN affrontano: il vicino di posto che legge da sopra la spalla. La stessa logica vale per il telefono su un treno o in una fila.
Preparare la propria linea prima della partenza: la checklist
Quello che segue richiede venti minuti a casa ed evita la maggior parte dei guai.
Una settimana prima
- Verificare l'attivazione del roaming sulla vostra linea e conoscere le tariffe fuori dall'UE (gli SMS ricevuti sono generalmente gratuiti, quelli inviati vengono fatturati singolarmente).
- Annotare, su carta, il numero del servizio clienti del vostro operatore dall'estero e quello per il blocco della carta bancaria. Questi numeri non sono gli stessi che si usano in patria e non sono sempre raggiungibili tramite numero verde.
- Attivare un metodo di autenticazione che non dipenda dalla rete mobile sui vostri account critici: un'app di autenticazione che genera codici offline, oppure una chiave di sicurezza fisica. È l'unica vera risposta al «non ricevo il codice».
- Fare un backup completo del telefono, messaggi compresi.
Il giorno prima
- Aggiornare il sistema e le applicazioni di messaggistica.
- Verificare che il blocco della scheda SIM tramite codice PIN sia attivo: in caso di furto del telefono, questo impedisce di spostare la SIM in un altro dispositivo per ricevere i vostri codici.
- Rivedere le impostazioni di filtraggio dei mittenti sconosciuti nell'app Messaggi.
All'arrivo
- Selezionare manualmente la rete se il telefono esita tra più operatori locali.
- Ignorare gli SMS di benvenuto contenenti link promozionali, compresi quelli che sembrano provenire dall'operatore locale.
Il caso del telefono secondario
Per alcuni spostamenti — zone a rischio, viaggi di lavoro delicati, destinazioni in cui l'ispezione dei dispositivi alla frontiera è consuetudine — la questione del secondo apparecchio si pone seriamente. Uno smartphone di fascia base sbloccato usato come telefono da viaggio, senza cronologia di messaggi, senza account personali e senza app bancarie, riduce drasticamente la superficie di esposizione. Ci si installa lo stretto necessario: mappe offline, biglietti, un'app di messaggistica cifrata.
Questo approccio ha un costo, ma risolve una domanda difficile: che cosa perdete davvero se il dispositivo sparisce? Su un telefono da viaggio preparato, la risposta è «un dispositivo». Sul vostro telefono principale, la risposta comprende dieci anni di messaggi, i vostri strumenti di pagamento e l'accesso alla maggior parte dei vostri account.
Nello stesso spirito, una custodia RFID antifrode per passaporto e carte protegge i documenti contactless che portate con voi — un rischio distinto da quello degli SMS, ma che rientra nella stessa igiene di viaggio.
E l'RCS all'estero?
L'RCS, successore dell'SMS, funziona sui dati mobili o sul Wi-Fi. In roaming, il suo comportamento dipende quindi dalla vostra connessione Internet, non dalla rete di segnalazione. Due conseguenze.
Innanzitutto, se disattivate i dati in roaming per evitare la bolletta, l'RCS smette di funzionare e le vostre conversazioni ricadono su SMS/MMS classici — quindi non cifrati. Potreste non accorgervene: l'indicatore cambia in modo discreto nell'applicazione.
Inoltre, la questione della cifratura resta particolarmente in movimento. L'introduzione della cifratura end-to-end tra iPhone e Android, avviata nel 2026, non si applica in modo uniforme a seconda dei Paesi e delle configurazioni degli operatori. In altre parole: non contate sull'RCS per garantire la riservatezza di un messaggio importante durante un viaggio. Per un'informazione realmente sensibile, un'app di messaggistica con cifratura end-to-end consolidata, usata da entrambi gli interlocutori, resta la scelta razionale.
In caso di problemi sul posto
Se ricevete un messaggio fraudolento: non cliccate e segnalatelo al 33700, la piattaforma francese di segnalazione degli SMS indesiderati, che funziona anche dall'estero se la vostra linea francese è attiva. La segnalazione al 33700 si effettua inoltrando il messaggio.
Se avete cliccato e inserito informazioni bancarie: bloccate immediatamente la carta tramite il numero annotato su carta, poi sporgete denuncia — la denuncia può essere presentata al rientro, ma il blocco non può aspettare.
Se il telefono viene rubato: chiedete il blocco della linea al vostro operatore e il blocco del dispositivo tramite il suo codice IMEI (che avrete annotato prima della partenza). Questo impedisce l'uso del vostro numero per ricevere codici di convalida.
Infine, se dovete avvisare una persona cara senza una linea attiva — telefono rubato, credito esaurito, eSIM capricciosa — un servizio di invio SMS online da qualsiasi connessione Internet permette di far passare l'informazione essenziale in attesa di meglio. È esattamente il tipo di soluzione di ripiego che conviene conoscere prima di averne bisogno.
Che cosa ricordare
Viaggiare non rende l'SMS più pericoloso per natura. Accumula fattori: una rete che non conoscete, una vigilanza smussata dalla stanchezza e dal fuso orario, scenari di truffa cuciti su misura per la situazione e una dipendenza accresciuta dal telefono per tutto — il pagamento, i trasporti, l'alloggio.
La preparazione utile si riassume in tre decisioni: mantenere la propria linea nazionale raggiungibile, non far dipendere l'accesso ai propri account dalla sola ricezione di un SMS e considerare per impostazione predefinita che qualsiasi messaggio non sollecitato ricevuto all'estero sia un tentativo di truffa, fino a prova contraria verificata al di fuori del messaggio stesso.
Il resto è viaggio.
