Sono le 17:40 di un venerdì. State mettendo via le vostre cose. Il telefono vibra, un numero sconosciuto, un messaggio breve:
«Buongiorno, sono Laurent. Sono in riunione, non posso rispondere al telefono. Ho bisogno di lei per un'operazione riservata, è disponibile?»
Laurent è il nome del vostro direttore generale. Il messaggio è cortese, senza errori, senza link, senza allegati. Non chiede nulla — non ancora. Chiede solo se ci siete. Ed è proprio perché non chiede nulla che la maggior parte delle persone risponde «sì».
Lo smishing aziendale è stato a lungo trattato come un problema del reparto informatico, da risolvere a colpi di filtri sulla posta elettronica professionale. Nel 2026 ha cambiato porta d'ingresso: passa dal telefono cellulare dei dipendenti, un terreno dove il datore di lavoro non filtra nulla, dove gli avvisi di sicurezza non esistono e dove il messaggio arriva in mezzo agli SMS del dentista e della scuola.
Perché il mobile è diventato l'anello scelto
Un'azienda, anche piccola, protegge piuttosto bene le proprie caselle di posta. Antispam, banner «mittente esterno», blocco degli allegati eseguibili, autenticazione a più fattori: l'e-mail fraudolenta ha buone probabilità di essere scartata o segnalata prima ancora di essere letta.
L'SMS professionale, invece, non esiste davvero come canale regolamentato. Nella stragrande maggioranza delle organizzazioni, gli scambi interni urgenti passano dal cellulare personale o da un cellulare aziendale non supervisionato. Risultato:
- Nessun filtraggio paragonabile a quello della posta elettronica.
- Nessun banner che segnali un mittente esterno o insolito.
- Uno schermo stretto, dove si legge in fretta, spesso in piedi, spesso camminando.
- Una norma sociale di brevità: un SMS di tre righe senza formula di cortesia non stupisce nessuno, mentre un'e-mail equivalente sembrerebbe sospetta.
A ciò si aggiunge la disponibilità massiccia di informazioni professionali. Un truffatore non ha più bisogno di infiltrarsi da nessuna parte: organigrammi pubblici, social network professionali, comunicati stampa, note legali e annunci di lavoro bastano a ricostruire chi dirige, chi gestisce le buste paga, chi firma i bonifici e chi è appena arrivato in squadra. Il nuovo arrivato, del resto, è un bersaglio statisticamente privilegiato: non conosce ancora le abitudini della casa e non oserà dire di no.
I quattro scenari più ricorrenti
1. La frode del dirigente, versione SMS
È lo scenario di apertura descritto sopra. Non comincia mai con una richiesta di denaro. Comincia con un contatto anodino — «è disponibile?», «cambio numero, si segni questo» — il cui unico scopo è ottenere una prima risposta. Quella risposta ribalta la relazione: dal momento in cui avete scritto «sì, mi dica», siete dentro una conversazione, e una conversazione crea un obbligo implicito di rispondere a ciò che segue.
Il seguito, appunto, arriva raramente sotto forma di bonifico diretto. Prende spesso strade più discrete: acquisto di carte regalo digitali «per un cliente», invio urgente della scansione di un documento, trasmissione di un elenco di contatti, o approvazione di un pagamento già «predisposto dallo studio».
La polizia nazionale e il dispositivo pubblico Cybermalveillance.gouv.fr documentano da diversi anni questa famiglia di truffe detta «al falso ordine di bonifico». La sua versione mobile non è che un adattamento al canale più rapido.
2. Il falso servizio informatico
Qui il messaggio imita un ticket o un avviso tecnico:
«[IT] La sua sessione Microsoft scade oggi. Effettui nuovamente l'accesso per evitare la sospensione dell'account: …»
Questo scenario punta alla password e, soprattutto, al codice di verifica monouso. La sua variante più efficace nel 2026 combina SMS e telefonata: ricevete prima il messaggio, poi un interlocutore molto calmo vi spiega che «sta lavorando al ticket» e vi chiede di dettargli il codice appena ricevuto. Quel codice è quello che il truffatore stesso ha generato tentando di accedere al vostro account professionale.
3. Il cambio di coordinate bancarie
Versione contabile della truffa. Un messaggio si presenta come proveniente da un fornitore abituale e annuncia un cambio di IBAN, a volte con un riferimento di fattura esatto — ottenuto durante una precedente compromissione della casella di posta del vero fornitore. L'SMS serve da promemoria o conferma di un'e-mail fraudolenta: ricevere la stessa informazione attraverso due canali diversi crea un'impressione di coerenza terribilmente efficace.
