Il messaggio arriva una domenica sera, nel momento esatto in cui stavi per avviare un episodio:
«INFO: il tuo abbonamento sarà sospeso il 13/09 a seguito del mancato addebito. Regolarizza il tuo metodo di pagamento: rnwl-conto-serv.co/it»
Nessun errore di ortografia. Nessuna minaccia delle forze dell'ordine. Nessuna cifra astronomica. Solo una seccatura banale, di quelle che capitano davvero: una carta scaduta, un massimale raggiunto, un cambio di banca. L'importo indicato, quando c'è, si aggira sui due euro — a volte 1,90 €, a volte 2,49 €. Niente che faccia scattare la diffidenza.
Ed è esattamente questo il problema. Le truffe via SMS più efficaci del 2026 non chiedono più 749 €: chiedono 1,90 €. E non è quell'1,90 € a interessare al truffatore.
Perché l'abbonamento è diventato il pretesto ideale
Viviamo da abbonati. Streaming video, musica, archiviazione online, antivirus, quotidiani, palestra, cassetta di verdure, piano telefonico, assicurazione dello smartphone, fornitore di energia elettrica, servizio VPN, videogiochi: una famiglia media accumula oggi una decina di addebiti ricorrenti, spesso sottoscritti in date diverse e a volte su carte diverse.
Questo accumulo crea una zona d'ombra perfetta per i truffatori. Poniti la domanda onestamente: sapresti dire, qui e ora, in che data esatta viene addebitato il tuo abbonamento di archiviazione cloud? Su quale carta? Per quale importo?
Quasi nessuno lo sa. Ed è proprio questa incertezza che l'SMS sfrutta. A differenza della truffa del pacco, che presuppone che tu stia effettivamente aspettando una consegna, la truffa dell'abbonamento funziona in ogni momento: c'è sempre qualcosa che potrebbe essere in scadenza.
Le autorità di tutela dei consumatori e gli organismi pubblici dedicati alla cybersicurezza classificano queste campagne nella grande famiglia del phishing. Ma la loro particolarità merita di essere isolata: qui la vittima non viene derubata immediatamente. Viene arruolata.
I tre modelli economici dietro lo stesso SMS
Non tutti i falsi SMS di rinnovo puntano alla stessa cosa. Riconoscere quale hai di fronte cambia ciò che devi fare dopo.
1. La cattura pura dei dati bancari
Lo scenario classico. Il link porta a una pagina che imita il servizio in questione, ti chiede le credenziali, poi il numero completo della carta, la data di scadenza e il codice di sicurezza. Il «pagamento di 1,90 €» fallisce «per motivi tecnici», ti viene chiesto di riprovare con un'altra carta — e il truffatore se ne va con due metodi di pagamento invece di uno.
Da quando l'autenticazione forte si è generalizzata, questi dati da soli non bastano più per un acquisto importante. Da qui la conseguenza logica: qualche giorno dopo, una telefonata che si presenta come il servizio antifrode della tua banca ti chiederà di convalidare un'operazione nella tua app. È la frode per manipolazione, la cui crescita è documentata dagli osservatori sulla sicurezza dei mezzi di pagamento.
2. L'abbonamento nascosto dietro la micro-transazione
Più subdolo. Il pagamento di 1,90 € è reale e va a buon fine. Quello che non hai letto, perché era scritto in grigio chiaro sotto il pulsante di conferma, è che quel pagamento attiva un «accesso illimitato» fatturato da 39 a 59 € al mese, spesso da una società con sede all'estero.
L'addebito non compare subito. Inizia dopo un periodo di prova di sette o quattordici giorni, con una dicitura neutra — «DGTL SRV LTD», «MEDIA ACCESS EU» — che sull'estratto conto non somiglia a nulla di riconoscibile.
3. Il furto dell'account senza passare dal denaro
A volte l'obiettivo non è la carta, ma l'account stesso. Un account di streaming familiare, un account di archiviazione online o un account di gioco rivenduto per pochi euro su mercati paralleli — e soprattutto una password che molti utenti riutilizzano altrove. Se quella password è anche quella della tua casella di posta, la perdita va ben oltre l'abbonamento.
