C'è un'esperienza che quasi tutti hanno vissuto, e di cui quasi nessuno parla: ricevere un messaggio che, evidentemente, non era destinato a noi.
A volte è una banalità — «Ci vediamo alle 19 davanti al cinema?» da parte di uno sconosciuto. A volte è molto meno banale: un codice di accesso a un conto bancario, il risultato di un esame medico, una convocazione, un messaggio di rottura, la foto di un bambino. Non hai chiesto nulla, non hai violato nulla, non hai intercettato nulla. Il messaggio è arrivato da te perché qualcuno ha sbagliato una cifra, oppure perché il tuo numero apparteneva a un'altra persona prima di te.
E a quel punto si aprono una serie di domande a cui nessuno ti ha mai risposto. Ho il diritto di leggerlo? Devo rispondere? Rischio qualcosa? Come faccio a farlo smettere?
Perché il tuo numero riceve i messaggi di un altro
Le cause principali sono quattro, e non richiedono le stesse risposte.
Il numero riciclato. È di gran lunga il caso più frequente e più duraturo. In Francia, un numero di cellulare disdetto non viene eliminato: torna nella disponibilità dell'operatore, che deve rispettare un periodo di «quarantena» prima di riassegnarlo. L'ARCEP disciplina questo meccanismo nel proprio piano nazionale di numerazione, ma il termine resta di pochi mesi soltanto. Superata quella soglia, il tuo numero nuovo di zecca ha già una vita precedente: un abbonamento a una palestra, un account cliente presso un fornitore di energia, un'iscrizione a una piattaforma di consegne, una pratica presso un laboratorio di analisi. Tutti questi database continuano a scrivere al vecchio intestatario — cioè a te.
L'errore di digitazione. Una cifra invertita al bancone di una farmacia, una ricetta dettata al telefono, un modulo compilato di fretta. Il messaggio parte verso uno sconosciuto che non sa nemmeno che esista un problema.
Il database clienti mai ripulito. Un'azienda dispone di un numero ottenuto otto anni fa e non ha mai verificato che fosse ancora valido. Eppure il GDPR impone un requisito di esattezza dei dati (articolo 5.1.d): i dati inesatti devono essere «cancellati o rettificati senza ritardo». Nella pratica, questo obbligo viene ignorato in modo massiccio nei database di marketing.
L'SMS fraudolento travestito da errore. È il quarto caso, e il più insidioso. Un messaggio del tipo «Ciao, sono Marie, ci vediamo sempre domani?» non è un errore: è l'innesco di una truffa relazionale, spesso orientata verso una frode agli investimenti in criptovalute. Lo scenario, chiamato pig butchering nella letteratura di cybersicurezza, comincia sempre con un falso messaggio inviato «per errore» per avviare la conversazione.
Distinguere questi quattro casi è la prima cosa da fare, perché nell'ultimo la condotta da tenere è radicalmente diversa.
Cosa dice il diritto francese: leggere non è una colpa, sfruttare lo è
Molti credono che aprire un messaggio non destinato a loro costituisca già un reato. È falso, e la sfumatura merita di essere chiarita.
Il segreto della corrispondenza è tutelato dall'articolo 226-15 del Codice penale, che punisce con un anno di reclusione e 45.000 € di multa «il fatto, commesso in mala fede, di aprire, sopprimere, ritardare o sviare corrispondenza giunta o non giunta a destinazione e indirizzata a terzi». Qui contano due elementi:
- la mala fede: serve un'intenzione. Ricevere passivamente un SMS sul proprio telefono e leggerlo nella notifica non ha nulla di intenzionale;
- lo sviamento: la norma colpisce chi va a prendere la corrispondenza altrui, non chi se la vede recapitare per errore.
In parole chiare: non hai commesso alcun reato leggendo un messaggio arrivato spontaneamente a casa tua. La linea rossa è altrove.
Ciò che è illecito non è aver visto il messaggio. È utilizzarlo, diffonderlo o servirsene per accedere a qualcosa che non ti appartiene.
Tre comportamenti fanno ribaltare la situazione:
- Utilizzare un codice ricevuto per errore. Se un codice di conferma bancaria o un codice di accesso arriva da te e tu lo usi, esci immediatamente dall'ambito dell'errore per entrare in quello dell'accesso fraudolento a un sistema di trattamento automatizzato di dati (articolo 323-1 del Codice penale) e, a seconda dell'uso, della truffa.
- Ridiffondere il contenuto. Pubblicare uno screenshot di un messaggio intimo ricevuto per errore, con il numero o il nome leggibile, può configurare la violazione della vita privata (articolo 226-1) e, se si tratta di un contenuto a carattere sessuale, la diffusione senza consenso (articolo 226-2-1).