4. Il falso messaggio HR
«Aggiornamento obbligatorio del suo fascicolo dipendente entro il 15/09: attestato, coordinate bancarie e documento d'identità da caricare qui.»
Questa campagna prende di mira direttamente il dipendente, non l'azienda. L'obiettivo è raccogliere un'identità completa: certificati, IBAN, numero di previdenza sociale. Materiale sufficiente per aprire crediti al consumo, dirottare un rimborso o alimentare un dossier di furto d'identità che riemergerà mesi dopo.
Cosa rende questi messaggi difficili da individuare nel 2026
Tre evoluzioni hanno fatto cadere i punti di riferimento abituali.
La qualità della lingua. Gli errori di ortografia e le traduzioni approssimative non sono più un indizio affidabile. I testi sono ormai scorrevoli, correttamente punteggiati e adattati al vocabolario del settore preso di mira.
Il numero visualizzato. Lo spoofing dell'identificativo del mittente permette di far apparire un nome al posto di un numero, a volte all'interno della conversazione di un contatto già esistente. L'Arcep e la Fédération française des télécoms hanno sostenuto l'introduzione del meccanismo di autenticazione dei numeri — il «MAN» — che limita il fenomeno per le chiamate, ma l'ecosistema dei mittenti alfanumerici resta imperfettamente a tenuta stagna.
La conoscenza del contesto. Il truffatore cita un vero nome di progetto, una vera scadenza, un vero nome di cliente. Questa informazione raramente proviene da un attacco informatico: proviene dalle pubblicazioni dell'azienda stessa.
Il riflesso giusto non è più «questo messaggio è credibile?» ma «questa richiesta è normale attraverso questo canale?». Un dirigente che chiede un'operazione finanziaria via SMS è un'anomalia, anche se tutto il resto sembra perfetto.
La regola unica che protegge meglio: richiamare tramite un canale scelto da voi
Tutte le raccomandazioni stanno in una frase: non si verifica mai una richiesta usando i recapiti forniti dalla richiesta stessa.
In concreto:
- Non rispondete all'SMS, nemmeno con «chi è lei?». Qualsiasi risposta conferma che il numero è attivo e che voi leggete.
- Richiamate la persona al numero che voi avete già in rubrica, oppure tramite l'elenco interno, oppure affacciandovi alla porta dell'ufficio accanto.
- Se la richiesta riguarda del denaro, applicate la regola del doppio controllo: due persone, due canali diversi, nessuna eccezione per motivi di urgenza.
- Segnalate il messaggio al 33700, il servizio nazionale francese di segnalazione degli SMS indesiderati, e inoltratelo al vostro responsabile informatico o alla direzione.
- Conservate uno screenshot con data: servirà se sarà necessario sporgere denuncia.
L'urgenza è l'unico strumento davvero indispensabile del truffatore. Un truffatore che non può mettere fretta alla vittima non ha più uno scenario. Per questo la contromisura più efficace, in azienda, non è tecnica ma culturale: stabilire esplicitamente che nessuna richiesta urgente ha mai bisogno di essere evasa in meno di un'ora, e che nessuno sarà mai rimproverato per aver verificato.
Separare il professionale dal personale, senza complicarsi la vita
Una parte del problema nasce dalla commistione degli usi. Quando lo stesso telefono riceve gli SMS della banca, quelli dell'asilo e quelli del lavoro, tutto si assomiglia e nulla viene verificato.
Esistono diverse soluzioni semplici, senza dover adottare una pesante politica aziendale:
- Il secondo numero. Un telefono dual SIM, o una eSIM secondaria dedicata al lavoro, permette di compartimentare. Un messaggio professionale che arriva sulla linea personale diventa immediatamente sospetto: è un segnale gratuito e molto affidabile.
- Il profilo professionale. Android offre uno spazio di lavoro separato; iOS consente modalità di concentrazione distinte. Le notifiche professionali smettono di comparire la sera, il che riduce meccanicamente la finestra d'attacco dei messaggi inviati fuori dall'orario lavorativo.
- La rubrica aggiornata. Un elenco contatti completo e rigoroso, con foto se possibile, trasforma un numero sconosciuto in un segnale d'allarme. È la misura meno costosa e la più trascurata.
