Esiste una categoria di SMS truffa contro la quale tutti i consigli abituali si rivelano inutili.
«Controlla il numero del mittente.» È corretto. «Verifica se il messaggio arriva da un numero sconosciuto.» Non arriva da un numero sconosciuto. «Confrontalo con i messaggi precedenti della tua banca.» È proprio sotto i messaggi precedenti della tua banca, nella stessa conversazione, con la stessa intestazione, lo stesso nome del mittente, la stessa impaginazione.
Questo fenomeno ha un nome: usurpazione del mittente, o spoofing. Non è una novità tecnica — la debolezza è vecchia quanto l'SMS commerciale — ma la sua industrializzazione da parte delle reti criminali, unita all'automazione tramite IA degli scenari di manipolazione, ne ha fatto il vettore numero uno delle truffe bancarie telefoniche in Francia.
E, a differenza del finto pacco o del finto promemoria medico, questo tipo di messaggio non può essere individuato a occhio nudo. Bisogna cambiare metodo.
Perché un truffatore può scrivere «CreditMutuel» nel campo mittente
Quando un'azienda ti invia un SMS, di norma non utilizza un numero di telefono ma un identificativo alfanumerico: «Ameli», «Colissimo», «SFR», «BNPPARIBAS». Tecnicamente questo campo si chiama Sender ID ed è definito nello standard GSM fin dagli anni Novanta.
Il problema si riassume in una frase: questo campo è dichiarativo.
Nel protocollo SMS originario non esiste alcun meccanismo di autenticazione paragonabile a quelli che conosciamo per la posta elettronica (SPF, DKIM, DMARC). Il mittente compila una stringa di massimo undici caratteri e la rete la trasporta così com'è fino al tuo schermo. Nulla, nello standard, verifica che l'organizzazione che scrive «CAISSEEPARGNE» sia davvero la Caisse d'Épargne.
Su un operatore francese serio e su una rotta cosiddetta «premium» i controlli esistono: l'aggregatore A2P (Application-to-Person) richiede un mandato, verifica l'identità del committente, registra il Sender ID. Ma l'SMS è una rete mondiale interconnessa. Un messaggio può essere iniettato da un operatore estero, tramite una rotta «grigia» acquistata a basso costo, e arrivare in Francia con un identificativo usurpato. È esattamente ciò che fanno le piattaforme di frode, spesso ospitate fuori dall'Europa e vendute in abbonamento.
Il dettaglio che rende lo spoofing devastante: il raggruppamento delle conversazioni
Il punto in cui la faccenda si fa seria è lato smartphone.
Sia iOS sia Android raggruppano le conversazioni per identificativo del mittente, non per rotta tecnica né per certificato. Se la tua banca ti scrive da «MABANQUE» e un truffatore inietta un messaggio con una stringa esattamente identica, entrambi finiscono nella stessa conversazione.
Il messaggio fraudolento eredita così tutto il capitale di fiducia accumulato:
- compare sotto i tuoi veri codici di conferma;
- condivide lo storico visibile dei tuoi scambi legittimi;
- beneficia del contesto («ah sì, è proprio la conversazione della mia banca»);
- sfugge ai filtri antispam basati sui numeri sconosciuti.
Nessuna attenzione visiva può compensare tutto questo. È un problema strutturale.
Lo scenario tipo del 2026: l'SMS è solo l'innesco
L'errore sarebbe credere che l'obiettivo del messaggio sia farti cliccare su un link. Sempre più spesso non c'è alcun link — il che aggira i filtri automatici e gli avvisi di sicurezza.
Lo schema dominante è questo:
- L'SMS di allerta. «Rilevato tentativo di pagamento di 749 € presso [insegna]. Se non riconosci l'operazione, contatta il numero 09 XX XX XX XX.» Compare nella conversazione legittima della banca.
- La telefonata. O sei tu a chiamare il numero indicato, oppure — variante più aggressiva — un «consulente» ti chiama nei minuti successivi, con un numero visualizzato anch'esso usurpato (lo spoofing esiste anche nella telefonia vocale).
- La manipolazione. L'interlocutore conosce il tuo nome, a volte i tuoi ultimi acquisti, la tua filiale. È calmo, professionale, ti sconsiglia qualsiasi fretta. Ti chiede di «bloccare» la transazione fraudolenta.
- La sottrazione. Ti fa confermare un'operazione nella tua app bancaria, dettare un codice ricevuto via SMS o registrare un nuovo dispositivo sul tuo conto. Sei tu ad autorizzare il bonifico.
