C'è una differenza fondamentale tra l'SMS che annuncia il blocco del vostro conto bancario e quello che vi reclama 2,80 € di pedaggio non pagato. Il primo fa scattare l'allarme: è grosso, è grave, è sospetto. Il secondo non fa scattare proprio nulla. È piccolo, plausibile, quasi noioso — ed è esattamente per questo che nel 2026 è diventato una delle campagne di smishing più redditizie in Francia.
« Ha percorso l'A10 il 03/09 senza transito convalidato. Importo dovuto: 2,80 €. Regolarizzi entro 48 h per evitare una maggiorazione di 90 €. »
Nessuno va nel panico leggendo una cosa del genere. Si sospira. Si pensa di aver sbagliato a passare il telepedaggio. E si paga, perché tre euro non valgono trenta minuti di indagini. Peccato che il modulo non chieda tre euro: chiede il numero della carta, la data di scadenza, il codice di sicurezza e, spesso, un codice ricevuto via SMS qualche minuto dopo. A quel punto non sono più 2,80 € a sparire.
Perché gli automobilisti concentrano così tante campagne
L'automobilista è un bersaglio ideale per una ragione molto semplice: riceve legittimamente moltissimi messaggi brevi legati alla sua auto. Telepedaggio, avviso di contravvenzione, tariffa forfettaria per sosta non pagata, promemoria della revisione, notifica assicurativa, colonnina di ricarica, app di parcheggio. Il canale SMS è già saturo di messaggi autentici e impersonali, il che rende il falso quasi impossibile da riconoscere alla semplice lettura.
A questo si aggiungono tre fattori tipici di questo periodo.
L'incertezza normativa. Tra la progressiva scomparsa delle barriere fisiche su diverse tratte autostradali, il passaggio al pedaggio in flusso libero in cui si paga dopo il transito, e la diffusione delle tariffe forfettarie di sosta gestite da operatori privati, l'automobilista non sa più bene chi abbia il diritto di chiedergli del denaro, né entro quali termini. Il flusso libero in particolare ha creato una situazione inedita: un messaggio che chiede un pagamento qualche giorno dopo un viaggio può essere perfettamente legittimo. I truffatori si sono infilati in questa breccia fin dal primo trimestre 2026.
Le fughe di dati. Le banche dati che circolano sui mercati paralleli contengono spesso ben più di un numero di telefono: nome, codice postale, a volte marca del veicolo o targa parziale. Un messaggio che riporta « il suo veicolo targato XX-123-XX » diventa istantaneamente credibile, anche se il truffatore non ha mai visto la vostra auto.
L'importo minimo. È la vera innovazione. Una campagna che reclama 400 € di multa ottiene un tasso di clic basso e molte segnalazioni. Una campagna che chiede 2,80 €, 4,10 € o 17,50 € passa sotto il radar emotivo e sotto quello dei servizi antifrode bancari, che lasciano transitare i micropagamenti senza attriti.
Le quattro famiglie di messaggi in circolazione
1. Il pedaggio non pagato
È la campagna più visibile dalla primavera 2026, in particolare attraverso l'usurpazione di marchi di telepedaggio molto noti come Ulys, Bip&Go o Ulys/Vinci. Il messaggio parla di un transito non convalidato, di un dispositivo difettoso o di un viaggio in flusso libero non regolarizzato. L'importo è irrisorio, la minaccia di maggiorazione è quantificata e datata.
Segno distintivo: il link non punta mai al dominio ufficiale dell'operatore. Si trovano varianti del tipo ulys-regularisation.com, peage-flux-libre.info, paiement-vinci-autoroutes.net. Nessun operatore francese gestisce i propri pagamenti su un dominio parallelo creato la settimana precedente.
2. La falsa contravvenzione ANTAI
L'Agence nationale de traitement automatisé des infractions (ANTAI) è l'ente ufficiale che invia gli avvisi di contravvenzione in Francia. Viene usurpato in modo massiccio. L'SMS annuncia un eccesso di velocità, un'infrazione rilevata da autovelox o una multa maggiorata imminente.
Punto essenziale da ricordare: l'ANTAI non invia avvisi di contravvenzione iniziali via SMS. Un avviso di contravvenzione arriva per posta all'indirizzo indicato sul libretto di circolazione, oppure nell'area personale del sito ufficiale antai.gouv.fr. Un SMS comparso dal nulla che reclama il pagamento di una multa che non avete mai ricevuto per posta è, nella stragrande maggioranza dei casi, una frode. Cybermalveillance.gouv.fr ricorda regolarmente questo punto nei suoi avvisi sullo smishing.
