Da anni la lotta contro gli SMS fraudolenti si basa su un presupposto semplice: un SMS truffaldino deve per forza passare da qualche parte. Da una piattaforma di invio, da un aggregatore, da un operatore. E se un messaggio passa attraverso un tubo, lo si può filtrare, bloccare, risalire al mittente.
Nel 2026 questo presupposto crolla. Una nuova generazione di truffe non imbocca più alcun tubo. Il messaggio non arriva da TIM, da Vodafone, da WINDTRE o da Iliad. Non arriva da nessun operatore. Viene diffuso direttamente nell'aria, da un apparecchio nascosto nel bagagliaio di un'auto che viaggia o è parcheggiata a cinquanta metri da te.
È ciò che si chiama SMS Blaster — talvolta «falso ripetitore», «fake base station» o, nel vocabolario più datato dei servizi di intelligence, un cugino dell'IMSI catcher. E il problema centrale è questo: il tuo operatore non può filtrare un messaggio che non ha mai visto passare.
Che cos'è davvero un SMS Blaster
Un telefono cellulare non è un apparecchio diffidente. La sua logica di base, ereditata dai primi standard GSM degli anni Novanta, è connettersi all'antenna che offre il segnale migliore. Non chiede alcun documento a quell'antenna. Nelle generazioni di rete più datate — il 2G in particolare — l'autenticazione funziona a senso unico: la rete verifica che la tua SIM sia legittima, ma il tuo telefono non verifica che l'antenna lo sia.
Un SMS Blaster sfrutta esattamente questa falla di progettazione. Il dispositivo sta in una borsa sportiva o in una valigia rigida: una radio software, un amplificatore, una batteria, a volte un semplice portatile per pilotare il tutto. Si spaccia per una stazione radio base, costringe i telefoni nei dintorni ad abbandonare il 4G o il 5G per ripiegare sul 2G, poi inietta loro direttamente un SMS.
Il raggio d'azione varia in base alla potenza e all'ambiente — di norma da qualche decina a qualche centinaio di metri in zona urbana densa. Muovendosi lentamente lungo un viale commerciale, una metropolitana di superficie o un asse stradale intasato, un solo apparecchio può raggiungere diverse migliaia di telefoni in un'ora.
Il punto cruciale: l'SMS così diffuso non ha alcuna esistenza nei sistemi dell'operatore. Non compare in nessun registro di fatturazione, in nessuna piattaforma di supervisione, in nessuno strumento anti-spam. Per la rete, quel messaggio non è mai stato inviato.
Perché qui le difese abituali non servono a nulla
Gli operatori hanno rafforzato notevolmente il loro arsenale negli ultimi anni. Il dispositivo francese 33700, gestito dall'Association Française du Multimédia Mobile, permette di segnalare un SMS indesiderato e di far disattivare i numeri abusivi. I filtri di rete individuano gli invii massivi, gli URL in blacklist, gli schemi ripetitivi. Il registro MAN (Mécanisme d'Authentification des Numéros) ha reso molto più complicata l'usurpazione dei numeri chiamanti.
Tutti questi meccanismi condividono un presupposto: che il messaggio transiti da un'infrastruttura sorvegliata. L'SMS Blaster fa saltare questo presupposto.
| Difesa classica | Efficacia contro un SMS Blaster |
|---|---|
| Filtro anti-spam dell'operatore | Nulla — il messaggio non attraversa la rete |
| Segnalazione al 33700 | Utile per l'indagine, ma non c'è alcun numero da disattivare |
| Blocco del numero mittente | Nulla — il mittente è un'etichetta arbitraria |
| Rilevamento di invii massivi | Nulla — nessun volume visibile lato operatore |
| App anti-spam sul cellulare | Parziale — dipende dal contenuto e dall'URL |
Altra conseguenza, ancora più perversa: il mittente visualizzato è interamente scelto dall'aggressore. Può essere il nome di una banca, il nome di un ente pubblico, un numero breve conosciuto. Su alcuni telefoni, se l'etichetta corrisponde esattamente a quella di un mittente legittimo già presente nelle tue conversazioni, il messaggio fraudolento può finire nel filo di discussione esistente — subito sotto i messaggi autentici della tua banca o del tuo ente previdenziale. È proprio questo meccanismo di aggregazione per nome del mittente a spiegare alcune recenti ondate di falsi SMS che riportano il nome esatto di organismi ufficiali.
Che cosa contengono questi messaggi
Il contenuto non si distingue in modo sostanziale dallo smishing ordinario — a cambiare è il vettore. Ritroviamo i grandi classici, in un italiano impeccabile:
- Il pacco bloccato: spese doganali di 1,79 € da saldare con urgenza, con un link a una pagina di pagamento clonata.
