Un SMS lo si legge sempre nell'ordine sbagliato. Prima il testo, la promessa o la minaccia che contiene, poi — a volte, troppo tardi — la riga sopra: quella che indica chi scrive. Eppure è proprio quella riga a contenere quasi tutte le informazioni utili.
Perché in Francia un messaggio può arrivare sotto almeno cinque identità tecniche diverse: un numero di cellulare classico che inizia per 06 o 07, un numero geografico, un numero breve a quattro o cinque cifre, un nome scritto in lettere («AMELI», «Colissimo», «BANQUE») oppure un numero internazionale. Ognuno di questi formati obbedisce a regole distinte, ha un costo diverso per il mittente e offre un livello di garanzia molto disomogeneo.
Saperli distinguere non sostituisce la prudenza, ma cambia radicalmente le carte in tavola: permette di selezionare in tre secondi, prima ancora di aver letto il corpo del messaggio, ciò che è plausibile e ciò che non lo è.
I cinque volti di un mittente di SMS
1. Il numero di cellulare classico (06 / 07)
È il formato di un privato. Un vero numero di cellulare francese assegnato dall'ARCEP a un operatore e poi a un abbonato. Consente di rispondere, consente di chiamare.
Un'azienda o un ente pubblico normalmente non ha alcun motivo di scrivervi da un 06 o da un 07 per una notifica ufficiale. Quando accade — «Il tuo pacco è bloccato, regolarizza qui» firmato da un 07 —, il mittente è o un privato o, molto più spesso, un truffatore dotato di SIM prepagate o di un apparato di invio automatizzato (le famose «SIM box»).
Memorizzate questo riflesso semplice: un messaggio istituzionale inviato da un numero di cellulare personale è un'anomalia, indipendentemente dal suo contenuto.
2. Il numero breve (4-5 cifre)
I numeri brevi sono assegnati e regolamentati in Francia dall'ARCEP, nell'ambito del piano di numerazione. Si suddividono in grandi famiglie riconoscibili dal prefisso:
| Formato | Uso | Esempio di impiego reale |
|---|---|---|
| 3xxxx (5 cifre) | Servizi SMS, tra cui MAN (Multi-Access Number) | Notifiche di tracciamento, avvisi |
| 36xxx / 38xxx | SMS Multi-Access Number, tra cui 38028 (Signal Spam / 33700) | Segnalazione di spam |
| 7xxxx / 8xxxx | SMS a sovrapprezzo, giochi, televoto, donazioni | Donazioni a un'associazione |
| 1xx | Servizi di emergenza e sociali (112, 114, 115, 119) | 114: emergenze via SMS per sordi e ipoudenti |
Due numeri brevi meritano di essere memorizzati in Francia:
- 33700: il servizio di segnalazione di SMS e chiamate indesiderati, gestito dagli operatori francesi. Gli si inoltra il messaggio fraudolento e poi gli si rinvia il numero del mittente quando lo richiede.
- 114: il numero di emergenza accessibile via SMS, destinato alle persone sorde, ipoudenti o impossibilitate a parlare.
Un punto importante: i numeri brevi sono noleggiati presso aggregatori, non acquistati definitivamente. Uno stesso numero a 5 cifre può quindi servire in successione a più inserzionisti. Un numero breve «già visto» non è una prova di autenticità: è soltanto il segno che il mittente è passato attraverso un circuito professionale dichiarato.
3. Il mittente alfanumerico (un nome al posto di un numero)
È il formato più ingannevole, e quello da capire per primo. Quando il telefono mostra «AMELI», «SFR» o «LIVRAISON» in cima alla conversazione, non sta mostrando un'identità verificata: sta mostrando una stringa di caratteri fornita dal mittente stesso in un campo tecnico del messaggio, chiamato sender ID o OADC (Originating Address).
Tecnicamente, questo campo è dichiarativo. Nulla, nel protocollo SMS, lo certifica. È ciò che rende possibile lo spoofing del mittente: usurpare il nome di un marchio perché il messaggio compaia nel posto giusto.
Ed è qui che si consuma la trappola più efficace dello smishing francese: il raggruppamento delle conversazioni. Se un messaggio fraudolento usa esattamente lo stesso sender ID di un messaggio legittimo ricevuto in precedenza, l'app di messaggistica può inserirlo nella stessa conversazione dei messaggi autentici dell'ente. L'SMS di phishing appare così proprio sotto il vero SMS di appuntamento medico o di codice di consegna. Al resto pensa il contesto.
Un thread di conversazione non autentica nulla. Un messaggio fraudolento può insinuarsi in una conversazione legittima già esistente se riutilizza lo stesso nome di mittente.
