«Ciao, è per la colletta di Sofia dell'ufficio contabilità, venerdì è il suo ultimo giorno. Mancano solo 200 € sui 600. La tua quota: 15 € → cagnotte-solidaire-participation.fr»
Karim lavora davvero con una Sofia. La cifra è irrisoria. Il tono è quello di un collega di fretta. Clicca, inserisce i dati della carta, conferma. Due giorni dopo, un addebito di 349 € parte verso un fornitore estero, poi un altro di 349 € il mese successivo.
Non c'era nessuna colletta. C'erano un numero di cellulare noleggiato per due ore, un messaggio inviato a quattromila persone e un modulo di pagamento ricorrente camuffato da contributo una tantum.
La truffa della donazione non è una novità: esisteva già con le finte questue per strada. Ciò che è cambiato nel 2026 è che ora passa attraverso il canale più intimo e più credibile che esista: il vostro elenco di SMS.
Perché la generosità è una falla di sicurezza
Tutte le campagne di smishing sfruttano un'emozione. Il finto pacco gioca sull'attesa, il finto consulente bancario sulla paura, la falsa multa sul senso di colpa. Il finto appello alle donazioni, invece, fa leva su qualcosa di molto più difficile da neutralizzare: il desiderio di fare del bene e l'imbarazzo di dire di no.
Tre meccanismi si sovrappongono.
1. L'importo è volutamente minuscolo. 10 €, 15 €, 20 €. Al di sotto della soglia oltre la quale ci si prende il tempo di verificare. È il principio stesso della truffa: non è la somma indicata a essere rubata, è il numero della carta a essere catturato — e talvolta l'autorizzazione all'addebito ricorrente infilata in caratteri sbiaditi sotto il pulsante di conferma.
2. Il rifiuto ha un costo sociale. Davanti a un finto messaggio della banca, dire no non costa nulla. Davanti alla «raccolta per il funerale del figlio di Marta», esitare dà l'impressione di essere tirchi. I truffatori lo sanno e calibrano i loro testi perché la verifica sembri un atto di scortesia.
3. L'urgenza è plausibile. Una colletta ha una data di chiusura naturale. Una raccolta dopo una catastrofe ha un'utilità immediata. A differenza di «il suo conto sarà sospeso entro 24 ore», il conto alla rovescia non suona falso.
Un appello alla donazione legittimo non vi rimprovererà mai di prendervi ventiquattro ore per verificare. Un truffatore sì.
I quattro scenari dominanti nel 2026
La colletta tra colleghi o tra genitori di alunni
È il formato più efficace, perché è microtargettizzato. I truffatori recuperano elenchi provenienti da fughe di dati: rubriche interne aziendali, mailing list di associazioni sportive, gruppi di genitori. Basta un nome credibile per far crollare la vigilanza. Nessun logo, nessun marchio: solo un tono confidenziale.
Segnale tipico: il messaggio non dice mai chi scrive. «È per la colletta di…» senza firma. Un collega vi direbbe il proprio nome.
Il finto appello alle donazioni di una grande associazione
Croce Rossa, Restos du Cœur, Secours populaire, Fondation pour la recherche médicale, ENPA: tutti questi marchi vengono imitati, generalmente pochi giorni dopo un evento mediatico — tempesta, incendio, crisi umanitaria. Il mittente alfanumerico può mostrare il nome di un'associazione, dato che questo campo non è autenticato end-to-end e resta falsificabile.
Il Comité de la Charte / Don en Confiance certifica in Francia le organizzazioni che accettano un controllo esterno sulle proprie pratiche di raccolta fondi. Verificare che un'associazione figuri nell'elenco pubblicato sul sito di Don en Confiance richiede trenta secondi ed elimina la stragrande maggioranza dei falsi.
L'SMS di «solidarietà locale»
«Raccolta per le famiglie colpite del comune, contributo libero». Questo formato prolifera dopo un'alluvione o un incendio locale. È temibile perché il destinatario conosce l'evento: ha visto le immagini, sa che è vero. Non gli viene in mente che a essere falso sia soltanto l'appello alla donazione.
Un comune, una prefettura o un servizio sociale comunale non organizza raccolte di donazioni via SMS con pagamento tramite carta su un sito sconosciuto. Le raccolte vere passano dal municipio, da un'associazione identificata o da una piattaforma ufficiale annunciata sul sito del comune.