- Il falso messaggio bancario: «È stata avviata un'operazione di 749 €. Se non sei stato tu, clicca qui.»
- La pubblica amministrazione: multa non pagata, aggiornamento della tessera sanitaria, rimborso dell'assicurazione integrativa, regolarizzazione della posizione previdenziale.
- Il servizio di pedaggio o di parcheggio: particolarmente efficace quando il blaster circola lungo un asse stradale.
- Il falso codice di verifica seguito da una telefonata: «Buongiorno, servizio antifrode della sua banca, rileviamo un tentativo sul suo conto.»
L'innesco emotivo è sempre lo stesso: l'urgenza finanziaria o burocratica, unita a un'azione da compiere entro meno di ventiquattr'ore.
Perché questa tecnica si è diffusa
Tre fattori si sono sommati.
Il materiale è diventato accessibile. Le radio software programmabili, nate come strumenti di ricerca e di radioamatorismo, oggi costano qualche centinaio di euro. Il know-how necessario per dirottarne l'uso circola in comunità chiuse, sotto forma di kit pronti all'uso.
Il costo marginale è nullo. Inviare un SMS tramite un operatore costa denaro e lascia una traccia contabile. Diffondere centomila messaggi da un blaster costa solo elettricità. Il modello economico della truffa ne esce trasformato: non servono più conti intestati a prestanome, SIM box o aggregatori compiacenti.
La tracciabilità è pressoché nulla. L'apparecchio non ha un abbonamento, né un identificativo di rete sfruttabile, né un indirizzo IP. L'unico modo per neutralizzarlo è localizzarlo fisicamente — un lavoro di radiogoniometria che richiede tempo, strumentazione e coordinamento tra l'ANFR (Agence nationale des fréquences), gli operatori e le forze dell'ordine. Queste operazioni esistono e vanno a buon fine, ma presuppongono che qualcuno segnali l'anomalia.
Ricordiamo, per inciso, che l'uso di un simile dispositivo comporta conseguenze penali pesanti: emissione su frequenze assegnate senza autorizzazione, intralcio al funzionamento di una rete di comunicazione elettronica, truffa in associazione. Le pene previste si contano in anni di carcere.
Le impostazioni che fanno davvero la differenza
Non esiste un pulsante «anti-SMS Blaster». Ma esiste una misura dall'effetto diretto e misurabile: disattivare il 2G.
Poiché l'attacco si fonda sul ripiegamento forzato verso un protocollo in cui l'antenna non deve dimostrare la propria identità, un telefono che rifiuta puramente e semplicemente il 2G diventa molto più difficile da ingannare.
Su Android
La maggior parte delle versioni recenti di Android offre un interruttore dedicato. Il percorso varia a seconda del produttore, ma è più o meno questo: Impostazioni → Rete e Internet → SIM → seleziona la SIM → «Consenti 2G», da disattivare. Alcuni produttori collocano l'opzione in un menu «Sicurezza e privacy».
Android propone inoltre, nelle versioni più recenti, una modalità di protezione di rete che rifiuta le connessioni non cifrate e può avvisare quando il telefono rileva una stazione base dal comportamento anomalo. Se il tuo dispositivo la offre, attivala.
Su iPhone
iOS non offre un interruttore dedicato al solo 2G. In compenso, la Modalità di isolamento (Impostazioni → Privacy e sicurezza → Modalità di isolamento) disattiva tra l'altro il ripiego verso reti cellulari non sicure. È una modalità restrittiva, pensata per profili esposti — giornalisti, avvocati, politici — e limita alcuni usi quotidiani. Per la maggior parte degli utenti non è consigliata nell'uso di tutti i giorni, ma può essere attivata all'occorrenza in un contesto a rischio.
Le altre impostazioni utili
- Attiva il filtro dei mittenti sconosciuti (iOS: Impostazioni → App → Messaggi; Android: Messaggi → Impostazioni → Protezione dallo spam).
- Rifiuta sistematicamente l'installazione di applicazioni al di fuori di App Store o Play Store. È la principale porta d'ingresso per le fasi successive dell'attacco.
- Verifica che l'autenticazione a due fattori dei tuoi account sensibili non si basi unicamente sull'SMS. Un'app di autenticazione o, meglio ancora, una chiave di sicurezza FIDO2 fisica, interrompe l'intera catena: anche recuperando le tue credenziali, l'aggressore resta bloccato.
Una parola sulla copertura di rete, del resto: nelle zone in cui il segnale 4G è debole, il telefono ripiega naturalmente sul 2G — il che ti rende più vulnerabile. Se vivi in una zona a copertura parziale, un ripetitore di segnale mobile omologato, installato a regola d'arte, riduce questo passaggio permanente. Attenzione: solo i modelli approvati e dichiarati sono legali.
