Esiste una categoria di truffe in cui l'SMS non serve ad altro che a far squillare il telefono una seconda volta. A volte il messaggio non contiene nemmeno un link. Dice semplicemente:
«ALLERTA: tentativo di pagamento di 749,00 € presso ELEC-STORE non riconosciuto. Se non sei tu l'autore dell'operazione, non fare nulla, un consulente ti contatterà.»
Nessun link da cliccare, nessun modulo, niente che assomigli alle campagne di phishing da cui ci hanno insegnato a diffidare. Rileggi, cerchi la trappola, non la trovi. Tre minuti dopo il telefono squilla — e sullo schermo compare il numero della tua filiale, quello che hai salvato tu stesso in rubrica. È lì che la truffa comincia davvero.
La Banque de France, nei lavori periodici dell'Observatoire de la sécurité des moyens de paiement, sottolinea da diversi anni la crescita delle frodi cosiddette «per manipolazione»: quelle in cui il truffatore non ha bisogno di alcuna falla tecnica, perché è la vittima stessa a convalidare le operazioni. L'SMS non è più l'arma. È il campanello.
Perché questo scenario ha sostituito il semplice link trappola
Per dieci anni lo smishing bancario ha funzionato su un modello semplice: un SMS, un link, una falsa pagina di accesso, credenziali raccolte. Questo modello si sta esaurendo per tre ragioni molto concrete.
Innanzitutto, le banche hanno generalizzato l'autenticazione forte delle operazioni. Rubare le credenziali non basta più: serve anche che qualcuno prema «Conferma» nell'applicazione. Poi, i browser e i sistemi mobili bloccano una quota crescente di domini falsi nel giro di poche ore. Infine, il pubblico ha assimilato il riflesso «non clicco sui link degli SMS».
I truffatori hanno quindi spostato il problema: dato che in ogni caso serve che sia la vittima a convalidare, tanto vale ottenere quella conferma a voce. È più lento, più artigianale, ma infinitamente più redditizio. Un link trappola frutta credenziali rivendute per pochi euro. Una telefonata riuscita frutta un bonifico a quattro o cinque cifre.
L'SMS conserva un ruolo preciso in questo dispositivo:
- crea l'attesa. Non ricevi una chiamata inattesa, ricevi la chiamata annunciata. La normale diffidenza davanti a un numero sconosciuto non si attiva;
- installa il vocabolario. «Operazione non riconosciuta», «servizio antifrode», «messa in sicurezza»: le parole della conversazione successiva sono già poste;
- fa scattare l'adrenalina. Settecentoquarantanove euro sono abbastanza per far salire il battito, e abbastanza pochi per restare credibili.
Il numero della tua banca sul display non prova più nulla
Il punto di svolta, in quasi tutte le testimonianze, è la schermata della chiamata. Il numero visualizzato è il vero numero del servizio clienti, a volte perfino il numero diretto della filiale. Alcune vittime raccontano di aver verificato il numero sul retro della carta durante la conversazione, e di averlo trovato identico.
Non è magia, è spoofing telefonico: la falsificazione del numero chiamante. Il protocollo di instradamento delle chiamate è stato concepito in un'epoca in cui non si prevedeva che qualcuno potesse mentire sulla propria identità, e l'informazione «numero chiamante» resta, in sostanza, dichiarativa.
La Francia ha irrigidito il quadro normativo con il meccanismo di autenticazione dei numeri (detto MAN) imposto agli operatori dall'Arcep dal 2024-2025: le chiamate provenienti dall'estero che mostrano un numero fisso francese non autenticato devono essere bloccate. Il dispositivo ha fatto crollare una parte del telemarketing fraudolento, ma ha delle zone cieche: i numeri mobili francesi legittimamente usati in roaming, i blocchi di numerazione affittati a operatori poco scrupolosi, le chiamate effettuate dal territorio nazionale tramite gateway.
Ricorda una regola semplice, valida nel 2026 come nel 2020: un numero visualizzato non è un'identità. È un'etichetta incollata sulla busta da chi la spedisce.
Lo stesso vale per la conversazione SMS. Un messaggio fraudolento che utilizza lo stesso mittente alfanumerico della tua banca si va a inserire nella conversazione esistente, sotto i messaggi veri, con lo storico autentico sopra. L'illusione è totale.
Il copione, fase per fase
Le telefonate fraudolente seguono copioni notevolmente stabili. Conoscerne la struttura vale più di qualsiasi elenco di «segnali d'allarme», perché la struttura, quella, non cambia.