La donazione «a nome di una persona cara»
La variante più crudele: un messaggio che evoca una malattia, un ricovero o un lutto nella vostra cerchia, talvolta alimentato da informazioni realmente pubblicate sui social. Il link rimanda a una pagina di raccolta fondi che imita l'interfaccia di una piattaforma nota.
Come distinguere una raccolta vera da una falsa
Le piattaforme legittime di raccolte fondi (Leetchi, Le Pot Commun, HelloAsso per il settore associativo, o le pagine di donazione ospitate dalle associazioni stesse) condividono caratteristiche che le copie riproducono male.
| Elemento | Raccolta legittima | Raccolta falsa |
|---|---|---|
| Dominio del link | Dominio della piattaforma, senza parole aggiunte | Nome della piattaforma + trattini + parole («-participation», «-solidaire», «-fr») |
| Organizzatore | Identità visibile, spesso con foto e storico | Solo un nome di battesimo o anonimo |
| Importo | Libero, inserito dal donatore | Importo imposto, pulsante unico |
| Metodi di pagamento | Carta + a volte bonifico, tramite fornitore noto | Solo carta, modulo grezzo |
| Ricevuta fiscale | Prevista se l'ente ne dà diritto | Assente o «inviata più tardi» |
| Condizioni | Termini d'uso accessibili, note legali complete | Link morti o pagine vuote |
Il test più affidabile resta il più semplice: non passare mai dal link dell'SMS. Aprite il browser, digitate voi stessi il nome della piattaforma o dell'associazione e cercate la raccolta dal loro motore interno. Una raccolta pubblica vera è rintracciabile; una falsa esiste solo nel messaggio.
Su un computer portatile, passare il puntatore su un link per leggere l'indirizzo reale è immediato. Su smartphone è il contrario: l'URL è troncato, il dito è più veloce dell'occhio. È una delle ragioni per cui lo smishing rende più del phishing via e-mail. Un supporto per telefono appoggiato sulla scrivania, che vi obbliga a leggere lo schermo a distanza invece di scorrere meccanicamente, cambia più abitudini di quanto si immagini.
Le tre trappole di pagamento da conoscere
L'addebito ricorrente camuffato
È il cuore del modello economico. Credete di pagare 15 € una volta sola; in realtà autorizzate un abbonamento. La nota legale esiste — è scritta in grigio chiaro, in corpo 8, sotto il pulsante. Giuridicamente permette all'operatore di difendersi; in pratica nessuno la legge.
Riflesso da acquisire: prima di ogni conferma, cercate le parole «mensile», «ricorrente», «rinnovo», «fino a disdetta». Se compaiono da qualche parte, non si tratta di una donazione una tantum.
Il pagamento con carta regalo o criptovaluta
Nessuna associazione registrata chiederà mai una donazione sotto forma di carte prepagate, di buoni Neosurf/PCS o di trasferimento in criptovaluta. È il marcatore più netto che esista: appena compare, il caso è chiuso, si tratta di una truffa.
Il bonifico istantaneo
Da quando il bonifico istantaneo si è diffuso, i truffatori spingono questo metodo di pagamento perché è irrevocabile nella pratica. Un pagamento con carta lascia una possibilità di contestazione; un bonifico istantaneo verso un conto estero quasi nessuna. Se un interlocutore insiste per un bonifico invece della carta, non è mai per la vostra comodità.
Cosa potete fare in due minuti prima di donare
- Identificate il mittente reale. Se è una persona che conoscete, chiamatela al numero che avete già in rubrica — mai quello dell'SMS. Bastano trenta secondi.
- Verificate l'associazione. Consultate il sito ufficiale, il registro pubblico delle associazioni o l'elenco Don en Confiance. Un'associazione riconosciuta di pubblica utilità è facilmente verificabile.
- Guardate il dominio con la lente d'ingrandimento. I domini falsi sono quasi sempre recenti. Un nome di dominio creato tre giorni fa per una «raccolta nazionale» non ha alcun senso.
- Cercate la ricevuta fiscale. Una donazione a un ente di interesse generale dà diritto a una detrazione d'imposta (66 % dell'importo entro il limite del 20 % del reddito imponibile, 75 % per gli enti di aiuto alle persone in difficoltà, secondo le regole ricordate dalla Direction générale des finances publiques). Un ente legittimo lo menziona. Un truffatore lo evita.
- Pagate da una fonte che avete scelto voi, non da un link che vi è stato inviato.