È la cosiddetta frode «del finto consulente bancario», che la Banque de France e l'Observatoire de la sécurité des moyens de paiement documentano anno dopo anno come una delle più costose per singola vittima. L'SMS spoofato non è la truffa: è la chiave che apre la porta.
La regola che protegge dal 90% di questi scenari si riassume in una frase: nessuna banca ti chiederà mai di confermare, annullare o «bloccare» un'operazione dettando un codice o convalidando una notifica durante una telefonata. Una conferma serve solo ad autorizzare, mai ad annullare.
Che cosa ha messo in campo la Francia (e quali sono i limiti)
Contrariamente a un'idea diffusa, il tema non è ignorato dal regolatore.
La legge del 30 maggio 2023 contro le frodi e gli abusi nel telemarketing ha introdotto il principio di un meccanismo di autenticazione dei numeri. L'Arcep ha poi pubblicato il quadro tecnico noto come MAN (Mécanisme d'Authentification des Numéros), entrato in vigore per fasi da ottobre 2024 per i numeri fissi e successivamente per quelli mobili.
Il principio: un operatore francese deve verificare che una chiamata o un messaggio presentato con un numero francese provenga effettivamente da un utente legittimo di quel numero. In caso contrario, il traffico deve essere interrotto. I risultati sono concreti sulle chiamate fraudolente che mostrano falsi numeri geografici francesi.
Ma bisogna essere onesti su ciò che questo dispositivo non risolve:
| Caso | Coperto dal MAN? |
|---|---|
| Chiamata con falso numero francese 01/09 | Sì, ampiamente filtrata |
| Chiamata con falso numero mobile francese | Sì, dopo l'estensione del dispositivo |
| SMS con falso numero francese | Parzialmente |
| SMS con Sender ID alfanumerico usurpato | No, fuori dal perimetro diretto |
| SMS iniettato dall'estero con un identificativo di marca | Dipende dai filtri dell'operatore di destinazione |
Parallelamente, la Fédération française des télécoms e gli operatori hanno sviluppato liste di identificativi alfanumerici protetti: un marchio registra il proprio Sender ID e gli operatori bloccano i messaggi esteri che tentano di usurparlo. Questo sistema funziona — ma si basa sull'adesione volontaria delle aziende e non copre le migliaia di marchi non registrati, né le varianti tipografiche («MA-BANQUE», «MABANQUE1»).
In altre parole: la situazione migliora, ma non è risolta.
Il metodo di verifica che funziona, in tre tempi
Poiché l'ispezione visiva è inefficace, occorre passare a una logica di verifica fuori canale. Il principio è semplice: non convalidare mai un'informazione all'interno del canale che l'ha portata.
1. Sospendere l'azione, non il ragionamento
Tutti questi scenari si basano su un'urgenza artificiale. L'importo è elevato, il tempo è poco, l'interlocutore crea tensione. La contromisura è meccanica: nulla in ambito bancario si decide in cinque minuti. Nessuna operazione fraudolenta rilevata da una banca richiede il tuo intervento immediato per telefono; le procedure di blocco esistono e funzionano anche a posteriori.
2. Riagganciare e richiamare da soli
Il numero da comporre non è mai quello indicato nel messaggio né quello visualizzato sullo schermo. È quello riportato sul retro della tua carta bancaria o nella tua app ufficiale. Un dettaglio importante, spesso ignorato: sulle vecchie linee fisse un truffatore poteva tenere la linea aperta per simulare una richiamata. Su mobile questo rischio è pressoché nullo, ma attendi comunque qualche secondo prima di comporre il numero.
Per chi gestisce più conti o più carte, tenere i numeri di blocco annotati fuori dal telefono resta la soluzione più solida: una semplice rubrica telefonica cartacea appoggiata vicino alla scrivania, o una scheda plastificata nel portafoglio, vale più di una nota persa in uno smartphone che può essere rubato o compromesso.
3. Verificare nell'app, mai da un link
Apri la tua app bancaria dall'icona, non dall'SMS. Se esiste un'operazione sospetta, comparirà lì. Se non compare nulla, il messaggio è falso. Questa verifica richiede venti secondi e neutralizza la stragrande maggioranza dei tentativi.
