Tre settimane dopo aver perso 2.400 € in un falso bonifico bancario, Claire riceve questo SMS:
« Sig.ra MOREAU, la sua pratica n°RF-2026-8841 è stata presa in carico dalla nostra unità di recupero per le vittime di frode bancaria. Importo identificabile: 2.380 €. Richiami il numero 01 84 XX XX XX oppure consulti: recouv-victimes-fr.net »
L'importo è quasi esatto. Il nome è corretto. La parola « pratica » richiama il numero della denuncia che ha effettivamente sporto. E soprattutto: Claire vuole disperatamente credere che quel denaro non sia perduto.
Richiamerà. Pagherà 380 € di « spese di apertura pratica ». Poi 750 € di « cauzione per lo sblocco ». Non rivedrà né i 2.400 € iniziali, né i 1.130 € versati in più.
Questo meccanismo ha un nome nel lessico delle polizie internazionali: la recovery room, ovvero la truffa del recupero fondi. In Francia, l'Autorité des marchés financiers (AMF) mette in guardia da diversi anni contro questo schema, inizialmente nell'ambito degli investimenti fraudolenti. Nel 2026 si è spostato massicciamente sugli SMS e prende di mira ormai tutte le vittime di truffe, non solo gli investitori raggirati.
Perché i truffatori tornano dalle stesse vittime
È il punto più duro da accettare, eppure è centrale: essere stati vittime una volta aumenta statisticamente la probabilità di essere presi di mira di nuovo.
Si combinano tre ragioni.
1. Le liste di vittime circolano. Quando una campagna di smishing va a segno — modulo compilato, carta inserita, telefonata andata a buon fine — l'operatore annota il risultato. Questi archivi, chiamati « sucker lists » nel gergo anglosassone, hanno un valore di mercato superiore a una semplice lista di numeri, perché identificano persone che hanno già fatto il passo. Vengono rivenduti tra gruppi criminali, esattamente come un qualsiasi database commerciale.
2. Il profilo psicologico è noto. Il truffatore non sa soltanto che hai un numero di cellulare: sa quale scenario ha funzionato su di te, quale importo hai accettato di pagare, a che ora rispondi. È targeting comportamentale applicato alla frode.
3. La vittima si trova in uno stato emotivo sfruttabile. Vergogna, rabbia, senso di ingiustizia, bisogno di riparazione. La prospettiva di « recuperare » agisce come una leva molto più potente della paura di una multa o dell'esca di un regalo. Cybermalveillance.gouv.fr e la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) insistono regolarmente su questo punto: le campagne secondarie sfruttano il disagio creato dalla prima.
In altre parole, la prima truffa produce la materia prima della seconda.
Anatomia dell'SMS di falso recupero
Questi messaggi non assomigliano agli SMS sui pacchi o sulle multe. Sono più sobri, più burocratici, spesso più lunghi. Alcuni indizi ricorrenti osservati nel 2026:
| Elemento | Cosa dice l'SMS | Quanto vale davvero |
|---|---|---|
| Numero di pratica | « Pratica n°RF-2026-8841 » | Generato a caso, nessun riscontro |
| Importo | Vicino ma non identico alla somma persa | Stima basata su dati rivenduti o forbice plausibile |
| Ente citato | « unità di recupero », « mediatore », « studio autorizzato » | Nessuna esistenza legale con quel nome |
| Urgenza | « entro 72 h prima della chiusura » | Impedisce di riflettere e verificare |
| Canale di richiamo | Numero con prefisso 01/09 o link web | Call center offshore, sito usa e getta |
Alcuni messaggi si spingono oltre e usurpano nomi reali: Banque de France, AMF, Tracfin, « servizio nazionale antifrode », persino uno studio legale esistente di cui è stato copiato il nome. L'usurpazione d'identità di enti pubblici resta una delle leve più efficaci dello smishing — lo stesso meccanismo dello spoofing del mittente, ma applicato a una promessa di risarcimento anziché a una minaccia.
Le varianti più frequenti
- Il falso avvocato specializzato. Propone un'« azione collettiva » contro la piattaforma fraudolenta, dietro onorario versato in anticipo.
- La falsa autorità di vigilanza. Annuncia che i tuoi fondi sono stati « congelati su un conto vincolato » e che è dovuta una tassa di sblocco.
- Il falso servizio bancario. Sostiene di aver « identificato il beneficiario » del bonifico e chiede le tue credenziali per avviare il richiamo dei fondi.