- Conservare e sfruttare dati sanitari. Il risultato di un esame arrivato da te resta coperto dal segreto medico. Tu non ne sei personalmente vincolato, ma qualsiasi utilizzo ti esporrebbe.
In altri termini, il diritto tutela piuttosto bene il destinatario involontario — a condizione che si comporti da destinatario involontario.
Bisogna rispondere? La regola delle tre risposte
È la domanda più frequente, e la risposta giusta dipende dal tipo di messaggio.
Caso 1: messaggio personale manifestamente umano
Un amico che scrive a un amico, un genitore che scrive al figlio, un appuntamento fissato. Qui rispondere non solo è consentito, ma è utile: «Buongiorno, questo numero non è quello della persona che sta cercando, ha sbagliato destinatario.» Una frase, neutra, senza commentare il contenuto.
Questo tipo di risposta evita il peggio: il caso di un'urgenza familiare in cui nessuno capisce perché l'altro non risponde.
Una precauzione però: rispondi via SMS, non richiamando, soprattutto se il numero visualizzato è straniero o comincia con un prefisso a sovrapprezzo.
Caso 2: messaggio automatizzato di un'azienda o di un ente
Appuntamento medico, sollecito di fattura, notifica di consegna, codice di sicurezza. Non rispondere al messaggio stesso: la maggior parte di questi invii parte da numeri brevi non raggiungibili, e la tua risposta cadrà nel vuoto.
La strada efficace consiste nel contattare direttamente l'ente attraverso il suo canale ufficiale — non tramite un link contenuto nell'SMS — e chiedere la cancellazione o la rettifica del numero. Puoi invocare esplicitamente il diritto di rettifica previsto dall'articolo 16 del GDPR. Una formulazione che funziona:
«Il vostro ente invia al mio numero, di cui sono intestatario dal [data], SMS contenenti dati personali riguardanti un terzo. Vi chiedo, ai sensi dell'articolo 16 del GDPR, di rettificare o cancellare questo numero nella pratica interessata e di confermarmi l'avvenuto aggiornamento.»
Se l'azienda non reagisce entro un mese, la CNIL accetta reclami online proprio per questo motivo. Non è un uso marginale dello strumento: la cattiva tenuta dei database di contatto è un motivo di reclamo perfettamente ammissibile.
Caso 3: messaggio che sa di copione
«Buongiorno, è lei il dottor Chen?» «Mi scusi, è questo il numero di Sophie?» «Scusa, numero sbagliato… di che zona sei?»
Non rispondere nulla. Assolutamente nulla, nemmeno «numero sbagliato». Qualsiasi risposta conferma che la linea è attiva e letta da un essere umano, il che aumenta il valore del tuo numero nei database rivenduti.
Segnala il messaggio al 33700, la piattaforma ufficiale francese di segnalazione degli SMS indesiderati e fraudolenti, gestita dagli operatori sotto l'egida delle autorità pubbliche. Inoltra il messaggio al 33700, poi invia il numero del mittente quando la piattaforma te lo chiede. Puoi anche presentare una segnalazione su cybermalveillance.gouv.fr, che centralizza il supporto alle vittime.
Il caso particolare dei codici di verifica che non ti riguardano
Ricevere un codice monouso destinato a qualcun altro è banale quando si eredita un numero riciclato — ed è lo scenario più delicato.
Prima una buona notizia: in genere significa che un vecchio intestatario non ha aggiornato i suoi account online, non che qualcuno stia cercando di violare i tuoi.
Ma due situazioni devono metterti in allerta:
| Cosa ricevi | Cosa significa probabilmente | Reazione |
|---|---|---|
| Un codice isolato, una volta al mese | Vecchio account mai aggiornato | Contattare il servizio, chiedere la cancellazione |
| Una raffica di codici in pochi minuti | Tentativo di accesso in corso su un account collegato a questo numero | Non fare nulla con il codice, segnalare al servizio interessato |
| Un codice accompagnato da una chiamata «del servizio sicurezza» | Tentativo di truffa rivolto a te | Riagganciare, non comunicare mai il codice |
Il terzo caso merita di essere conosciuto: i truffatori fanno partire volontariamente l'invio di un codice, poi chiamano la vittima spacciandosi per il servizio di sicurezza della banca o della piattaforma e chiedono il codice «per verifica». Nessun istituto francese chiederà mai di leggere un codice al telefono. È la regola numero uno, ricordata sia dalla Fédération bancaire française sia dalle compagnie assicurative.