Come capire di essere appena stati presi di mira
Alcuni segnali, presi singolarmente banali, acquistano senso se messi insieme:
- Il telefono passa bruscamente al 2G o alla «E» mentre sei in pieno centro città, in una zona di solito ben coperta.
- Perdi la rete per qualche secondo, poi arriva un SMS subito dopo la riconnessione.
- Il messaggio non compare da nessuna parte nello storico della tua area clienti dell'operatore.
- Diverse persone attorno a te — nello stesso vagone, nella stessa hall, nella stessa fila — ricevono lo stesso messaggio nello stesso momento.
- Il mittente visualizzato è perfettamente legittimo, ma il link punta a un dominio leggermente diverso da quello ufficiale.
Quest'ultimo punto merita un riflesso sistematico: non valutare mai un SMS in base al mittente visualizzato, ma sempre in base all'azione richiesta. Un ente pubblico non ti chiede mai le coordinate bancarie complete via SMS. Ameli lo ricorda esplicitamente sul proprio sito: l'ente sanitario non richiede mai coordinate bancarie né numero di previdenza sociale tramite messaggio.
Il comportamento corretto in tre tempi
Non cliccare. Sembra banale, ma è l'unico punto di rottura che dipende interamente da te. Un SMS non letto non fa nulla. Un SMS letto non fa nulla. Solo il clic mette in moto il resto.
Verifica attraverso un canale scelto da te. Non il numero contenuto nel messaggio, non il link: la tua app bancaria aperta a mano, il numero stampato sul retro della carta, il sito ufficiale digitato da te nel browser.
Segnala. Inoltra il messaggio al 33700 (gratuito, tutti gli operatori) e, in caso di danno, sporgi denuncia tramite il servizio online dedicato. Il portale Cybermalveillance.gouv.fr indirizza agli interlocutori giusti e propone schede pratiche chiare. Anche senza un mittente sfruttabile, queste segnalazioni alimentano le statistiche che fanno scattare le operazioni di localizzazione dell'ANFR.
Se il danno è fatto
Il clic è partito, le credenziali sono state inserite. Resta una finestra d'azione, ed è breve.
- Blocca subito la carta presso la tua banca, poi tramite il servizio interbancario di blocco carte al numero 0 892 705 705.
- Cambia le password degli account coinvolti da un altro dispositivo — un computer, se sospetti che il telefono sia compromesso. Un gestore di password evita, tra l'altro, la contaminazione a catena degli account che condividono la stessa password.
- Controlla le deviazioni di chiamata e le regole di inoltro degli SMS. Una pratica frequente consiste nell'attivare discretamente una deviazione per intercettare i codici di verifica.
- Documenta tutto: screenshot con data e ora del messaggio, del numero, dell'orario. Sono questi elementi a fare la differenza al momento della denuncia e della richiesta di rimborso alla banca, disciplinata dagli articoli L.133-18 e seguenti del Code monétaire et financier.
Se stai affiancando una persona cara meno a suo agio con questi accorgimenti, una guida pratica sulla cybersicurezza quotidiana, lasciata sul tavolo del salotto, spesso lavora più di un lungo discorso: permette di tornare sull'argomento più volte, senza che venga vissuto come una lezione.
Cosa cambierà nei prossimi anni
La buona notizia è che il vettore tecnico è in via di estinzione. Il 2G è ufficialmente in fase di spegnimento presso gli operatori — alcuni hanno già avviato il proprio calendario di chiusura, gli altri seguiranno. Il giorno in cui nessun telefono in circolazione potrà più ripiegare sul 2G, questa specifica categoria di attacco perderà gran parte del suo terreno di gioco.
La cattiva notizia è che i ricercatori documentano già varianti che prendono di mira il 4G, sfruttando messaggi di segnalazione precedenti all'autenticazione completa. Il principio resta lo stesso: tra il momento in cui un telefono scopre un'antenna e quello in cui ne verifica la legittimità, esiste una finestra. Si riduce a ogni generazione, ma non è ancora scomparsa.
Nel frattempo, il ragionamento da tenere a mente è semplice, e vale ben oltre l'SMS Blaster: l'origine apparente di un messaggio non è mai una prova. Né il nome del mittente, né il filo di discussione in cui compare, né la qualità della scrittura. Conta solo la domanda su ciò che il messaggio ti chiede di fare — e se l'azione coinvolge il tuo denaro, le tue credenziali o i tuoi dati personali, merita di essere verificata altrove, per una strada scelta da te.