- Il falso fondo di indennizzo. Evoca un fondo di garanzia europeo e richiede documenti — carta d'identità, coordinate bancarie, fattura — che in realtà alimentano un furto d'identità completo.
- Il falso « cacciatore di cripto ». Afferma di poter tracciare le tue cripto-attività sulla blockchain: servizio tecnicamente plausibile, ma commercialmente fasullo nel 99 % dei casi.
Il segnale che non sbaglia mai: ti chiedono di pagare
Tieni a mente questa frase, riassume tutto l'articolo:
Nessun ente legittimo in Francia ti chiede di pagare, in anticipo e con mezzi non tracciabili, per restituirti del denaro che ti appartiene.
Né la Banque de France, né l'AMF, né la polizia, né la gendarmeria, né la tua banca. Sporgere denuncia è gratuito. Rivolgersi al mediatore bancario è gratuito. La procedura di contestazione di un pagamento presso la tua banca, prevista dal Code monétaire et financier, è gratuita.
Quando compaiono delle spese — « spese di pratica », « tassa di sblocco », « cauzione », « IVA sul recupero », « commissione di successo pagabile in anticipo » —, la domanda non è più è vero? ma come chiudo questa conversazione?
Secondo segnale, altrettanto affidabile: il metodo di pagamento richiesto. Carte regalo (PCS, Transcash, Neosurf), bonifici verso l'estero, cripto-attività, invio di contanti tramite corriere. Sono canali scelti perché irreversibili. Un'organizzazione legittima non funziona mai così.
Cosa fare concretamente quando ricevi il messaggio
1. Non richiamare il numero indicato
Nemmeno per curiosità. Un richiamo conferma che la linea è attiva e che un essere umano risponde — un'informazione che ha valore. I call center che gestiscono queste campagne sono addestrati: hanno uno script per la persona diffidente, un altro per quella arrabbiata, un altro ancora per chi « vuole solo capire ».
2. Verifica attraverso un canale che scegli tu
Il principio cardine di ogni verifica: non usare mai un contatto fornito dal messaggio sospetto. Digita tu stesso l'indirizzo ufficiale, oppure componi il numero riportato sul retro della tua carta bancaria.
- AMF: lista nera pubblica degli operatori non autorizzati, consultabile sul sito ufficiale
- Assurance Banque Épargne Info Service (ABE IS), servizio pubblico comune AMF / ACPR / Banque de France: 34 14 (chiamata non a sovrapprezzo)
- Cybermalveillance.gouv.fr per una diagnosi e un contatto con i professionisti giusti
3. Segnala il messaggio
Il numero 33700 resta il dispositivo nazionale francese per la segnalazione degli SMS fraudolenti: inoltra l'SMS al 33700, poi invia il numero del mittente quando ti viene richiesto. In parallelo, la piattaforma PHAROS (internet-signalement.gouv.fr) raccoglie le segnalazioni di contenuti illeciti online.
4. Documenta tutto
È qui che la maggior parte dei fascicoli si perde. Screenshot, estratti conto, orari: tutto deve essere conservato in modo leggibile e ordinato. Molte vittime mi scrivono allegando una decina di foto sfocate di uno schermo, scattate con un altro telefono. Un semplice raccoglitore ad anelli con buste trasparenti, in cui archiviare le stampe datate, gli estratti conto annotati e la ricevuta della denuncia, spesso serve più di un'ora di ricerche online. Numera i documenti. Datali. Ti serviranno davanti alla banca, all'assicurazione e, se necessario, in tribunale.
5. Blocca, ma senza illusioni
Bloccare il numero è utile, ma le campagne ruotano su migliaia di linee usa e getta. Il blocco protegge da quel numero, non dalla campagna.
Le vere vie di ricorso in Francia
Poiché la truffa sfrutta la scarsa conoscenza delle procedure reali, tanto vale renderle chiare.
Per un pagamento con carta bancaria non autorizzato: hai diritto di contestazione presso la tua banca. L'articolo L133-18 del Code monétaire et financier prevede il rimborso immediato delle operazioni non autorizzate, salvo negligenza grave da parte tua — ed è proprio questo punto a far discutere quando la vittima ha inserito personalmente i propri codici. Il termine per la contestazione è di 13 mesi (70 giorni per alcune operazioni al di fuori dell'Unione europea).
