Il messaggio arriva un martedì alle 11:12:
«Buongiorno Maria, il suo pacco n. FR-4471209 non è stato consegnato in via dei Lillà 14 (edificio B). Scelga una nuova fascia oraria: suivi-relais-colis.net/fr»
Il tuo nome. La tua via. Il tuo edificio. Un numero di tracciamento identico a quelli che ricevi davvero. A questo punto, la domanda che si pone la maggior parte delle persone non è più «è una truffa?» ma «come fanno a saperlo?».
È esattamente lo spostamento che i truffatori volevano ottenere. Per anni, l'SMS truffa sulle consegne è stato una rete gettata a caso: «Il suo pacco è in giacenza», inviato a milioni di numeri, nella speranza statistica che qualcuno stesse effettivamente aspettando qualcosa. Nel 2026 non è più una rete. È un tiro mirato, alimentato da dati personali autentici. E capire da dove arrivano cambia completamente il modo di difendersi.
Il salto: dal messaggio generico al messaggio documentato
Bisogna misurare la distanza. Un SMS generico converte poco — le stime degli operatori della lotta antifrode si aggirano su qualche decimo di punto percentuale di clic. Un SMS che cita il tuo nome e il tuo indirizzo esatto fa schizzare quel tasso, perché cortocircuita l'unico riflesso di difesa che la maggior parte di noi ha imparato: «se il messaggio non mi conosce, è falso».
Questa scorciatoia mentale non è mai stata un criterio affidabile. Oggi lo è ancora meno. La Commission nationale de l'informatique et des libertés (CNIL) registra ogni anno diverse migliaia di notifiche di violazioni di dati personali in Francia, di cui una quota significativa riguarda archivi clienti contenenti nome, indirizzo postale, indirizzo e-mail e numero di cellulare. Questi quattro campi bastano a fabbricare un SMS di consegna credibile.
In altre parole: la personalizzazione non prova nulla. Prova soltanto che qualcuno, da qualche parte, possiede una riga di database che ti riguarda. Il che, statisticamente, è ormai vero per la quasi totalità degli adulti.
Da dove arrivano davvero questi dati? Cinque canali
1. Le violazioni presso commercianti e corrieri
È la fonte più abbondante. Un sito di e-commerce, una piattaforma di biglietteria, una catena di bricolage, un servizio di consegna pasti: ciascuno conserva archivi clienti con esattamente ciò che serve. Quando avviene un'intrusione, questi archivi se ne vanno in blocco.
La specificità di corrieri e commercianti è crudele: i loro dati contengono il contesto di consegna. Non solo il tuo indirizzo, ma anche l'esistenza di un ordine, la sua data, a volte il nome dell'insegna. È ciò che permette all'SMS di menzionare «il suo pacco Decathlon» invece di un vago «il suo pacco».
2. Gli aggregatori e i rivenditori di archivi
Tra la violazione e l'SMS esiste un'industria intermedia. Alcuni attori comprano, incrociano e arricchiscono le basi dati: combinano un file contenente nome + e-mail con un altro contenente e-mail + telefono, e ottengono un record completo. Questo lavoro di riconciliazione spiega perché dati rubati nel 2023 possano produrre un SMS perfettamente aggiornato nel 2026: il tuo indirizzo, con ogni probabilità, non è cambiato.
3. Ciò che pubblichi tu stesso
Un annuncio di vendita con il quartiere indicato, una recensione Google firmata con nome e cognome, un profilo professionale che menziona la tua città, una foto della cassetta delle lettere pubblicata senza pensarci. Presi singolarmente, ogni elemento è innocuo. Assemblati, costituiscono un profilo.
4. Le etichette dei pacchi buttate così come sono
È il canale più sottovalutato e, ironicamente, il più facile da tagliare. Un'etichetta di spedizione riporta nome e cognome, indirizzo esatto, spesso il numero di telefono e un codice a barre contenente il numero di tracciamento. Gettata intatta in un locale rifiuti o in un cassonetto della raccolta differenziata, è leggibile da chiunque.
Un piccolo distruggidocumenti a taglio incrociato posato accanto alla pattumiera risolve la questione in tre secondi per pacco. In mancanza, un semplice pennarello coprente passato sull'etichetta prima di buttarla è più che sufficiente per l'ordinario.
5. Il telemarketing «legale» mal regolato
Non tutti gli archivi sono rubati. Alcuni circolano grazie a consensi ottenuti in condizioni dubbie: caselle pre-spuntate, concorsi a premi, moduli per «preventivo gratuito». Il dato viene poi ceduto a partner, e quindi a partner dei partner. Alla quinta rivendita, nessuno controlla più chi lo sfrutta.