I sei segnali che tradiscono il falso rinnovo
| Segnale | Cosa fa un servizio autentico | Cosa fa l'SMS fraudolento |
|---|---|---|
| Il canale | Avvisa prima via e-mail e nell'app | Contatta solo via SMS |
| Il link | Rimanda al proprio dominio ufficiale | Usa un dominio troncato o esotico (.co, .icu, .top, .cfd) |
| L'urgenza | Lascia diversi giorni, sollecita con garbo | Fissa una scadenza a 24 o 48 ore |
| L'importo | Corrisponde alla tua offerta reale | Annuncia una cifra stranamente bassa |
| La richiesta | Non chiede mai il codice di sicurezza tramite link SMS | Pretende carta completa e CVV |
| L'identificazione | Cita il tuo nome o la tua offerta precisa | Resta vago: «il tuo abbonamento», «il tuo account» |
Il sesto punto è il più discriminante. Un servizio a cui sei realmente abbonato sa quale offerta hai sottoscritto. Un SMS che parla del «tuo abbonamento» senza mai nominare l'offerta, la data né le ultime quattro cifre della tua carta non ti conosce.
Regola semplice: un messaggio che ti chiede di dimostrare la tua identità a un interlocutore che non è in grado di dimostrare la propria è sempre sospetto.
La trappola del nome del mittente
«Ma l'SMS compariva nella stessa conversazione dei messaggi veri del servizio.»
È il punto che disarma le vittime, ed è tecnicamente spiegabile. I messaggi commerciali legittimi usano un mittente alfanumerico — un nome di marca anziché un numero. Questo campo è stato a lungo puramente dichiarativo: nulla impediva materialmente a un mittente di presentarsi con il nome di un marchio che non gli apparteneva.
Sono stati introdotti meccanismi di contrasto a questa usurpazione, con registri dei mittenti autorizzati gestiti dal settore e ancorati ai quadri normativi definiti dalle autorità delle telecomunicazioni. Gli operatori filtrano ormai una parte consistente del traffico che usurpa nomi di marchi registrati. Ma la protezione non è totale: i messaggi instradati dall'estero, i nomi leggermente modificati («NETFLlX» con una L minuscola al posto della I) e le campagne che usano semplici numeri di cellulare passano ancora.
Conclusione pratica: il nome visualizzato in cima allo schermo non è una prova d'identità. Il raggruppamento di un messaggio falso insieme a quelli veri nello stesso filo di conversazione è una conseguenza meccanica della visualizzazione, non una convalida da parte del tuo operatore.
Cosa fare nei primi cinque minuti, se hai cliccato
Il riflesso più utile non è farsi prendere dal panico, ma agire nell'ordine giusto.
- Interrompi ogni contatto con la pagina. Chiudi la scheda, non compilare altro, non «correggere» nulla.
- Blocca la carta o fai opposizione. La maggior parte delle app bancarie permette oggi di bloccare una carta con un solo gesto, in modo reversibile. Fallo subito, ancor prima di telefonare.
- Non rispondere ad alcuna chiamata in entrata che si presenti come la tua banca nei giorni successivi. Riattacca e richiama tu stesso il numero riportato sul retro della carta.
- Cambia la password del servizio coinvolto, e di tutti quelli in cui usavi la stessa. È il momento di constatare quanto una gestione manuale delle password diventi ingestibile: un gestore di password, software o persino un quaderno delle password custodito lontano da occhi indiscreti, evita il riutilizzo che trasforma un incidente in una reazione a catena.
- Segnala il messaggio al servizio nazionale di segnalazione degli SMS indesiderati. Basta inoltrare l'SMS al numero dedicato e poi inviare il numero del mittente quando il servizio lo richiede. È gratuito e alimenta il blocco a monte.
- Sporgi denuncia se c'è stato un addebito, e segnala il caso alle piattaforme pubbliche dedicate alla cybersicurezza o al portale per i contenuti illeciti online.
Sul piano del rimborso, la normativa europea sui servizi di pagamento prevede che la banca rimborsi le operazioni non autorizzate. In pratica la discussione verte sulla nozione di negligenza grave: aver comunicato i propri dati su un sito falso dopo un SMS non sollecitato non è, di per sé, automaticamente qualificato come negligenza grave — la giurisprudenza ha ricordato che l'onere della prova ricade sul prestatore di servizi di pagamento. Conserva quindi tutto: screenshot dell'SMS, indirizzo del sito, data e ora.
Fermare l'emorragia quando l'addebito è già iniziato
Se scopri un addebito ricorrente sconosciuto, la cronologia conta.
- Addebito SEPA: puoi chiederne il rimborso senza dover fornire giustificazioni entro 8 settimane dalla data di addebito, e fino a 13 mesi se non era autorizzato. La richiesta va fatta alla tua banca, non al commerciante.
