«Papà, ho fatto una stupidaggine.»
Théo ha 14 anni. Ha ricevuto un SMS che gli annunciava di essere stato estratto a sorte per ricevere 5.000 unità di valuta virtuale sul suo gioco preferito. Un link, un modulo, il suo nome utente, la sua password, poi un codice a sei cifre ricevuto via SMS che gli veniva chiesto di «confermare». Quaranta minuti dopo, il suo account — tre anni di progressi e 400 € di acquisti accumulati — veniva rivenduto su un forum. E poiché usava la stessa password per il suo indirizzo e-mail, il truffatore ha proseguito la scalata.
I suoi genitori hanno scoperto la vicenda perché alla fine ne ha parlato. Molti adolescenti non lo fanno. È proprio su questo silenzio che si regge la maggior parte delle truffe che li prendono di mira.
Perché gli adolescenti sono un bersaglio a sé
Si immagina spesso che i ragazzi, «nati con un telefono in mano», siano naturalmente immuni. L'analisi delle segnalazioni sulla piattaforma 33700 e dei casi trattati da Cybermalveillance.gouv.fr racconta l'opposto: la loro disinvoltura tecnica non li protegge, li espone in modo diverso.
Entrano in gioco quattro fattori.
La velocità di risposta. Un adulto lascia lì un SMS sospetto per un'ora. Un adolescente risponde in meno di due minuti, spesso senza nemmeno uscire dall'app che stava usando. Il tempo di riflessione, che è la miglior difesa contro lo smishing, sparisce.
Il valore reale degli account di gioco. Un account Fortnite, Roblox o Steam ben fornito si rivende tra i 50 e diverse centinaia di euro su mercati paralleli. Al truffatore non serve una carta di credito: l'account è la merce.
La vergogna. È la leva decisiva. Un adolescente caduto in una truffa con foto intime, o che ha perso l'account pagato dai genitori, calcola prima di tutto il rischio di vedersi sequestrare il telefono. Paga, tratta, tace.
Una scarsa esposizione alle campagne di prevenzione. I messaggi istituzionali sulle truffe bancarie o sui falsi SMS del fisco non li riguardano. Nessuno ha spiegato loro che aspetto ha uno smishing calibrato su di loro.
I sei scenari più ricorrenti
1. Il falso regalo di valuta virtuale
Il grande classico. «Congratulazioni, il tuo account è stato selezionato», «generatore gratuito», «codice creator in regalo». Il link porta a una copia molto ben fatta della pagina di accesso ufficiale. La vittima inserisce le proprie credenziali; il sito chiede poi il codice di verifica monouso ricevuto via SMS, che servirebbe a «convalidare la consegna». In realtà è il codice di autenticazione a due fattori che il sito ufficiale ha appena inviato perché il truffatore sta effettuando l'accesso.
Il segnale da ricordare: nessun editore di videogiochi regala valuta virtuale via SMS, e nessuno chiede mai un codice ricevuto via SMS su un sito diverso dal proprio.
2. Il finto lavoretto
«Buongiorno, cerchiamo profili per testare applicazioni, 40 € a incarico, 15 minuti al giorno.» Queste campagne colpiscono in primo luogo i 16-22 anni, spesso durante le vacanze scolastiche. Due varianti:
- Il task scam: le prime «missioni» fruttano davvero 5 o 10 €, versati rapidamente. Poi viene chiesto un deposito per «sbloccare le attività premium». Quei soldi non tornano mai indietro.
- Il riciclaggio tramite mula bancaria: si propone al ragazzo di ricevere un bonifico sul proprio conto, trattenerne il 10% e rispedire il resto in contanti o in criptovaluta. È riciclaggio di denaro. Il minore o il giovane maggiorenne è giuridicamente responsabile e rischia un'interdizione bancaria, un procedimento penale e la chiusura del conto. La Fédération bancaire française lancia regolarmente l'allarme su questa deriva presso gli istituti superiori.
3. La sestorsione
Lo scenario è brutale. Un contatto cordiale su un social network, un rapido passaggio agli SMS o a una chat, uno scambio di immagini, poi il ricatto: «mandami 200 € in carte regalo o diffondo tutto alla tua lista di contatti». I truffatori mostrano a volte screenshot della lista di amici per dimostrare la loro capacità di nuocere.