Dal 2023-2024 la Francia ha messo in campo un dispositivo di contrasto: il registro MAN e l'obbligo, per gli operatori, di filtrare i sender ID alfanumerici non dichiarati in un apposito elenco. L'idea è accettare in Francia solo i nomi di mittenti registrati da aziende identificate. Il dispositivo ha ridotto il volume di spoofing puro, ma non lo ha eliminato: le campagne aggirano il filtro passando da rotte internazionali oppure registrando nomi generici credibili («INFO-COLIS», «SECURITE») che non sono marchi protetti.
4. Il numero geografico (da 01 a 05, oppure 09)
Ricevere un SMS da un 01 o da un 09 non è più raro: da diversi anni i numeri fissi possono tecnicamente veicolare SMS. Alcuni studi medici, officine o piccoli esercizi commerciali li usano per i promemoria degli appuntamenti, tramite il proprio gestionale.
Il prefisso 09 merita un'attenzione particolare: questi numeri «non geografici» sono massicciamente utilizzati nella telefonia su IP, quindi facili da ottenere in grandi quantità e da abbandonare. Molto telemarketing — e una parte delle frodi — passa da lì.
5. Il numero internazionale
Un +44, +212, +48 o +1 su un SMS che dovrebbe arrivare dalla vostra banca francese è un'incoerenza clamorosa. Le campagne di smishing usano spesso rotte internazionali a basso costo perché sfuggono in parte ai filtri nazionali.
Attenzione però a una sfumatura: alcuni servizi esteri perfettamente legittimi (una piattaforma di prenotazione, un servizio di messaggistica americano che invia un codice di verifica) scrivono da un numero internazionale. Il criterio non è «internazionale = frode», bensì «internazionale mentre l'ente è puramente francese = frode».
Ciò che il telefono non vi mostra
Nessun sistema operativo di largo consumo mostra l'intestazione completa di un SMS. Non vedrete l'identificativo del centro servizi (SMSC) che ha instradato il messaggio, né la rotta seguita, né la marcatura temporale reale di rete. Questi elementi esistono — sono persino utilizzabili dagli operatori e, in caso di procedimento, dagli inquirenti — ma non arrivano fino allo schermo.
Ciò che invece potete fare:
- Tenere premuto sul messaggio e visualizzare i dettagli: su Android il menu «Dettagli» indica talvolta il mittente grezzo, l'ora di ricezione di rete e il tipo (SMS, MMS, RCS).
- Verificare il canale: un messaggio RCS compare con una conferma di lettura e spesso con un logo di marca verificato (RCS Business Messaging). Un messaggio che sostiene di provenire da un grande marchio in SMS puro, mentre lo stesso marchio di solito vi scrive in RCS con logo, deve mettere in allerta.
- Guardare la lunghezza: un SMS di oltre 160 caratteri è concatenato. Di per sé non è un segnale di frode, ma le campagne automatizzate hanno spesso formulazioni calibrate e ripetitive.
Il test delle tre domande
Prima di cliccare su qualsiasi cosa, nella grande maggioranza dei casi bastano tre domande.
1. Il formato del mittente corrisponde all'ente dichiarato?
Un'amministrazione o una grande azienda francese scrive da un numero breve, da un mittente alfanumerico dichiarato oppure in RCS verificato. Non da un 07, non da un +33 7 «strano», non da un numero straniero.
2. Il messaggio chiede un'azione urgente che comporta un pagamento o un'identificazione?
Le tre combinazioni vincenti della frode in Francia restano: un piccolo importo da saldare (spese doganali, rispedizione di un pacco, multa), un «aggiornamento» delle coordinate bancarie e una «verifica dell'account» con un codice ricevuto per altra via. L'urgenza è il principio attivo.
3. Il link punta a un dominio ufficiale?
Gli enti pubblici francesi usano domini .gouv.fr o domini di marchi noti. Un link accorciato, un dominio composto (ameli-remboursement-fr.com), un sottodominio ingannevole (ameli.fr.securite-connexion.net): tutto ciò è squalificante. Va detto che leggere un URL lungo su uno schermo da 6 pollici è un esercizio faticoso; molti lettori ci guadagnano a usare un supporto per telefono regolabile per esaminare un messaggio sospetto all'altezza degli occhi anziché a braccio teso, oppure semplicemente a consultare il messaggio da uno schermo più grande.
Verificare senza cliccare: il metodo del canale parallelo
La regola più efficace contro lo smishing sta in una frase: non si verifica mai un messaggio tramite il messaggio stesso.
In concreto:
- Un SMS dalla vostra banca? Si apre l'app bancaria, oppure si chiama il numero riportato sul retro della carta.
- Un SMS dall'Assurance Maladie? Ci si collega al proprio account Ameli digitando l'indirizzo da sé, oppure si usa l'app ufficiale.
- Un SMS da un corriere? Si riprende il numero di tracciamento sul sito del corriere, senza passare dal link.
- Un SMS dal fisco? Si passa da impots.gouv.fr e dalla propria area personale.
Questa disciplina richiede dieci secondi in più. Neutralizza pressoché tutto, comprese le campagne più curate.
