Esiste una categoria di truffe via SMS di cui si parla poco, perché non sembra affatto una truffa. Nessun falso sito bancario, nessun codice a sei cifre da ricopiare d'urgenza, nessuna minaccia di sospensione del conto. Solo una bella notizia: sei stato estratto a sorte, la tua fedeltà viene premiata, il tuo pacco è in omaggio, basta pagare 1,95 € di spese di spedizione.
Sei settimane dopo, l'estratto conto mostra tre addebiti da 49,90 € a favore di una società di cui non hai mai sentito parlare. E la parte più sgradevole della storia è questa: da qualche parte, nella pagina che hai compilato in trenta secondi, c'era scritto — in grigio chiaro, in corpo 7, sotto il pulsante di conferma — che stavi sottoscrivendo un abbonamento mensile con rinnovo automatico.
È quello che nel gergo anglosassone si chiama negative option billing, in italiano un'adesione per default o un abbonamento nascosto. Non è esattamente un furto. È molto peggio da gestire: è una zona grigia giuridica progettata per assomigliare a un contratto.
Perché questa trappola funziona meglio di un falso sito bancario
Le classiche campagne di smishing — falsi SMS delle Poste, dell'ente sanitario, della tua banca — fanno leva sulla paura e sull'urgenza. Funzionano, ma oggi incontrano una resistenza crescente: il grande pubblico è stato sensibilizzato in modo massiccio, le banche ripetono che non chiedono mai un codice via SMS e Cybermalveillance.gouv.fr martella il messaggio da anni.
L'SMS regalo aggira completamente questa difesa mentale. Non fa scattare nessuno degli allarmi che hai imparato ad ascoltare:
- Non chiede nessuna password.
- Non chiede nessun codice di conferma bancaria — o meglio, sì, ma più tardi e per un importo irrisorio che confermi senza pensarci.
- Non usurpa necessariamente l'identità di un ente pubblico: spesso si limita a evocare vagamente «il tuo operatore», «una grande catena», «il nostro partner».
- Non ti mette in pericolo, ti fa piacere.
La leva psicologica non è la paura ma la reciprocità e l'effetto dotazione: dal momento in cui ti si annuncia che qualcosa ti appartiene già, rinunciarvi viene vissuto come una perdita. Aggiungi un conto alla rovescia sullo schermo («il tuo premio è riservato per 9 min 47»), e il tempo di riflessione sparisce.
I truffatori che sfruttano questo modello non cercano di rubare 800 € in una volta sola. Cercano di prelevare 49 € per sei mesi a migliaia di persone che, individualmente, non sporgeranno mai denuncia per quella cifra.
Il meccanismo, passo dopo passo
1. Il messaggio esca
L'SMS è breve, spesso senza errori, e sempre più personalizzato — inevitabile, vista l'incrociatura con banche dati trafugate. Le formule ricorrenti nel 2026:
- «Buongiorno [Nome], il tuo ordine n. 8842 ha diritto a un regalo. Scegli qui: …»
- «Il tuo piano tariffario ti dà diritto a 1 accessorio in omaggio questo mese.»
- «Rimborso di 74,32 € disponibile sulla tua pratica. Conferma i tuoi dati.»
- «Test prodotto: ricevi [marca nota] e tienilo.»
Il link punta a un dominio recente, corto, senza alcun rapporto con il marchio evocato, spesso ospitato su un'estensione esotica o un sottodominio generico.
2. Il funnel di qualificazione
La pagina non chiede subito la carta. Prima ti fa giocare: una ruota che gira, tre forzieri da aprire, un quiz di quattro domande. Questa deviazione non è decorativa. Ha due funzioni:
- Coinvolgerti progressivamente. Chi ha già risposto a quattro domande abbandona molto più difficilmente al quinto passaggio.
- Raccogliere i tuoi dati. Età, situazione, interessi, CAP: queste informazioni valgono a volte più dell'abbonamento stesso sui mercati della rivendita di liste.
3. La carta di credito per «le spese»
Poi arriva la richiesta delle coordinate bancarie, giustificata da un importo minuscolo: 1 €, 1,95 €, 2,90 € di contributo alle spese di spedizione. Confermi con la tua app bancaria — l'autenticazione forte funziona perfettamente, convalida un pagamento che hai davvero autorizzato.
È il cuore del problema: la PSD2 e l'autenticazione a due fattori non ti proteggono da un contratto che hai firmato senza leggerlo. Verificano che sia proprio tu, non che la transazione sia onesta.