Per chi dona regolarmente, tenere una traccia scritta fa la differenza sia al momento della dichiarazione dei redditi sia in caso di contenzioso: un quaderno delle spese personali o un semplice raccoglitore con separatori in cui archiviare ricevute e conferme permette di individuare subito un addebito che non corrisponde ad alcuna donazione autorizzata.
Se il pagamento è già partito
Il tempo è l'unico fattore che conta.
Subito:
- Chiamate la vostra banca e chiedete il blocco della carta. Usate il numero riportato sul retro della carta o nell'app bancaria, mai un numero ricevuto via messaggio.
- Chiedete esplicitamente il blocco di ogni mandato di addebito ricorrente collegato all'operazione. Il blocco della carta non basta sempre a fermare un abbonamento già autorizzato.
- Conservate l'SMS: non cancellatelo. Fatene uno screenshot, con il numero del mittente e la data ben visibili.
Entro 24-48 ore:
- Contestate l'operazione. La normativa sui servizi di pagamento prevede il diritto al rimborso delle operazioni non autorizzate; la Banque de France e la Fédération bancaire française ricordano regolarmente che il termine di contestazione è di 13 mesi per un'operazione all'interno dello Spazio economico europeo. Prima si agisce, più solido è il dossier.
- Segnalate il messaggio al 33700, il numero nazionale francese di segnalazione degli SMS fraudolenti: inoltrate l'SMS al 33700, poi inviate il numero del mittente quando vi viene richiesto.
- Inviate una segnalazione su cybermalveillance.gouv.fr, che indirizza verso le procedure adeguate, e sulla piattaforma PHAROS (internet-signalement.gouv.fr) per i contenuti online.
- Sporgete denuncia: commissariato, gendarmeria o denuncia online tramite il servizio THESEE, dedicato alle truffe digitali.
Nelle settimane successive:
Controllate gli estratti conto per almeno tre mesi. Gli addebiti fraudolenti iniziano spesso con uno scarto volontario, perché la vittima non colleghi i fatti. Un quaderno di monitoraggio delle spese tenuto a mano, appoggiato vicino alla posta, resta per molti più efficace di un'app aperta una volta a trimestre.
Aspettatevi anche di ricevere, qualche settimana più tardi, un messaggio che propone di «recuperare i fondi perduti». È il secondo stadio del razzo, e prende di mira specificamente le vittime già identificate.
Proteggere le persone più esposte
Le campagne di false donazioni colpiscono in via prioritaria due profili: le persone anziane, statisticamente più generose e più spesso già donatrici, e le persone attive in reti associative, i cui contatti circolano di più.
Alcune misure concrete, senza trattare nessuno da bambino:
- Concordare una regola familiare semplice: nessuna donazione via SMS, mai, qualunque sia la causa. Le donazioni avvengono attraverso un canale scelto in anticipo (addebito annuale, assegno, sito ufficiale).
- Impostare un massimale sulla carta di pagamento usata ogni giorno. La maggior parte delle banche permette di abbassare il limite online in tre clic.
- Attivare il filtro dei mittenti sconosciuti sul telefono, disponibile sia su iOS sia su Android: i messaggi di mittenti non registrati finiscono in una scheda separata, il che spezza l'automatismo del clic.
- Documentare gli impegni reali. Un elenco scritto delle associazioni realmente sostenute, conservato in una cartella portadocumenti a scomparti insieme alle ricevute fiscali, permette di rispondere in un secondo alla domanda «dono a questo ente?».
Per i familiari che preferiscono il supporto cartaceo, una guida pratica sulle truffe digitali, sfogliata con calma, funziona spesso meglio di una dimostrazione sullo schermo. La lettura lascia il tempo di assimilare; la dimostrazione mette nella posizione dell'allievo.
L'essenziale da ricordare
La generosità non è una debolezza, e diffidare di un SMS non rende nessuno meno solidale. Le associazioni serie raccolgono fondi in larghissima maggioranza per posta, con addebito automatico, dal proprio sito o durante campagne chiaramente identificate — non con un messaggino anonimo contenente un link da cliccare entro un minuto.
Tre frasi bastano a riassumere la difesa:
- Una donazione non parte mai da un link ricevuto via SMS.
- Un importo imposto e un pagamento irreversibile sono due segnali d'allarme, non dettagli.
- Verificare prima di donare non offende nessuno — e richiede meno tempo che contestare un addebito.
Se un messaggio vi mette a disagio senza che sappiate dire perché, quel disagio è spesso l'informazione più affidabile del messaggio. Inoltratelo al 33700, cancellatelo e donate in un altro modo.