Che cosa chiede davvero l'SMS (e perché raramente si tratta di 1,50 €)
Lo scenario più diffuso reclama una somma irrisoria: 1,49 €, 2,30 €, «spese di rispedizione». Quell'importo non è l'obiettivo. Serve a tre cose:
- Ottenere un numero di carta di credito completo, con data di scadenza e codice di sicurezza.
- Verificare che la carta sia attiva, grazie a una micro-transazione che passa senza destare sospetti.
- Innescare il seguito, cioè la telefonata di un finto consulente bancario che, qualche giorno dopo, ti chiederà di «bloccare un'operazione sospetta».
La Banque de France, nei suoi lavori sulla frode dei mezzi di pagamento, sottolinea da diversi esercizi la crescita delle truffe cosiddette «per manipolazione» — quelle in cui è la vittima stessa a effettuare l'operazione, convinta di agire per proteggersi. L'SMS di consegna è spesso solo il primo mattone di questo edificio.
Una variante più recente non chiede alcun pagamento: propone di «riprogrammare la consegna» tramite un'applicazione da installare. L'applicazione è un software malevolo che legge gli SMS in arrivo — quindi i codici di conferma bancaria. Nessuna carta inserita, nessun pagamento visibile, eppure il conto si svuota.
I sei segnali che tradiscono il falso, anche quando è ben documentato
| Segnale | Che cosa guardare |
|---|---|
| Il dominio del link | Il vero corriere usa il proprio dominio. laposte.fr, non laposte-suivi-fr.co né lapostefr.info |
| La richiesta di pagamento | Nessun corriere chiede spese via SMS per una seconda consegna |
| L'urgenza quantificata | «Entro 24 h», «ultimo avviso prima del reso»: la pressione temporale è un marcatore |
| Il canale di risposta | Un vero tracciamento si verifica nell'app o sul sito, mai tramite il link ricevuto |
| L'ortografia dell'indirizzo | I dati rivenduti sono spesso leggermente degradati: accenti mancanti, abbreviazioni strane |
| Il mittente | Numero di cellulare per una notifica automatizzata: anomalia |
Quest'ultimo punto merita una sfumatura importante: nemmeno l'assenza di anomalie prova qualcosa. Le tecniche di spoofing del mittente permettono di visualizzare un nome di marca credibile. L'unico test davvero affidabile resta questo: non partire mai dal messaggio, ripartire sempre dalla fonte. Sei tu ad aprire l'app del corriere, o a digitare tu stesso l'indirizzo del sito nel browser.
Verificare se i tuoi dati circolano già
Non potrai recuperare ciò che è trapelato, ma puoi sapere quanto sei esposto — e quindi calibrare la tua vigilanza.
I servizi di verifica delle violazioni. Strumenti indipendenti permettono di inserire un indirizzo e-mail e ottenere l'elenco delle fughe note che lo contengono. Alcuni accettano anche il numero di telefono. Se il tuo indirizzo compare in cinque incidenti, dai per scontato che anche il tuo nome e il tuo indirizzo postale circolino.
Gli avvisi della tua banca. Attiva le notifiche per qualsiasi operazione, compresi gli importi inferiori a 5 €. La maggior parte degli istituti lo offre gratuitamente nelle impostazioni dell'app. È il miglior rilevatore di micro-transazioni di prova.
Il diritto di accesso previsto dal GDPR. Puoi scrivere a qualsiasi azienda per chiedere quali dati detiene su di te, da dove li ha ottenuti e a chi li ha trasmessi. La risposta è dovuta entro un mese. La CNIL mette a disposizione modelli di lettera sul suo sito. Questo esercizio, noioso, ha un effetto collaterale utile: permette di far cancellare la tua scheda presso soggetti di cui avevi dimenticato l'esistenza.
I registri di opposizione al telemarketing. L'iscrizione alla lista di opposizione alle chiamate commerciali non ferma i truffatori — ignorano la legge per definizione — ma riduce il rumore di fondo legale e rende i messaggi sospetti più visibili.
Ridurre la superficie di esposizione, concretamente
Non esiste un pulsante «cancella i miei dati da internet». Esiste però una serie di gesti che, sommati, diminuiscono realmente la quantità di informazioni disponibili su di te.
Compartimentare le identità. Usa un indirizzo e-mail dedicato agli acquisti online, distinto da quello principale. Diversi fornitori propongono alias usa e getta: se un alias comincia a ricevere spam, sai esattamente quale commerciante ha lasciato trapelare la tua scheda.
Valutare un secondo numero. Una SIM prepagata dedicata a iscrizioni, consegne e annunci isola il tuo numero principale. Il giorno in cui quel numero secondario viene sommerso da SMS fraudolenti, lo sostituisci senza perdere contatti né account.
Limitare i dati forniti. Al momento dell'ordine, il campo «informazioni aggiuntive sull'indirizzo» non ha bisogno di contenere «3° piano, porta a sinistra, codice 4512B». Il numero di telefono è talvolta facoltativo: quando lo è, lascialo vuoto.