4. La clausola invisibile
Sotto il pulsante, in un blocco di testo grigio su fondo bianco, una frase del tipo: «Confermando, aderisci al servizio Premium al prezzo di 49,90 € al mese dopo un periodo di prova di 3 giorni, disdicibile in qualsiasi momento.» Il primo addebito arriva una settimana dopo, con una causale bancaria opaca: sigla di tre lettere, società con sede fuori dalla Francia, nessun rapporto con l'SMS di partenza.
Cosa dice il diritto francese — e perché è dalla tua parte
Contrariamente a quanto credono molte vittime, questa pratica non è legale solo perché la clausola esisteva. Il diritto francese ed europeo regola in modo molto rigoroso questo tipo di vendita a distanza.
| Regola | Norma applicabile | Cosa cambia per te |
|---|---|---|
| Consenso espresso a qualsiasi pagamento supplementare | Articolo L. 224-2 del Codice del consumo | Una casella pre-spuntata o una menzione annegata nel testo non vale come consenso |
| Pratica commerciale ingannevole | Articoli L. 121-2 e seguenti | Nascondere un'informazione sostanziale (il prezzo reale) è un reato |
| Diritto di recesso di 14 giorni | Articolo L. 221-18 | Decorre dalla conclusione del contratto per un servizio |
| Informazione precontrattuale chiara e comprensibile | Articolo L. 221-5 | Un corpo 7 grigio chiaro sotto il pulsante non è né chiaro né leggibile |
| Contestazione di un pagamento non autorizzato | Articolo L. 133-18 del Codice monetario e finanziario | Rimborso da parte della banca, a determinate condizioni |
La Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) pubblica regolarmente avvertimenti su questi «concorsi a premi» che sfociano in abbonamenti. La segnalazione passa dalla piattaforma SignalConso. Per la dimensione informatica, Cybermalveillance.gouv.fr indirizza verso gli strumenti adeguati, e la piattaforma Pharos riceve le segnalazioni di contenuti illeciti.
Quanto all'SMS in sé: qualsiasi messaggio fraudolento può essere inoltrato gratuitamente al 33700, il servizio nazionale francese di segnalazione dello spam via SMS gestito dall'Association Française du Multimédia Mobile in collaborazione con gli operatori.
Cosa fare se gli addebiti sono già partiti
L'ordine conta. Molte vittime iniziano scrivendo al servizio clienti della società — è la peggiore mossa da fare per prima, perché fa perdere giorni durante i quali arrivano nuovi addebiti.
Passo 1 — Bloccare il flusso, non limitarsi a contestarlo
Chiama la tua banca e chiedi esplicitamente:
- il blocco sull'esercente (stop agli addebiti futuri di quel beneficiario);
- e, se il dubbio è forte, la sostituzione della carta. Il nuovo numero rende inefficaci le autorizzazioni ricorrenti.
Attenzione: un semplice «blocco per smarrimento» non basta sempre a fermare pagamenti ricorrenti già autorizzati. Usa le parole esatte: «contesto un'autorizzazione di pagamento ricorrente e ne chiedo il blocco».
Passo 2 — Chiedere il rimborso per iscritto
Invia alla tua banca una contestazione scritta (raccomandata o messaggistica sicura dell'area clienti) invocando l'assenza di consenso espresso. Allega:
- lo screenshot dell'SMS ricevuto;
- l'indirizzo del sito, se ce l'hai ancora nella cronologia;
- l'elenco degli addebiti;
- la cronologia precisa dei fatti.
Il termine legale per contestare un'operazione non autorizzata è di 13 mesi dalla data di addebito (articolo L. 133-24 del Codice monetario e finanziario). Non lasciar scadere questo termine pensando che «ormai è troppo tardi».
Passo 3 — Disdire formalmente, anche se il contratto è traballante
Invia una raccomandata di disdetta e recesso all'indirizzo indicato nelle note legali del sito. È il documento che ti servirà in seguito. Molte persone non conservano alcuna traccia cartacea delle proprie iniziative; tenere le ricevute di ritorno in un raccoglitore con buste trasparenti evita di dover ricostruire il fascicolo d'urgenza sei mesi dopo.
Passo 4 — Segnalare
- SignalConso (DGCCRF) per la pratica commerciale.
- 33700 per l'SMS.