La regola assoluta, ribadita dall'associazione e-Enfance e dal suo numero 3018: non pagare mai, non cancellare nulla, documentare tutto con screenshot e parlare con un adulto. Pagare non fa che aprire un secondo ciclo di richieste. Il 3018 dispone di una procedura di segnalazione accelerata presso le piattaforme per ottenere la rapida rimozione dei contenuti.
4. L'account di messaggistica violato
«Ciao sono io, partecipo a un concorso, puoi votare per me?» Il messaggio arriva davvero dall'account di un amico, perché quell'amico è stato ingannato prima. Il link ruba le credenziali e il ciclo ricomincia con la sua lista di contatti. È il meccanismo di propagazione più efficace: la fiducia è preinstallata.
5. Il falso abbonamento streaming o la finta multa della piattaforma
Più raro ma in aumento: «Il tuo abbonamento è stato sospeso, regolarizza 1,99 €». La cifra irrisoria disinnesca la diffidenza. L'obiettivo non sono gli 1,99 €, è il numero della carta di credito — spesso quella di un genitore, salvata sul telefono.
6. L'SMS «ho sbagliato numero»
Un messaggio innocuo, una conversazione che prosegue per giorni, poi una proposta di investimento in criptovalute. Questo scenario, noto come pig butchering, all'inizio prendeva di mira solo gli adulti. Oggi scende verso i 17-20 anni, con promesse di rendimento adattate a piccoli importi.
Da dove prendono i truffatori il numero di un ragazzino delle medie?
La domanda torna sistematicamente tra i genitori. Le fonti sono banali.
| Origine | Meccanismo |
|---|---|
| Fughe di dati da piattaforme di gioco o app | Numeri rivenduti a lotti su forum |
| Iscrizioni a concorsi, quiz, «test della personalità» | Consenso annegato nelle condizioni generali |
| Liste di distribuzione rivendute | Acquisto in blocco presso broker di dati |
| Numerazione casuale | Generazione automatica di intervalli di numeri mobili francesi |
| Contatti recuperati da un account violato | La rubrica di un compagno di classe |
In altre parole: ricevere un SMS fraudolento non significa che l'adolescente abbia «fatto una stupidaggine». È un punto importante da dire in casa, perché il senso di colpa anticipato è esattamente ciò che impedisce di venire a parlarne.
Ciò che protegge davvero, in ordine di efficacia
L'autenticazione a due fattori tramite app, non via SMS
È la misura più redditizia. Sugli account di gioco, sui social network e sull'indirizzo e-mail, attivare un'autenticazione a due fattori tramite un'app dedicata (Google Authenticator, Authy, o l'app della piattaforma) anziché via SMS. Un codice inviato via SMS può essere estorto con l'ingegneria sociale o tramite scambio di SIM; un codice generato localmente, molto più difficilmente.
Per gli account più sensibili di un giovane maggiorenne — casella di posta principale, banca — una chiave di sicurezza fisica di tipo FIDO2 rende il phishing praticamente inefficace: la chiave rifiuta di autenticarsi su un dominio falso, anche se l'utente, lui, ci crede.
Password che non si riciclano
Il vero danno nella storia di Théo non è la perdita dell'account di gioco: è la password riutilizzata sull'indirizzo e-mail. Installare un gestore di password sul telefono dell'adolescente, e configurarlo insieme, richiede venti minuti ed elimina un'intera categoria di rischi. La CNIL e l'ANSSI raccomandano entrambe questo approccio nelle loro guide per il grande pubblico.
Il filtraggio nativo del telefono
Android e iOS sanno ormai classificare i mittenti sconosciuti e segnalare i messaggi sospetti — Google ha del resto esteso nel 2026 il suo rilevamento delle truffe via SMS al mercato francese. Su iPhone: Impostazioni → Messaggi → Filtra mittenti sconosciuti. Su Android Messaggi: la protezione antispam nelle impostazioni. Non è infallibile, ma toglie dalla vista gran parte del rumore di fondo.
Il riflesso 33700
Inoltrare gratuitamente l'SMS sospetto al 33700 (servizio ufficiale di segnalazione degli spam via SMS, gestito dall'Association française du multimédia mobile insieme agli operatori). Il servizio risponde chiedendo il numero del mittente, che basta reinviare. Fare l'operazione una volta insieme al proprio figlio vale più di qualsiasi discorso: trasforma un messaggio ansiogeno in un gesto concreto.
Per i contenuti che coinvolgono un minore: 3018 (e-Enfance, gratuito, 7 giorni su 7) e la piattaforma PHAROS del ministero dell'Interno francese per i contenuti illeciti.