Fase 1 — La presa di controllo attraverso la legittimità
L'interlocutore si presenta con un nome, un cognome, una «matricola». Ti fornisce informazioni che solo la tua banca dovrebbe avere: le ultime quattro cifre della carta, la tua filiale, a volte uno o due addebiti recenti. Questi dati provengono da fughe di database commerciali, rivenduti a peso. Non provano nulla, ma comprano la tua fiducia in dieci secondi.
Fase 2 — L'inversione dei ruoli
Non ti chiede nulla. Al contrario, ti protegge. È il ribaltamento più efficace del copione: la vittima smette di chiedersi «con chi sto parlando» per chiedersi «come me la cavo». Si passa dalla vigilanza alla collaborazione.
Fase 3 — Il test di lealtà
«Non le chiederò mai il suo codice, lo sa bene, vero?» Questa frase, pronunciata dal truffatore stesso, disarma completamente. Riprende parola per parola l'avvertenza ufficiale delle banche, e il solo fatto di pronunciarla ti fa collocare l'interlocutore dalla parte giusta.
Fase 4 — La «messa in sicurezza»
È il cuore della truffa. Bisogna, dice, mettere i fondi al sicuro su un «conto tampone», «conto di garanzia» o «conto tecnico» il tempo necessario a bloccare la carta compromessa. Riceverai una notifica nella tua app: è l'annullamento dell'operazione fraudolenta, basta confermarla. In realtà stai convalidando un bonifico in uscita, l'aggiunta di un beneficiario o la registrazione del suo telefono al posto del tuo.
Fase 5 — Il blocco del tempo
«Resti in linea, non riagganci, la procedura scade tra quattro minuti.» Finché sei al telefono, non puoi chiamare la tua banca né chiedere il parere di una persona vicina. Il vincolo temporale non ha alcuna funzione tecnica: serve unicamente a impedirti di verificare.
Ciò che non ha nulla a che vedere con l'ingenuità
Va detto chiaramente, perché la vergogna è il principale ostacolo alla denuncia: queste truffe non prendono di mira le persone credulone. Prendono di mira le persone disponibili. Un dirigente in riunione, un genitore che sorveglia un bambino, un artigiano in cantiere, qualcuno che ha appena fatto un ordine online. Il bersaglio non è una persona, è un momento di attenzione divisa.
I copioni sono scritti da squadre che li testano su migliaia di chiamate e tengono ciò che converte. Di fronte a un professionista della persuasione che lavora otto ore al giorno, l'intelligenza non protegge. Protegge solo la procedura: una regola decisa a freddo, applicata meccanicamente a caldo.
La procedura che blocca tutto, in quattro gesti
1. Riaggancia. Sempre. Non esiste alcuna situazione bancaria, nessuna, che imponga di restare in linea. Un vero consulente capirà benissimo che tu richiami. Un finto consulente ti supplicherà di non riagganciare — è il miglior test che esista.
2. Richiama, ma non subito e non dalla stessa chiamata. Due trappole classiche. Richiamare il numero che ti ha appena chiamato non prova nulla: il truffatore può aver falsificato un numero che non controlla, e finirai per parlare con la banca vera, il che ti rassicurerà a torto sulla prima chiamata. Soprattutto, su alcune linee fisse la linea può restare aperta per qualche secondo se il chiamante non riaggancia: componi il numero da un altro apparecchio, oppure aspetta un minuto pieno. Usa esclusivamente il numero riportato sul retro della carta o nella tua app.
3. Apri tu stesso l'applicazione e leggi la dicitura completa di ogni notifica prima di confermare. Le app bancarie francesi mostrano ormai l'oggetto reale dell'operazione: «Aggiunta del beneficiario X», «Bonifico di 4.200 €», «Nuovo dispositivo attendibile». Quella dicitura è l'unica verità dello scambio. Leggila lentamente, ad alta voce se necessario.
4. Annota tutto, subito. Ora della chiamata, numero visualizzato, nome fornito, importi annunciati. Uno screenshot dell'SMS iniziale vale più di un ricordo. Se la vicenda arriva alla denuncia, questi elementi faranno la differenza.
Per chi gestisce i propri conti da un computer di famiglia, una checklist plastificata posata vicino alla postazione — o una semplice scheda di cartoncino scritta a mano e infilata in un portadocumenti rigido — ha un effetto sproporzionato: trasforma un riflesso emotivo in un gesto amministrativo.
Il caso particolare dei caregiver familiari
Questo scenario è particolarmente temibile con le persone anziane, per una ragione che non ha nulla a che vedere con la lucidità: sono cresciute in un'epoca in cui si rispondeva al telefono e si dava fiducia a una voce che si presentava. Il rifiuto di riattaccare in faccia a qualcuno è una forma di cortesia profondamente radicata.