3. La tariffa forfettaria di sosta
Dopo la depenalizzazione della sosta a pagamento, il famoso « FPS » è gestito dai comuni o dai loro operatori. È un terreno di gioco perfetto per la frode, perché le modalità variano da una città all'altra e poche persone sanno che aspetto abbia un avviso autentico. Il messaggio parla di una sosta non pagata in una città in cui siete effettivamente passati — a volte per pura probabilità, a volte grazie a dati acquistati.
4. Il rimborso al contrario
Variante più subdola: non vi si chiede nulla, vi si deve qualcosa. « A seguito di un errore di fatturazione, le spetta un rimborso di 38,40 €. Inserisca le sue coordinate bancarie per riceverlo. » Il meccanismo psicologico si ribalta: non avete più paura, siete contenti. E trasmettete un IBAN, se non addirittura un numero di carta, a uno sconosciuto.
Cosa cerca realmente di ottenere il messaggio
Bisogna distinguere tre obiettivi, perché la reazione da avere non è la stessa.
| Obiettivo | Cosa chiede il modulo | Conseguenza |
|---|---|---|
| Pagamento diretto | Carta di credito per un « piccolo » importo | Addebito unico, a volte abbonamento nascosto |
| Cattura della carta | Carta + codice di sicurezza + codice di conferma | Acquisti fraudolenti fino al massimale |
| Profilazione | Nome, indirizzo, targa, e-mail | Rivendita e successive campagne mirate |
Il terzo caso è il più sottovalutato. Un modulo che non chiede denaro non è innocuo: arricchisce una scheda che servirà a una truffa del finto consulente bancario due mesi dopo, quella sì molto più costosa.
La verifica in trenta secondi
La buona notizia è che esiste un metodo semplice, valido per tutte e quattro le famiglie di messaggi, che non richiede alcuna competenza tecnica.
1. Non cliccate su nulla. Nessuna eccezione. Il link è l'unico punto d'ingresso dell'attacco; finché non lo aprite, non succede nulla.
2. Passate dal canale ufficiale che già conoscete. Per una multa: antai.gouv.fr, digitato a mano nella barra degli indirizzi. Per un telepedaggio: l'app o il sito del vostro operatore, quello con cui avete sottoscritto il contratto. Per un FPS: il sito ufficiale del comune. Se la somma è realmente dovuta, comparirà nella vostra area personale. Altrimenti, il messaggio era falso.
3. Guardate l'importo e la scadenza. L'urgenza quantificata in 24 o 48 ore è una firma. L'amministrazione francese funziona con termini di diverse settimane e con lettere cartacee.
4. Verificate la coerenza con la vostra vita reale. Avete percorso quella tratta? Parcheggiato in quella città? Un messaggio che parla di un'autostrada che non avete mai preso si squalifica da solo.
5. Segnalate. Il 33700 resta il dispositivo nazionale di segnalazione degli SMS fraudolenti: inoltrate il messaggio al 33700, poi inviate il numero del mittente quando vi viene richiesto. Il servizio è gratuito. In parallelo, la piattaforma Signal Conso e il sito cybermalveillance.gouv.fr censiscono le campagne in corso.
Regola generale: non spetta mai a voi dimostrare che il messaggio è falso. È il messaggio a dover dimostrare di essere vero — e può farlo solo attraverso un canale che avete scelto voi stessi.
Il caso particolare di chi è in viaggio
L'attenzione crolla quando si è in strada. Si legge il messaggio in un'area di servizio, tra una tappa e l'altra, stanchi, con il 12 % di batteria. È esattamente il momento che le campagne prendono di mira, concentrando gli invii nelle sere di venerdì, all'inizio delle vacanze e durante i grandi esodi.
Alcuni accorgimenti pratici riducono il rischio in modo più efficace di qualsiasi consiglio astratto:
- Tenere un supporto per telefono da auto ben fissato, per non dover mai leggere un messaggio di fretta o mentre si guida: un SMS letto da fermi è un SMS valutato meglio.