Gli strumenti, quando hanno senso
Alcuni dispositivi cambiano le carte in tavola senza trasformare la casa in una centrale di controllo. Un router con parental control integrato permette di impostare fasce orarie e un filtraggio DNS per tutta la casa, senza app spia sul telefono del figlio. Per i più piccoli, un telefono cellulare semplificato senza browser internet resta una transizione ragionevole prima dello smartphone completo. E per le famiglie che vogliono affrontare il tema in modo diverso da un elenco di divieti, un libro di prevenzione sugli usi digitali degli adolescenti apre spesso conversazioni che le raccomandazioni orali non innescano.
Come parlarne senza provocare il silenzio
È la parte più difficile, e la più determinante.
Enunciare la regola prima dell'incidente. La frase da pronunciare, con calma, una volta: «qualunque cosa succeda, se ti fregano, non perderai il telefono perché sei venuto a parlarmene». Questa garanzia esplicita è ciò che fa la differenza tra una vittima che parla dopo un'ora e una vittima che paga per tre settimane.
Raccontare casi, non regole. «Non cliccare sui link» non produce nulla. «Un ragazzo della tua classe ha perso l'account perché ha dato il codice a sei cifre ricevuto via SMS» produce un riflesso.
Dare un criterio unico e memorizzabile. Quello che funziona meglio: un codice ricevuto via SMS non si dà mai, a nessuno, mai, nemmeno a chi dice di essere l'assistenza ufficiale. Un solo criterio ben radicato vale più di dieci consigli dimenticati.
Non monopolizzare la verifica. Insegnare all'adolescente ad aprire da solo l'app ufficiale invece di cliccare sul link. È una competenza, non una sorveglianza.
Cosa fare nell'ora successiva a una trappola
Tre azioni nell'ordine, senza discutere: interrompere l'accesso, documentare, segnalare.
- Cambiare la password dell'account coinvolto — e di tutti gli account che condividevano la stessa password. Da un altro dispositivo, se possibile.
- Disconnettere tutte le sessioni attive nelle impostazioni di sicurezza dell'account.
- Catturare con screenshot gli scambi, il numero del mittente, l'URL del link, prima di qualsiasi cancellazione. Sono gli elementi di una futura denuncia.
- Avvisare la banca immediatamente se sono circolate coordinate bancarie: bloccare la carta e chiedere il blocco delle operazioni. Il diritto al rimborso per operazione non autorizzata è previsto dal codice monetario e finanziario francese (articoli L133-18 e seguenti) — ma bisogna segnalare in fretta.
- Segnalare: 33700 per l'SMS, 3018 se è coinvolto un minore, PHAROS per i contenuti illeciti, e presentare denuncia al commissariato o tramite la pre-denuncia online.
- Avvisare i contatti se l'account serviva a propagare il messaggio: un semplice «il mio account è stato violato, non cliccate» spezza la catena.
Il punto cieco: gli account aperti prima dei 15 anni
Dalla legge francese del 7 luglio 2023 che istituisce una maggiore età digitale, l'iscrizione di un minore di 15 anni a un social network richiede in linea di principio il consenso dei titolari della responsabilità genitoriale. Nei fatti, la verifica resta in gran parte dichiarativa. Risultato: molti adolescenti hanno account di cui i genitori ignorano l'esistenza, associati a un numero di cellulare e a un indirizzo e-mail talvolta creato per l'occasione.
Non si risolve con una perquisizione. Si risolve con un inventario fatto insieme, una volta all'anno, elencando semplicemente: quali account esistono, quale e-mail è associata, quale ha l'autenticazione a due fattori attiva. L'esercizio dura mezz'ora e scopre quasi sempre due o tre account dimenticati, ancora attivi, con una vecchia password.
Cosa ricordare
Gli SMS truffa che prendono di mira gli adolescenti non sono versioni attenuate di quelli rivolti agli adulti. Sfruttano altre leve: il valore di un account di gioco, la voglia di soldi facili, la paura del giudizio, la velocità di reazione.
La protezione tecnica conta — autenticazione a due fattori senza SMS, password uniche, filtraggio dei mittenti sconosciuti. Ma vale solo se il canale del dialogo resta aperto. Un adolescente che sa di poter arrivare dicendo «ho fatto una stupidaggine» senza perdere il telefono segnala in un'ora ciò che la vergogna avrebbe fatto durare un mese.
È, di gran lunga, la misura di sicurezza più efficace della casa.