Per le famiglie che vogliono formalizzare questi automatismi — soprattutto con adolescenti o parenti meno a proprio agio con la tecnologia —, qualche pagina di una guida alla cybersicurezza per principianti lasciata vicino al computer di casa fa spesso più effetto di un lungo discorso: vedere i meccanismi scritti nero su bianco li rende concreti.
Segnalare: cosa cambia davvero
Molti lettori danno per scontato che una segnalazione finisca nel nulla. In realtà, in Francia funzionano due canali:
- 33700 (SMS, chiamate e messaggi indesiderati), dispositivo gestito dagli operatori. Si inoltra il messaggio al 33700 e si risponde poi indicando il numero del mittente. I numeri segnalati in massa vengono bloccati e gli emittenti identificati possono essere sanzionati.
- cybermalveillance.gouv.fr e la piattaforma THESEE per presentare denuncia online per truffa su internet. Signal Spam completa il dispositivo sul fronte e-mail.
L'ARCEP e la DGCCRF vigilano inoltre sulle violazioni delle regole di prospezione commerciale. E sul versante dei dati personali, la CNIL ricorda regolarmente che il marketing via SMS richiede un consenso preventivo esplicito: un messaggio commerciale non richiesto al quale non avete mai acconsentito è già di per sé un'irregolarità, anche se non è fraudolento.
Ridurre la superficie di esposizione
Identificare un mittente è una competenza difensiva. Si può però giocare anche d'anticipo, limitando il numero di messaggi sospetti in arrivo.
Filtrare sul telefono. iOS offre il filtro dei mittenti sconosciuti (Impostazioni → App → Messaggi → «Filtra mittenti sconosciuti»), che raccoglie i messaggi provenienti da numeri non presenti in rubrica in una scheda separata. Google Messaggi, su Android, dispone di una protezione anti-spam che si è nettamente rafforzata nel 2025-2026, con rilevamento degli schemi di truffa e mascheramento dei link nei messaggi sospetti.
Separare i propri numeri. Usare un numero secondario — seconda linea di un piano tariffario, eSIM dedicata, numero di un servizio online — per le iscrizioni commerciali, gli annunci e le consegne. Il numero principale resta riservato agli affetti, alla banca e alla pubblica amministrazione. Una SIM prepagata senza vincoli basta ampiamente per questo ruolo e costa pochi euro.
Mettere in sicurezza ciò che protegge i vostri account. L'SMS resta l'anello debole dell'autenticazione a due fattori, perché dipende da un numero che può essere dirottato. Spostare gli account sensibili su un'app di autenticazione, o su una chiave di sicurezza fisica FIDO2, toglie all'SMS il ruolo di chiave maestra. È il gesto che rende uno smishing riuscito molto meno redditizio.
Curare il materiale di lettura. Dettaglio prosaico ma reale: buona parte dei clic accidentali nasce da uno schermo graffiato, da un dito bagnato o da una lettura in metropolitana. Una pellicola protettiva in vetro temperato e un po' di luce bastano a ridurre i gesti sbagliati.
Il caso particolare degli SMS politici e istituzionali
La primavera 2026 ha ricordato, in occasione delle elezioni comunali, che un SMS perfettamente legale può essere perfettamente fastidioso. I messaggi elettorali inviati da mittenti alfanumerici hanno suscitato numerose reazioni, e molti destinatari si sono chiesti come fosse stato ottenuto il loro numero.
Qui vanno distinte due cose:
- Un SMS fraudolento cerca di ottenere denaro o credenziali. Si segnala al 33700 e si cancella.
- Un SMS non richiesto ma lecito o semi-lecito rientra nel diritto della prospezione commerciale. In quel caso la leva è il GDPR: chiedere al mittente l'origine dei dati, esercitare il diritto di opposizione e rivolgersi alla CNIL in caso di rifiuto. La parola chiave «STOP» resta obbligatoria negli SMS commerciali, mentre non ha alcun valore né alcuna utilità di fronte a una campagna fraudolenta, dove rispondere conferma soltanto che il numero è attivo.
Tre secondi, cinque formati
Con l'abitudine, la lettura del mittente diventa automatica. Un numero breve noto: plausibile. Un nome di marca in una conversazione già esistente: plausibile, ma il link resta da verificare. Un 07 firmato da un ente pubblico: da cestinare. Un +48 firmato da una banca francese: da cestinare. Un 09 con un link accorciato: da cestinare.
L'SMS non è mai stato concepito per dimostrare chi parla. È stato concepito, nel 1992, per trasportare 160 caratteri in un canale di segnalazione residuo. Trentaquattro anni dopo trasporta appuntamenti medici, codici bancari e convocazioni amministrative, senza aver mai acquisito un meccanismo di autenticazione degno di questo nome. Tocca al destinatario colmare il divario, e si comincia leggendo la prima riga prima di tutte le altre.
