C'è un momento preciso in cui si abbassa la guardia: quello in cui l'annuncio è appena stato pubblicato. Il divano è fotografato, la descrizione è scritta, il prezzo è fissato. E venti minuti dopo il telefono vibra. « Buongiorno, sono interessato al suo articolo, è ancora disponibile? » Il messaggio è educato, corretto, senza errori. Arriva via SMS, direttamente sul numero personale.
Da lì in poi si mette in moto un meccanismo ben collaudato. Non prende di mira gli acquirenti — è l'errore di analisi più diffuso — ma i venditori. Quelli che aspettano una risposta, che sperano di chiudere in fretta, che hanno già speso mentalmente i 250 euro della bici da cedere.
Pubblicare un annuncio, nel 2026, significa pubblicare un numero di telefono in uno spazio consultabile da chiunque, comprese reti organizzate che automatizzano la raccolta dei dati. Quella che si crede una transazione tra privati diventa così un terreno di caccia. Ecco come funzionano davvero queste truffe, perché riescono così bene e quali abitudini adottare ancora prima di mettere online il primo oggetto.
Perché i venditori sono bersagli ideali
Un venditore privato riunisce tre caratteristiche che i truffatori cercano.
Prima di tutto, sta aspettando un messaggio. A differenza dello smishing di massa — il finto SMS dell'Agenzia delle Entrate o della tessera sanitaria inviato a milioni di numeri a caso — il messaggio ricevuto da un venditore si inserisce in un contesto che lui stesso ha creato. Il cervello non cerca l'incoerenza: cerca la conferma.
In secondo luogo, ha reso accessibile il proprio numero. Anche quando la piattaforma mette a disposizione una messaggistica interna, una parte consistente dei venditori indica il numero nel testo dell'annuncio o lo fornisce al primo scambio, per « fare prima ». I numeri vengono poi raccolti automaticamente, rivenduti, riutilizzati per mesi.
Infine, si trova in posizione di attesa finanziaria. Deve ricevere del denaro. È proprio questa asimmetria che la truffa sfrutta: non gli si chiede di pagare, gli si spiega che deve compiere una formalità per incassare. Dal punto di vista psicologico è infinitamente più efficace.
La piattaforma Signal Arnaques e il dispositivo ufficiale 33700, gestito dalla Fédération française des télécoms sotto l'egida del Ministero dell'Economia francese, registrano anno dopo anno questo tipo di segnalazioni tra i volumi più elevati, accanto ai falsi SMS di consegna dei pacchi.
I quattro scenari più diffusi nel 2026
1. Il falso link di pagamento « sicuro »
È il grande classico e resta il più redditizio. L'acquirente spiega di non potersi spostare, propone di pagare tramite il sistema di pagamento integrato della piattaforma, poi invia un SMS con un link.
La pagina che si apre è una copia fedele: logo, tipografia, note legali, lucchetto HTTPS. Chiede il numero della carta di credito « per ricevere il bonifico ». Ma nessun sistema di pagamento al mondo richiede i dati di una carta per accreditare un conto. Ricevere denaro richiede un IBAN, mai un codice di sicurezza a tre cifre.
Variante più sofisticata: la pagina chiede di accedere alla propria area bancaria per « convalidare la ricezione ». Il truffatore recupera le credenziali in tempo reale e avvia un bonifico, mentre un complice telefona spacciandosi per l'operatore antifrode della banca allo scopo di ottenere il codice di conferma.
2. Il falso SMS del corriere
Il venditore ha spedito il pacco. Qualche giorno dopo: « Il suo pacco n. FR8842… è bloccato al centro di smistamento, spese di rispedizione di 1,95 € da saldare. » L'importo è volutamente irrisorio — l'obiettivo non è rubare 1,95 €, ma ottenere i dati della carta per attivare un addebito ricorrente o rivendere il numero.
Questo scenario ha la particolarità di risultare credibile anche per le persone più accorte, proprio perché un pacco è realmente in circolazione. L'unica abitudine affidabile: non seguire mai un link ricevuto via SMS, ma digitare da soli il numero di tracciamento sul sito del corriere.
3. Il pagamento in eccesso e il rimborso
L'acquirente annuncia di aver « pagato troppo per errore » e invia lo screenshot di un bonifico di 800 € invece di 300 €. Chiede il rimborso della differenza, tramite bonifico istantaneo o buono prepagato. Lo screenshot è fabbricato, il bonifico non esiste, oppure verrà annullato qualche giorno dopo.
Il principio da ricordare è semplice: un bonifico ricevuto è definitivamente acquisito solo quando compare sull'estratto conto, non su una notifica, non su uno screenshot, non su un'e-mail.