Qualche accorgimento concreto, senza infantilizzare:
- installare un telefono fisso a tasti grandi con filtro chiamate e lista bianca, che lascia passare i numeri conosciuti e devia gli altri verso un messaggio;
- concordare una parola d'ordine familiare, una parola nota solo a voi, da chiedere a chiunque chiami a nome di un'istituzione;
- appendere al muro, vicino al telefono, la frase da dire: «Non tratto mai per telefono, richiamo la mia filiale» — basta un semplice blocco note magnetico attaccato al frigorifero;
- verificare che il massimale dei bonifici online sia fissato a un importo basso, e che per alzarlo occorra recarsi in filiale.
Il massimale è probabilmente la misura più efficace di tutto questo elenco. Non dipende da alcuna vigilanza e funziona anche in una giornata di stanchezza.
E se è già successo: cosa dice il diritto
Il code monétaire et financier (articoli L133-18 e seguenti) pone un principio forte: in caso di operazione di pagamento non autorizzata, la banca rimborsa immediatamente, salvo frode o negligenza grave del cliente. Tutta la battaglia giuridica verte quindi su due parole: «autorizzata» e «negligenza grave».
La posizione dei tribunali si è evoluta in un senso piuttosto favorevole alle vittime. La Cour de cassation, in diverse decisioni pronunciate dal 2023, ha stabilito che l'aver comunicato un codice dopo essere stati ingannati da un dispositivo fraudolento sofisticato — in particolare quando il numero della banca era stato falsificato — non configura automaticamente una negligenza grave. L'onere della prova ricade sulla banca, che deve dimostrare con precisione l'inadempienza, e non limitarsi ad affermare che il cliente «ha convalidato».
Questo non significa un rimborso automatico. Significa che un rifiuto di principio si può contestare.
Le tappe, nell'ordine:
| Tappa | Dove | Termine da rispettare |
|---|---|---|
| Bloccare la carta | Numero d'emergenza della banca, poi conferma scritta | Immediatamente |
| Contestare per iscritto | Raccomandata alla filiale, chiedendo il rimborso ai sensi dell'art. L133-18 | Massimo 13 mesi |
| Sporgere denuncia | Commissariato, gendarmeria o denuncia online | Senza attendere |
| Segnalare l'SMS | Piattaforma 33700 (inoltrando il messaggio) | Immediatamente |
| Rivolgersi al mediatore | Mediatore bancario, gratuito | Dopo il rifiuto scritto della banca |
| Segnalare | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | In qualsiasi momento |
Un consiglio pratico spesso trascurato: invia la lettera di contestazione anche se un consulente ti ha detto a voce che «la pratica è in corso». L'orale non lascia alcuna traccia, e il termine di tredici mesi decorre comunque. Uno stock di buste per raccomandata o semplicemente un registro della corrispondenza evita di perdere queste date.
Tre luoghi comuni da buttare via
«La mia banca non mi chiamerà mai.» Falso, ed è proprio questo a rendere possibile la truffa. I servizi antifrode chiamano davvero, spesso da numeri sconosciuti. La regola giusta non è «la mia banca non chiama» ma «non tratto mai nulla durante una chiamata in entrata».
«Un SMS senza link è innocuo.» È esattamente il modello descritto qui. L'assenza di link è un argomento di credibilità, non una prova di innocenza.
«Il 2FA mi protegge.» L'autenticazione a due fattori protegge da chi ruba le tue credenziali, non da chi ti chiede gentilmente di premere «Conferma». Tutto lo sforzo dei truffatori si concentra ormai su quest'ultimo gesto.
Cosa tenere a mente
La truffa per manipolazione non si combatte con un antivirus, un filtro o un'applicazione. Si combatte con una frase imparata a memoria e un massimale di bonifico ragionevole.
La frase è questa: «Adesso riaggancio e richiamo la mia banca al numero riportato sul retro della carta.» Detta con calma, mette fine al 100% delle chiamate fraudolente. Nessun truffatore resta in linea dopo una frase simile. Nessun vero consulente se ne offende.
Per approfondire, le risorse pubbliche francesi sono solide e gratuite: le schede pratiche di Cybermalveillance.gouv.fr, le pubblicazioni dell'Observatoire de la sécurité des moyens de paiement della Banque de France, gli avvisi della DGCCRF e il servizio 33700 per segnalare gli SMS fraudolenti con un semplice inoltro. Una guida pratica di cybersicurezza per privati in formato cartaceo può inoltre fare da spunto di discussione in famiglia, soprattutto con adolescenti o genitori anziani — l'argomento passa spesso meglio attraverso un libro che sotto forma di raccomandazione diretta.
E se hai già confermato qualcosa: non perdere un'ora a vergognarti. Quell'ora serve a bloccare un bonifico.