Ridurre a monte la superficie di attacco
Lo spoofing funziona tanto meglio quanto più il truffatore sa di te. Il messaggio «la tua carta che termina con 4412» non ha nulla di magico: questi dati circolano dopo le fughe di database clienti. Alcune misure limitano l'esposizione.
Separare il numero principale. Usare una seconda linea — scheda prepagata o eSIM secondaria — per le iscrizioni commerciali, le consegne e gli annunci riduce fortemente il volume di messaggi fraudolenti mirati sulla tua linea bancaria. I telefoni dual SIM sono ormai diffusissimi e rendono l'operazione indolore.
Spostare l'autenticazione fuori dall'SMS. Il codice usa e getta via SMS resta l'anello debole: è intercettabile, trasferibile tramite manipolazione e vulnerabile al SIM swapping. Quando un servizio lo consente, un'app di autenticazione a due fattori, o addirittura una chiave di sicurezza fisica FIDO2 per gli account più sensibili (email principale, gestore di password), cambia completamente il livello di protezione. Una chiave hardware non può essere dettata per telefono a un finto consulente.
Evitare le password riutilizzate. Lo scenario del finto consulente diventa molto più credibile quando il truffatore ha già accesso a un account di e-commerce. Un gestore di password, anche nelle sue versioni gratuite, spezza questa catena. Per chi preferisce la carta, un quaderno delle password custodito sotto chiave in casa resta di gran lunga preferibile al post-it sotto la tastiera.
Segnalare sempre. Il 33700 è il servizio nazionale francese di segnalazione di SMS e chiamate indesiderate, gestito dagli operatori. Inoltra il messaggio al 33700, poi rispondi indicando il numero del mittente se richiesto. È gratuito ed è ciò che alimenta le liste di blocco. In aggiunta, la piattaforma Cybermalveillance.gouv.fr indirizza verso le procedure da seguire e Perceval, su service-public.fr, permette di segnalare l'uso fraudolento di una carta bancaria.
L'RCS cambia le carte in tavola?
È la vera buona notizia del momento. L'RCS (Rich Communication Services), successore dell'SMS distribuito dagli operatori e ormai supportato sia da iOS sia da Android, introduce un concetto assente nell'SMS: il mittente verificato.
Nell'ambito dell'RCS Business Messaging, un'azienda deve far convalidare la propria identità presso un aggregatore autorizzato. Il messaggio arriva allora con un logo, un nome verificato e un badge di verifica mostrato dall'app di messaggistica. Google Messages ha inoltre rafforzato nel 2025 e nel 2026 il proprio rilevamento automatico delle truffe, con una classificazione dei messaggi sospetti eseguita localmente sul dispositivo.
Due precisazioni, però:
- La coesistenza crea una zona grigia. Finché l'SMS classico esiste come ripiego, un truffatore può prendere di mira proprio quel canale non autenticato. Un messaggio non verificato non è necessariamente fraudolento — molte PMI non hanno effettuato il passaggio — ma un messaggio verificato è invece una garanzia solida.
- Il badge protegge l'identità, non il contenuto. Un marchio legittimo può inviare una campagna aggressiva; al contrario, l'assenza del badge su un messaggio dall'aspetto bancario deve ormai essere considerata un vero e proprio segnale d'allarme.
L'abitudine da prendere è dunque semplice: davanti a un messaggio con implicazioni economiche, cerca il badge. Se non c'è, applica la procedura di verifica fuori canale senza eccezioni.
Che cosa ricordare
- Il campo mittente di un SMS è dichiarativo: può essere usurpato, e il messaggio fraudolento si colloca allora nella conversazione legittima della tua banca.
- In questo caso specifico l'ispezione visiva non serve a nulla. Solo la verifica fuori canale protegge.
- Il dispositivo francese di autenticazione dei numeri (quadro MAN dell'Arcep) ha ridotto fortemente le chiamate che usurpano numeri francesi, ma non copre gli identificativi alfanumerici.
- Nessuna banca chiede di confermare, dettare o convalidare alcunché durante una telefonata.
- L'RCS con mittente verificato rappresenta la prima risposta strutturale al problema; la sua adozione completa richiederà ancora tempo.
L'SMS è stato concepito nel 1992 come canale di servizio tecnico tra ingegneri. Trentaquattro anni dopo è diventato la porta d'ingresso dei nostri conti bancari — senza aver mai ricevuto i corrispondenti meccanismi di autenticazione. Finché questo divario non sarà colmato, la protezione migliore resta un riflesso molto umano: uscire dal canale per verificare.