4. Lo spostamento della conversazione
Messaggio iniziale breve e innocuo, poi: « Possiamo continuare su WhatsApp? » oppure « Mi mandi il suo numero, la chiamo io. » Uscire dalla messaggistica della piattaforma fa sparire ogni traccia utilizzabile in caso di contestazione, disattiva i filtri antifrode automatici e consente di inviare link che altrove verrebbero bloccati.
Non è un dettaglio: è il primo gradino di quasi tutte le truffe successive.
Regola generale: più un interlocutore cerca di abbandonare il canale ufficiale, più aumenta la probabilità di frode. Vale per gli annunci tra privati, vale per i falsi consulenti bancari, vale per i falsi recruiter.
La tabella dei segnali d'allarme
| Segnale osservato | Interpretazione | Livello di rischio |
|---|---|---|
| Acquirente che non contratta sul prezzo | Anomalo su una piattaforma tra privati | Alto |
| Richiesta del numero di telefono già dal primo messaggio | Tentativo di uscita dal canale sicuro | Alto |
| Link di pagamento inviato via SMS | Nessuna piattaforma legittima procede così | Critico |
| Formulazione leggermente strana, traduzione automatica | Rete che opera dall'estero | Medio |
| Urgenza dichiarata (« parto stasera ») | Classica leva di pressione | Alto |
| Richiesta della carta di credito per ricevere | Tecnicamente impossibile | Critico |
| Proposta di pagare più del prezzo richiesto | Scenario del pagamento in eccesso | Critico |
Cosa fare prima di pubblicare un annuncio
La difesa migliore non si gioca nel momento dell'SMS sospetto, ma molto prima.
Non inserire mai il proprio numero nel testo dell'annuncio. Né nella descrizione, né nelle foto — alcuni venditori fotografano senza pensarci un documento, un'etichetta o una fattura con i propri dati. Controllare le immagini prima di pubblicare richiede dieci secondi.
Ripulire le foto. Uno scatto fatto con lo smartphone contiene metadati, a volte la posizione GPS esatta dell'abitazione. La maggior parte delle grandi piattaforme li elimina in fase di caricamento, ma non tutte, e non negli invii tramite messaggistica privata. Per gli oggetti di valore, fotografare su fondo neutro con un piccolo studio fotografico pieghevole evita per giunta di mostrare gli interni di casa, i mobili o la vista dalla finestra — tutti indizi utili per un sopralluogo.
Valutare un secondo numero. Per chi vende regolarmente, dedicare una linea agli annunci è la soluzione più solida. Una scheda SIM prepagata senza vincoli, inserita in un telefono secondario o in un secondo slot SIM, isola completamente l'attività di vendita dal numero principale — quello che riceve i codici bancari e le autenticazioni a due fattori. Il giorno in cui quel numero secondario sarà sommerso di spam, lo si sostituisce senza conseguenze.
Blindare l'account principale. Poiché il numero personale funge da chiave di riserva per la banca, la posta elettronica e i social network, deve essere il più protetto di tutti. Spostare l'autenticazione a due fattori degli account sensibili su un'app dedicata, o addirittura su una chiave di sicurezza fisica FIDO2, elimina la dipendenza dall'SMS — un canale che, ricordiamolo, non è cifrato e resta vulnerabile al dirottamento della linea.
Cosa fare quando l'SMS sospetto è già arrivato
Non cliccare nulla, non rispondere nulla
Un semplice « STOP » o una risposta stizzita conferma che il numero è attivo e attribuito a una persona reale. Questa informazione ha un valore di mercato: circola poi verso altre reti.
Segnalare al 33700
Il dispositivo è gratuito e funziona in due tempi:
- Inoltrare l'SMS fraudolento al 33700.
- Rispondere al messaggio automatico indicando il numero del mittente.
La segnalazione alimenta una banca dati comune agli operatori, che consente di sospendere i numeri emittenti e bloccare le campagne. Tramite un modulo web, il sito ufficiale del 33700 permette anche di segnalare i messaggi ricevuti attraverso le app di messaggistica.
Per i link fraudolenti, la piattaforma Phishing Initiative (gestita in Francia da Orange Cyberdefense) consente di far inserire l'URL nelle blacklist dei browser. E per qualsiasi domanda o supporto, Cybermalveillance.gouv.fr è il punto di accesso ufficiale dello Stato.
Se sono stati inseriti dei dati
Il tempo conta, e si misura in minuti.
- Chiamare immediatamente la propria banca per bloccare la carta. Il numero è riportato sul retro della carta; non richiamare mai un numero ricevuto via SMS.