Se erediti un numero e ricevi regolarmente codici, vale la pena fare un audit anche sui tuoi account: spostare le autenticazioni a due fattori dall'SMS a un'app dedicata, o addirittura a una chiave di sicurezza fisica FIDO2, elimina il problema alla radice. Una guida sulla cybersicurezza quotidiana è un investimento ragionevole se l'argomento ti sembra oscuro: l'SMS resta il fattore di autenticazione più fragile dell'ecosistema attuale, e l'ANSSI non lo raccomanda più come secondo fattore per gli usi sensibili.
Riprendere il controllo quando il tuo numero è un numero riciclato
Se i messaggi arrivano a flusso continuo e provengono da fonti multiple, non si tratta di un errore isolato: il tuo numero circola in decine di database. Il metodo che funziona si articola in quattro tempi.
1. Fare l'inventario per due settimane. Annota ogni mittente, la natura del messaggio e la frequenza. Basta un semplice quaderno con spirale, ma l'importante è la traccia: ti servirà per stabilire le priorità e, eventualmente, per documentare un reclamo alla CNIL.
2. Trattare i mittenti identificabili uno per uno. Per ogni ente riconoscibile, invia la richiesta di rettifica GDPR. È noioso, ma è l'unico gesto che ferma definitivamente il flusso. Metti in conto tre o quattro settimane per pratica.
3. Attivare i filtri del telefono. Sia iOS sia Android permettono di filtrare i mittenti sconosciuti in una scheda separata e di bloccare un numero con due tocchi. Su Android, il filtro antispam di Messaggi Google intercetta buona parte degli invii automatizzati. Su iPhone, l'opzione «Filtra mittenti sconosciuti» nelle impostazioni di Messaggi fa lo stesso lavoro. Questi filtri non eliminano nulla, ma rendono il rumore sopportabile.
4. Iscrivere il numero a Bloctel. Il dispositivo pubblico di opposizione al telemarketing non copre gli SMS pubblicitari allo stesso modo delle chiamate, ma ripulisce il quadro generale. Dall'entrata in vigore delle novità legislative sul consenso preventivo, il telemarketing senza accordo esplicito è sanzionato in modo sempre più deciso dalla DGCCRF.
E se sei tu a inviare al numero sbagliato?
Il problema ha un rovescio simmetrico di cui si parla ancora meno.
Se ti accorgi di aver inviato un messaggio sensibile al destinatario sbagliato, sappi che un SMS consegnato non può essere richiamato: la rete non conosce la funzione «annulla invio». L'RCS, su Android, consente in alcune configurazioni di eliminare un messaggio per tutti, ma solo se entrambi gli interlocutori usano l'RCS — cosa che raramente accade con uno sconosciuto.
Ciò che resta possibile:
- inviare subito un secondo messaggio chiedendo educatamente la cancellazione;
- se il messaggio conteneva un codice o un identificativo, invalidare quel codice senza attendere, avviando una nuova autenticazione;
- se il messaggio conteneva dati professionali, avvisare il responsabile della protezione dei dati della propria organizzazione: una divulgazione accidentale di dati personali a un terzo costituisce una violazione dei dati ai sensi dell'articolo 33 del GDPR, potenzialmente da notificare alla CNIL entro 72 ore.
La difesa migliore resta preventiva: controllare le ultime tre cifre prima di inviare un messaggio che contiene un'informazione sensibile, e non trasmettere mai via SMS un identificativo, un codice di accesso o un numero completo di carta. Per le password e le credenziali condivise in famiglia o tra colleghi, un gestore di password o un semplice quaderno delle password custodito in casa elimina completamente la necessità di farle circolare via messaggio.
Cosa ricordare
- Ricevere e leggere un messaggio non destinato a te non è un reato; sfruttarlo, diffonderlo o usare un codice ricevuto lo è.
- Per un messaggio umano isolato: una risposta neutra e breve, senza commentare il contenuto.
- Per un messaggio automatizzato: contattare l'ente attraverso il suo canale ufficiale e invocare il diritto di rettifica (articolo 16 del GDPR).
- Per un messaggio che cerca di avviare la conversazione: non rispondere nulla, inoltrare al 33700.
- Nessun codice di verifica si comunica per telefono, mai, a nessuno.
- Se il tuo numero è riciclato, solo una pulizia metodica dei database mittenti mette fine al flusso; i filtri del telefono si limitano a mascherare il rumore.
Un SMS mal indirizzato non è che un errore in più in un sistema che ne produce milioni al giorno. Ma è anche, a volte, un frammento della vita di qualcun altro che atterra sul tuo schermo. L'atteggiamento giusto sta in una frase: segnalare l'errore, non sfruttare nulla e fare il necessario perché non si ripeta.