Per i dipendenti che gestiscono account sensibili — contabilità, buste paga, amministrazione dei sistemi — sostituire il codice ricevuto via SMS con una chiave di sicurezza fisica FIDO2 cambia la natura del rischio: un codice può essere dettato al telefono a un truffatore, una chiave fisica no. È oggi l'unica protezione che resiste allo scenario «il falso supporto informatico vi chiama».
Nello stesso spirito, un gestore di password evita il riutilizzo delle stesse credenziali tra un servizio personale compromesso e un accesso professionale. E sui computer portatili usati in open space, in treno o in coworking, un filtro privacy per schermo impedisce la lettura laterale di quelle stesse informazioni: i truffatori più organizzati raccolgono dati anche offline.
Cosa dice il quadro normativo francese
Tre punti meritano di essere conosciuti da ogni dipendente.
Il cellulare personale non può essere sorvegliato. Se usate il vostro telefono per lavoro, il datore di lavoro non può installarvi strumenti di controllo senza un inquadramento rigoroso e un'informativa preventiva. La CNIL ricorda regolarmente che l'introduzione di dispositivi di sicurezza su apparecchiature personali presuppone trasparenza, proporzionalità e consultazione degli organi di rappresentanza. Un dipendente vittima di smishing non deve dunque temere un esame del proprio telefono privato.
La segnalazione non è una colpa. Molti dipendenti tacciono dopo aver cliccato, per vergogna o per paura di una sanzione. È lo scenario peggiore possibile: il tempo che intercorre tra il clic e la segnalazione è la variabile che determina l'entità dei danni. Un'azienda che sanziona la segnalazione si assicura semplicemente di non essere più informata.
Il rimborso bancario dipende dal canale. Il codice monetario e finanziario prevede il rimborso delle operazioni di pagamento non autorizzate, ma un'operazione che la vittima ha convalidato lei stessa sulla propria app rientra in un altro regime, quello della negligenza grave, valutato caso per caso. La giurisprudenza della Cour de cassation ha più volte ritenuto che la sofisticazione del procedimento — in particolare lo spoofing del numero di telefono della banca — potesse escludere tale negligenza grave. In altre parole: la qualità dell'imitazione gioca a favore della vittima, a condizione di poterla documentare.
Un piano semplice da affiggere in azienda
| Situazione | Riflesso immediato | Da evitare assolutamente |
|---|---|---|
| SMS di un dirigente da un numero sconosciuto | Richiamare al numero dell'elenco interno | Rispondere «sì» o «è lei?» |
| Richiesta di un codice ricevuto via SMS | Riagganciare, nessuna eccezione | Dettare il codice, anche a un «tecnico» |
| Cambio di IBAN annunciato via messaggio | Chiamare il fornitore al numero di una vecchia fattura | Convalidare basandosi solo sul messaggio |
| Link a un portale HR o informatico | Aprire il portale da un preferito già salvato | Cliccare dall'SMS |
| Messaggio già cliccato | Avvisare l'IT entro un'ora, cambiare la password | Aspettare di vedere se ci saranno conseguenze |
Per le realtà prive di un servizio informatico, una guida pratica di cybersicurezza per micro e piccole imprese in formato cartaceo, lasciata nella sala pausa, spesso ottiene più di una circolare interna: fornisce un vocabolario comune e legittima il fatto di porre domande.
Il nocciolo del problema
Lo smishing aziendale non si basa su alcuna prodezza tecnica. Si basa su un'organizzazione del lavoro in cui l'urgenza viene valorizzata, in cui il cellulare personale assorbe flussi professionali e in cui dire «verifico» passa ancora per mancanza di reattività.
Le campagne del 2026 sfruttano questa zona grigia con un'efficacia temibile, perché non attaccano dei sistemi ma delle abitudini. La buona notizia è che le abitudini si cambiano più in fretta di un'infrastruttura: decidere collettivamente che nessuna richiesta finanziaria si tratta via SMS basta a rendere inoffensiva un'intera famiglia di truffe.
E se il messaggio vi ha già messo in dubbio, tenete a mente questa regola: un vero dirigente, un vero fornitore, un vero servizio informatico capiranno sempre che vi siate presi cinque minuti per verificare. Un truffatore, mai.
Risorse utili: segnalazione degli SMS fraudolenti al 33700; piattaforma Cybermalveillance.gouv.fr per la diagnosi e l'assistenza; dispositivo Perceval (service-public.fr) per gli usi fraudolenti della carta bancaria; Info Escroqueries allo 0 805 805 817 (chiamata gratuita).