- Cambiare le password degli account coinvolti, iniziando dalla posta elettronica, che comanda il reset di tutti gli altri. Un gestore di password evita di riutilizzare le stesse credenziali da un sito all'altro — è la falla sfruttata nella maggior parte delle compromissioni a catena.
- Sporgere denuncia, presso la polizia, i carabinieri o tramite la pre-denuncia online. La ricevuta è indispensabile per il seguito.
- Chiedere il rimborso. L'articolo L133-18 del Code monétaire et financier francese impone alla banca di rimborsare un'operazione di pagamento non autorizzata, immediatamente dopo la segnalazione, salvo negligenza grave del titolare. La Cour de cassation ha precisato più volte che la comunicazione di dati in seguito a un phishing ben confezionato non costituisce automaticamente negligenza grave: spetta alla banca fornirne la prova.
Documentare, sempre
Screenshot dell'SMS con il numero del mittente visibile, marca temporale, cronologia della conversazione sulla piattaforma, riferimento dell'annuncio. Sono questi elementi a distinguere un fascicolo istruito da un'archiviazione. Per i venditori abituali, tenere un registro di monitoraggio delle transazioni con date, importi e acquirenti facilita enormemente la ricostruzione di uno storico a distanza di mesi.
La consegna a mano resta il metodo più sicuro
Nonostante la diffusione dei pagamenti integrati, la transazione fisica rimane statisticamente la meno rischiosa — a condizione di rispettare alcuni principi.
- Incontrarsi in un luogo pubblico e frequentato: atrio di una stazione, parcheggio di un centro commerciale; alcuni comuni mettono ormai a disposizione « punti d'incontro » sicuri e videosorvegliati.
- Non fornire mai il proprio indirizzo di casa per un primo contatto.
- Verificare il contante: le banconote da 50 e 100 euro sono le più contraffatte. Un rilevatore di banconote false portatile costa quanto una transazione andata male e sta in tasca.
- Per un bonifico istantaneo effettuato sul posto, attendere la notifica bancaria sul proprio telefono, mai su quello dell'acquirente.
- Redigere una breve ricevuta scritta con l'oggetto, il prezzo, la data e le due identità. Non è affatto eccessivo per uno scooter, uno strumento musicale o dell'attrezzatura fotografica.
Per gli oggetti ingombranti o di valore, farsi accompagnare resta la precauzione più semplice. E per le spedizioni, l'uso di un imballaggio sicuro con sigillo antimanomissione e la fotografia del pacco chiuso con l'etichetta evitano la classica contestazione del « pacco ricevuto vuoto ».
Cosa fanno — e cosa non fanno — le piattaforme
I grandi marketplace hanno rafforzato considerevolmente i loro filtri: rilevamento dei numeri nelle descrizioni, mascheramento dei recapiti, avvisi automatici quando una conversazione contiene determinate parole chiave. Leboncoin, Vinted e gli altri investono davvero sul tema, sotto la pressione congiunta della DGCCRF e del regolamento europeo sui servizi digitali (DSA), che dal 2024 impone obblighi rafforzati di tracciabilità dei venditori professionali e di gestione delle segnalazioni.
Ma restano due limiti.
Il primo è che la truffa si svolge fuori dalla piattaforma. Non appena lo scambio si sposta su SMS o su una messaggistica di terze parti, nessun filtro si applica. La responsabilità del gestore del marketplace si ferma alla propria infrastruttura.
Il secondo è che le segnalazioni arrivano troppo tardi. Un account fraudolento viene creato, usato per qualche giorno, poi abbandonato ancora prima di essere sospeso. La rapidità di rotazione rende la moderazione strutturalmente in ritardo di un tempo.
Da qui una conclusione semplice: la vigilanza individuale non è un extra, è la prima linea di difesa.
Tre frasi da mandare a memoria
Se si dovesse trattenere solo l'essenziale, sarebbe questo.
« Ricevere denaro non richiede mai un numero di carta di credito. » È la regola che da sola neutralizza la maggior parte degli scenari.
« Un link ricevuto via SMS non si clicca. » Si apre l'app ufficiale, si digita l'indirizzo da soli, si verifica il numero di tracciamento alla fonte.
« L'urgenza è uno strumento di manipolazione. » Un acquirente davvero interessato accetta di aspettare ventiquattro ore. Un truffatore no.
Vendere online resta una pratica utile, economica ed ecologica, a cui milioni di persone ricorrono ogni mese. Il rischio non è un motivo per rinunciarvi — è un motivo per separare con nettezza ciò che va separato: il numero di vendita e il numero di vita, le foto pubbliche e la propria intimità, la promessa di un pagamento e la sua realtà sull'estratto conto.