- Pagamento ricorrente con carta: chiedi prima la disdetta scritta al professionista, poi contesta l'operazione presso la banca. Il semplice blocco della carta non sempre basta, perché alcuni circuiti propagano automaticamente gli abbonamenti sulla carta sostitutiva.
- Addebito sulla fattura dell'operatore: se l'importo compare sulla tua bolletta telefonica (servizi a sovrapprezzo), contatta il servizio clienti del tuo operatore e chiedi il blocco degli acquisti a sovrapprezzo, attivabile in modo permanente.
Prendi l'abitudine di rileggere gli estratti conto. Un semplice quaderno dei conti o un raccoglitore per documenti amministrativi bastano per individuare una dicitura sconosciuta che si ripete — la maggior parte delle vittime scopre l'addebito dopo quattro o sei mesi, solo perché nessuno rilegge le righe sotto i 60 €.
Ridurre la superficie d'attacco prima del prossimo SMS
Non si può impedire a un truffatore di inviare un messaggio. Si può però fare in modo che non gli serva a nulla.
Separare il denaro dagli abbonamenti
La misura più efficace, e la più sottoutilizzata: non registrare mai la tua carta principale presso un servizio in abbonamento. Usa una carta virtuale usa e getta o con massimale, offerta dalla maggior parte delle banche, oppure una carta prepagata ricaricabile dedicata ai pagamenti online. Se i dati vengono sottratti, danno accesso solo a un conto praticamente vuoto.
Tenere un inventario dei tuoi abbonamenti
Cinque minuti, una volta sola. Elenca ogni servizio, la data di addebito, l'importo, il metodo di pagamento. Basta una tabella. Dal momento in cui sai che Spotify cade il 6 e che il tuo spazio cloud cade il 22, un SMS che annuncia una sospensione il 13 diventa immediatamente assurdo.
Proteggere gli account stessi
Attiva l'autenticazione a due fattori ovunque sia possibile, privilegiando un'app di autenticazione anziché l'SMS. Per gli account più sensibili — posta elettronica principale, banca, account della pubblica amministrazione — una chiave di sicurezza fisica in formato USB resta la protezione più robusta contro il phishing, perché semplicemente si rifiuta di autenticarsi su un dominio falso.
Filtrare a monte
Sia su iPhone sia su Android, attiva il filtraggio dei mittenti sconosciuti: i messaggi provenienti da numeri non presenti nei tuoi contatti vengono raggruppati in una scheda separata. Li ricevi comunque, ma senza una notifica che ti colga alla sprovvista alle 22.
Il caso particolare dei falsi SMS sull'energia
Una variante merita una menzione a parte, perché è esplosa con i rincari tariffari degli ultimi anni: l'SMS che annuncia un credito da rimborsare o un conguaglio della bolletta elettrica.
Lo schema è invertito e quindi ancora più efficace: non ti si chiede di pagare, ti si propone di ricevere. «A seguito del conguaglio annuale, ti spetta un rimborso di 187,42 €. Inserisci le tue coordinate bancarie.» Abbassi la guardia perché il denaro va nella direzione giusta.
Nessun fornitore di energia, nessuna amministrazione fiscale, nessun ente previdenziale ti chiederà mai le coordinate bancarie complete via SMS per rimborsarti. I rimborsi avvengono su un IBAN già noto, tramite le aree clienti ufficiali. In caso di dubbio su un messaggio che si presenta come proveniente da un servizio pubblico, la regola è invariabile: chiudi l'SMS e digita tu stesso l'indirizzo del sito ufficiale nel browser.
Cosa ricordare
La truffa del falso rinnovo dell'abbonamento non si basa su alcuna prodezza tecnica. Si basa sul fatto che abbiamo collettivamente accettato di pagare, ogni mese, una decina di piccole somme di cui non seguiamo più il dettaglio. Il truffatore non fa che infilarsi in questo angolo cieco.
Tre frasi bastano a proteggersi in modo duraturo:
- Un abbonamento non si regolarizza mai da un link ricevuto via SMS, ma sempre dall'app o dal sito digitato a mano.
- Un importo irrisorio è un campanello d'allarme, non una garanzia di innocuità.
- Il nome visualizzato come mittente non prova nulla.
E se resta un dubbio, esiste un test infallibile: apri l'app del servizio in questione. Se il tuo abbonamento risulta attivo e in regola, l'SMS mente. Se non segnala alcun problema di pagamento, l'SMS mente. Ciò che succede nel tuo account fa fede; ciò che compare nel filo dei messaggi non conta nulla.