- Portare con sé un power bank per smartphone: un telefono scarico significa impossibilità di verificare qualsiasi cosa sul sito ufficiale, quindi la tentazione di « sistemare al volo » dal link ricevuto.
- Riporre i documenti del veicolo — libretto di circolazione, attestato assicurativo, modulo di constatazione amichevole — in un unico portadocumenti da auto. Quando si sa dove sono i propri documenti, si verifica una targa in dieci secondi invece di fidarsi del numero mostrato nell'SMS.
Niente di tutto ciò è spettacolare, ma la truffa del finto pedaggio non si gioca sulla tecnica: si gioca sui cinque secondi in cui si decide se verificare o no.
Se avete già cliccato e pagato
L'errore è frequente e non ha nulla di vergognoso. L'unica cosa che conta è la rapidità.
Entro un'ora: chiamate la vostra banca o bloccate la carta dall'app. Il numero d'emergenza interbancario per il blocco carta in Francia è lo 0 892 705 705. Chiedete esplicitamente il blocco della carta, non solo la contestazione dell'addebito.
In giornata: cambiate le password degli account che condividono l'indirizzo e-mail utilizzato nel modulo, cominciando dalla casella di posta stessa. Se avete trasmesso un codice ricevuto via SMS, considerate compromesso l'account associato. Un gestore di password, o in mancanza un quaderno per password cartaceo riposto fuori dalla vista, evita di riciclare ovunque la stessa combinazione — che è esattamente ciò che i truffatori sfruttano in seguito.
Entro la settimana: sporgete denuncia. La pre-denuncia online è possibile sul sito del ministero dell'Interno, ma il deposito fisico in commissariato o presso la gendarmeria resta più efficace per ottenere un verbale utilizzabile dalla banca. Conservate screenshot dell'SMS, data e ora, numero del mittente e l'estratto conto con l'addebito.
Il diritto dalla vostra parte: l'articolo L. 133-18 del Code monétaire et financier prevede il rimborso immediato di un'operazione di pagamento non autorizzata segnalata nei termini. La banca può rifiutare invocando una negligenza grave del cliente, ma la Cour de cassation ha ricordato più volte, in particolare in sentenze del 2023 e del 2024, che la sola trasmissione di dati a seguito di un messaggio fraudolento che imita un ente ufficiale non basta a configurare tale negligenza grave. In caso di rifiuto, rivolgetevi al mediatore bancario e, se necessario, alla Banque de France.
Ridurre a monte la superficie d'attacco
Non si può impedire a un truffatore di inviare un SMS, ma si può ridurre la probabilità di essere presi di mira e soprattutto quella di abboccare.
- Separare i propri recapiti. Usare un indirizzo e-mail secondario per le iscrizioni a servizi di sosta, ricarica o car pooling limita la correlazione tra le fughe di dati.
- Attivare il filtro antispam per gli SMS del telefono. Sia Android sia iOS offrono un filtraggio dei mittenti sconosciuti, imperfetto ma utile.
- Non salvare mai la carta di credito nelle app di parcheggio in cui non è indispensabile. Una carta virtuale usa e getta, offerta da molte banche, limita meccanicamente i danni.
- Avvisare chi vi sta vicino. Gli automobilisti più esposti sono spesso quelli che usano poco il digitale e che, di fronte a un SMS che cita un ente pubblico, preferiscono pagare « per stare tranquilli ». Una guida alla cybersicurezza quotidiana lasciata a portata di mano in famiglia vale più di tanti discorsi.
Cosa ricordare
Il finto SMS di pedaggio o di multa non è stato concepito per ingannare le persone ingenue. È stato concepito per ingannare le persone di fretta, con un importo abbastanza basso da non meritare una verifica. È una truffa di volume: non guadagna molto per vittima, ma raggiunge centinaia di migliaia di numeri a ogni ondata.
La sua debolezza è costante e non cambierà: ha bisogno che voi clicchiate sul suo link. Un ente pubblico non vi chiede mai di pagare tramite un URL ricevuto per messaggio; vi lascia sempre la possibilità di recarvi da soli sul suo sito ufficiale. Il giorno in cui questo riflesso diventa automatico — verificare altrove, mai dentro il messaggio — la campagna crolla, per quanto sofisticata sia.
E se il dubbio persiste: un avviso autentico può tranquillamente aspettare trenta minuti di verifica. Una truffa, no. È tutta lì la differenza.