- Denuncia ai carabinieri o alla polizia se l'importo è significativo, oppure pre-denuncia online.
- La tua associazione di consumatori (UFC-Que Choisir, CLCV) se ti scontri con la banca.
Sette riflessi che neutralizzano questo tipo di trappola
1. Nessuna lotteria ti conosce. Non puoi vincere a un gioco a cui non hai giocato. Questa regola, da sola, elimina il 90 % dei casi.
2. Diffida dei micro-pagamenti. Un importo volutamente irrisorio è un segnale d'allarme, non una garanzia. Il suo unico scopo è ottenere le tue coordinate bancarie e la tua conferma.
3. Leggi quello che c'è sotto il pulsante, non sopra. Le condizioni decisive vengono sistematicamente collocate dopo la call to action, in un colore poco contrastato.
4. Separa i tuoi strumenti di pagamento. Riserva una carta virtuale usa e getta o una carta prepagata ricaricabile agli acquisti su siti che non conosci. Il plafond limita meccanicamente i danni. La maggior parte delle banche francesi offre questo servizio nella propria app.
5. Controlla gli estratti conto ogni mese. Un addebito da 49 € passa inosservato a chi guarda solo il saldo. Basta un semplice quaderno per la contabilità personale, o un foglio di calcolo, per individuare una causale sconosciuta.
6. Non riutilizzare il tuo numero principale ovunque. Ogni modulo di concorso a premi, ogni estrazione al centro commerciale alimenta le liste rivendute. Per le iscrizioni non essenziali, un secondo numero su una SIM prepagata senza vincoli va benissimo.
7. Non rispondere mai «STOP» a un messaggio fraudolento. Lo STOP previsto dalla legge funziona solo per il marketing dichiarato di aziende identificate. Con un truffatore, conferma semplicemente che il numero è attivo.
Il caso particolare delle persone vulnerabili
Questo tipo di truffa colpisce in modo molto disuguale. Le persone sole, poco a loro agio con le interfacce, o che usano lo smartphone senza occhiali adeguati, semplicemente non vedranno mai la dicitura in corpo 7. Non è una mancanza di attenzione: è una progettazione deliberatamente ostile.
Alcune misure concrete, senza infantilizzare nessuno:
- Attivare l'ingrandimento del testo e il contrasto elevato nelle impostazioni di accessibilità del telefono.
- Per la lettura prolungata dello schermo, degli occhiali lente d'ingrandimento ad alto ingrandimento rendono leggibili le note legali che le interfacce seppelliscono volutamente.
- Concordare una regola semplice e non negoziabile in famiglia: nessuna carta di credito inserita da un link ricevuto via SMS, mai, per nessun motivo.
- Impostare un plafond di pagamento basso sulla carta, modificabile all'occorrenza.
Per chi vuole capire più in generale le molle di queste manipolazioni, diversi libri divulgativi sulla cybersicurezza destinati al grande pubblico spiegano molto bene i meccanismi dell'ingegneria sociale senza richiedere conoscenze tecniche.
E se ti sei limitato a cliccare?
Cliccare sul link senza compilare nulla è, nella stragrande maggioranza dei casi, privo di conseguenze dirette su uno smartphone aggiornato. Il vero rischio comincia con l'inserimento delle informazioni. Detto questo, qualche precauzione ragionevole:
- Verifica che il sistema operativo sia aggiornato — è la protezione più efficace e la più trascurata.
- Su Android, controlla che non sia stata installata alcuna applicazione al di fuori dello store ufficiale.
- Se hai inserito il tuo indirizzo e-mail, aspettati un aumento dello spam; valuta un gestore di password per compartimentare gli accessi se usi la stessa password ovunque.
- Tieni d'occhio i conti per tre mesi.
Cosa ricordare
L'SMS regalo è il volto sorridente dello smishing. Non attacca la tua banca, attacca la tua lettura. Non punta sul panico, punta su trenta secondi di entusiasmo e su una tipografia progettata per essere ignorata.
La contromisura non è né tecnica né complicata: nessun pagamento, nemmeno di un euro, va effettuato da un link ricevuto via SMS. Se l'offerta è reale, esisterà anche digitando tu stesso l'indirizzo del sito ufficiale nel browser. E se esiste solo nell'SMS, non è mai esistita.
Nel dubbio, inoltra il messaggio al 33700, segnala su SignalConso e cancella. Un regalo che pretende la tua carta di credito non è un regalo: è una fattura travestita.