Preferire i punti di ritiro quando è possibile. Il tuo indirizzo personale non circola così nella catena logistica.
Distruggere i supporti fisici. Etichette, bolle di consegna, estratti conto, lettere assicurative. Un distruggidocumenti a taglio incrociato non è un gadget: è l'unico strumento che affronta la parte offline del problema.
Filtrare a livello di telefono. I sistemi mobili recenti sanno smistare i mittenti sconosciuti in una scheda separata e segnalare i messaggi sospetti. Sia su Android sia su iOS, questa opzione esiste nelle impostazioni dell'app Messaggi. Non blocca tutto, ma spezza l'effetto sorpresa.
Se hai cliccato: la sequenza dei primi trenta minuti
Cliccare non è fatale. Inserire i propri dati lo è molto di più. Ecco l'ordine delle priorità.
- Non usare più il sito aperto. Chiudi la scheda. Non «correggere» un dato inserito, non tentare di «disiscriverti».
- Se hai inserito dati bancari, chiama subito il numero per il blocco riportato sul retro della carta o nella tua app bancaria — mai un numero ricevuto via messaggio. Fai bloccare la carta.
- Se hai installato un'applicazione, disattiva dati mobili e Wi-Fi, poi disinstallala. In caso di dubbio su un'infezione persistente, il ripristino alle impostazioni di fabbrica resta la soluzione più sicura.
- Cambia le password degli account le cui credenziali possono essere transitate, a partire dalla posta elettronica. Un gestore di password evita di riutilizzare la stessa combinazione ovunque e accelera notevolmente questo passaggio.
- Segnala il messaggio al 33700, il dispositivo nazionale francese di segnalazione degli SMS indesiderati, inoltrando il testo e poi il numero del mittente. È gratuito e alimenta il lavoro di blocco degli operatori.
- Segnala l'incidente su Cybermalveillance.gouv.fr e, in caso di danno economico, sporgi denuncia. La pre-denuncia online esiste per le truffe senza autore identificato.
- Controlla i tuoi estratti conto per diversi mesi. I dati rubati vengono a volte sfruttati con settimane di ritardo.
Da ricordare: in materia di frode via SMS, il diritto francese è dalla parte della vittima. L'articolo L.133-18 del Code monétaire et financier impone alla banca di rimborsare un'operazione di pagamento non autorizzata, salvo negligenza grave del cliente. Il dibattito verte proprio su questa nozione di negligenza — da cui l'importanza di conservare le prove: screenshot dell'SMS, marcatura temporale, scambi con la banca.
Che cosa cambia con l'IA — e che cosa non cambia
Le redazioni specializzate hanno documentato nel 2026 campagne che utilizzano immagini generate dall'intelligenza artificiale: la finta foto del pacco «lasciato davanti alla tua porta», adattata al tipo di abitazione. L'errore di ortografia come indizio di frode appartiene al passato, e l'immagine non fa più fede.
Ciò che invece non cambia è la struttura della truffa. Ha sempre bisogno di tre cose: che tu clicchi su un link fornito da lei, che tu inserisca qualcosa di valore e che tu lo faccia in fretta. Elimina una delle tre e l'attacco fallisce, qualunque sia il suo grado di sofisticazione.
Ecco perché le regole solide non riguardano l'aspetto del messaggio — che diventerà perfetto — ma il percorso seguito. Ripartire dalla fonte. Verificare nell'app. Richiamare un numero che sei andato a cercare da solo. Questi riflessi funzionano sia di fronte a un SMS pieno di errori sia davanti a un messaggio impeccabile che cita il tuo indirizzo con il numero civico esatto.
Una guida divulgativa sulla cybersicurezza domestica, lasciata su una mensola e sfogliata in famiglia, vale spesso più di un allarme letto di sfuggita: sono le abitudini condivise, non le conoscenze individuali, a proteggere una casa.
Per approfondire
- Cybermalveillance.gouv.fr: schede pratiche sul phishing e segnalazione degli incidenti.
- CNIL: modelli di lettera per esercitare i diritti di accesso, rettifica e cancellazione.
- 33700: segnalazione gratuita di SMS e chiamate indesiderate, gestita con gli operatori francesi.
- Banque de France / Observatoire de la sécurité des moyens de paiement: rapporti annuali sulla frode, utili per comprendere le tendenze.
- Signal Conso (DGCCRF): per segnalare un commerciante o una pratica commerciale dubbia.
L'SMS che conosce il tuo nome non è il segno che sei stato preso di mira personalmente. È il segno che i tuoi recapiti figurano in un archivio tra milioni di altri. La buona notizia, se così si può dire, è che questa banalità ti riguarda esattamente come riguarda i tuoi vicini — e che i gesti di protezione, invece, restano alla portata di tutti.