Per un bonifico eseguito da te sotto manipolazione: la situazione è più difficile, ma sta evolvendo. La Banque de France e l'Observatoire de la sécurité des moyens de paiement monitorano da vicino l'aumento delle « truffe per manipolazione », in cui è la vittima stessa a eseguire l'operazione. Chiedi alla tua banca di tentare un richiamo dei fondi (recall) il prima possibile: le prime ore sono decisive.
In caso di rifiuto della banca: ricorso gratuito al mediatore bancario dell'istituto, poi eventualmente all'ABE IS.
Denuncia: al commissariato, presso la gendarmeria, oppure online sulla piattaforma di pre-denuncia. Sporgere denuncia è un diritto; un ufficio non può rifiutarla.
Furto d'identità: se hai trasmesso un documento d'identità, segnalalo, tieni sotto controllo la tua situazione bancaria e ricorda il diritto di accesso previsto dal GDPR per sapere quali dati sono detenuti su di te. Una guida pratica alla protezione dei dati personali scritta per il grande pubblico aiuta a capire quali strumenti esistono davvero, al di là dei consigli generici.
Ridurre la superficie d'attacco dopo una prima frode
Non si può cancellare il proprio numero dalle liste che circolano. Si possono però rendere meno efficaci i tentativi successivi.
Separare gli usi. Molte vittime recidive usano lo stesso numero per tutto: banca, annunci, iscrizioni commerciali, consegne. Una seconda linea — tramite una SIM prepagata senza vincoli — riservata agli annunci e alle iscrizioni non essenziali limita la contaminazione della linea principale.
Blindare il secondo fattore. Se i tuoi codici di verifica arrivano via SMS, sono vulnerabili al dirottamento della linea. Spostare gli account sensibili su un'app di autenticazione, o addirittura su una chiave di sicurezza fisica FIDO2, elimina puramente e semplicemente questo vettore.
Mettere in sicurezza il dispositivo stesso. Dopo una frode, la domanda « il mio telefono è compromesso? » torna sempre. Aggiorna il sistema, rimuovi le app installate al di fuori dello store ufficiale e controlla le autorizzazioni di accessibilità — è da lì che passano i malware Android che leggono gli SMS.
Rallentare volontariamente. La truffa del recupero fondi si basa sull'idea che bisogna agire in fretta. Adotta la regola opposta: nessuna decisione finanziaria nelle 24 ore successive a un messaggio non sollecitato. Un taccuino tascabile, su cui annotare data, ora, contenuto e la tua reazione prima di decidere qualsiasi cosa, trasforma un impulso in un fascicolo.
La dimensione psicologica di cui non si parla mai abbastanza
Bisogna dirlo con franchezza: la vergogna è la migliore alleata dei truffatori. Una vittima che non ne parla con nessuno è una vittima che decide da sola, sotto pressione, con di fronte un professionista della manipolazione.
Le associazioni di assistenza alle vittime — France Victimes e il suo numero nazionale 116 006, gratuito e attivo sette giorni su sette — esistono proprio per questo. Non giudicano, orientano. Parlare con qualcuno prima di pagare qualsiasi cifra resta la misura di protezione più efficace, e la meno tecnica, di tutto questo elenco.
Alcune persone trovano utile anche capire i meccanismi anziché subirli: un libro sulla manipolazione e l'ingegneria sociale spiega come vengono costruiti questi copioni, e leggerlo una volta vaccina a lungo. Si riconosce molto meglio una tecnica quando la si è vista descritta a mente fredda.
Da ricordare
- Ricevere una proposta di recupero fondi dopo una frode non è una fortuna: è il segno che compari in una lista di vittime rivenduta.
- Nessun ente legittimo chiede un pagamento anticipato per restituirti il tuo denaro. Le « spese di pratica » sono la truffa stessa.
- Carte regalo, cripto, bonifico all'estero: tre metodi di pagamento che smascherano la truffa.
- Verifica sempre attraverso un canale scelto da te — mai il numero indicato nel messaggio.
- Segnala al 33700, sporgi denuncia, rivolgiti gratuitamente al mediatore bancario se la tua banca rifiuta.
- Il 116 006 (France Victimes) e il 34 14 (ABE IS) sono gratuiti. I truffatori, no.
Se hai già perso del denaro, la buona notizia è modesta ma reale: i ricorsi esistono, sono gratuiti e passano da istituzioni che puoi contattare tu stesso. Tutto ciò che arriva spontaneamente via SMS con una promessa di restituzione merita, nel 2026, esattamente lo stesso trattamento di un falso SMS su un pacco: la cancellazione.
