«Gli abbiamo messo il parental control, è al sicuro.»
È la frase che si sente più spesso all'uscita da scuola a settembre, quando i telefoni nuovi di inizio anno escono dalle tasche. È rassicurante, ed è in gran parte falsa. La maggior parte delle soluzioni di parental control per il grande pubblico filtra i siti web, limita il tempo di schermo e sorveglia le app installate. Quasi nessuna interviene sul canale da cui arrivano i primi tentativi di truffa: gli SMS.
Un bambino di 11 anni che riceve la sua prima SIM inizia a ricevere SMS non richiesti nelle settimane successive. Non perché abbia fatto qualcosa di sbagliato: perché i numeri di cellulare vengono assegnati a blocchi e le campagne di invio massivo compongono intere fasce di numeri senza sapere chi si trovi dall'altra parte. Il primo finto SMS di consegna può arrivare prima del primo vero SMS di un amico.
Ecco cosa va impostato lo stesso giorno, cosa è pura scenografia e cosa invece si gioca altrove rispetto alle impostazioni.
Cosa cambia tra il telefono di un adulto e quello di un bambino
Sulla carta è lo stesso apparecchio, la stessa rete, gli stessi messaggi. In pratica, contano tre differenze.
Il bambino non ha termini di paragone. Un adulto che riceve «Il tuo pacco è in attesa di spese doganali» ricorda se ha ordinato qualcosa. Un bambino di 11 anni non sa cosa siano le spese doganali, non sa se i genitori aspettano un pacco e ritiene che un messaggio dall'aspetto ufficiale visualizzato sul telefono sia effettivamente ufficiale. L'assenza di riferimenti equivale a credulità.
Il bambino non segnala, cancella. Davanti a un messaggio strano, il riflesso più diffuso è l'eliminazione silenziosa. Non per segretezza: semplicemente non gli viene in mente che un SMS possa essere un evento degno di essere raccontato. Risultato: i genitori scoprono la campagna in corso con tre settimane di ritardo.
La leva non è il denaro, è l'account. Un bambino non ha una carta di credito. Ha un account di gioco, un account scolastico, un nickname su una piattaforma creativa, a volte un indirizzo e-mail condiviso con un genitore. È questo l'obiettivo, ed è spesso rivendibile.
Cybermalveillance.gouv.fr e la piattaforma ufficiale di segnalazione 33700 lo documentano da diversi anni: lo smishing rivolto ai minori non cerca quasi mai un bonifico, cerca una credenziale o un codice monouso.
Le sei impostazioni da fare nella prima ora
Fatele insieme al bambino, non al posto suo. Un'impostazione spiegata resta impressa; un'impostazione subita viene disattivata non appena il dispositivo cambia di mano.
1. Disattivare l'anteprima dei messaggi sulla schermata di blocco
È l'impostazione più redditizia e la più trascurata. Finché le notifiche mostrano il contenuto completo, chiunque sull'autobus o in cortile legge le conversazioni — e soprattutto legge i codici di verifica a sei cifre.
- Su Android: Impostazioni → Notifiche → Notifiche sulla schermata di blocco → «Nascondi contenuti sensibili».
- Su iPhone: Impostazioni → Notifiche → Mostra anteprime → «Se sbloccato».
Il messaggio arriva comunque, si vede che ce n'è uno, ma bisogna sbloccare per leggerlo.
2. Disattivare l'apertura automatica dei link e il download delle immagini
Sia in Google Messaggi sia nell'app Messaggi di Apple, alcune impostazioni generano anteprime ricche dei link ricevuti. Sul telefono di un bambino è preferibile un link grezzo, brutto, non cliccabile per sbaglio, piuttosto che una bella scheda con logo aziendale che conferisce al messaggio fraudolento l'aspetto di una comunicazione ufficiale. È esattamente ciò che cerca il truffatore.
3. Attivare il filtraggio dei mittenti sconosciuti
iOS offre «Filtra mittenti sconosciuti» (Impostazioni → App → Messaggi). Android propone la protezione antispam e, dagli aggiornamenti distribuiti in Europa nel 2026, un rilevamento rafforzato dei messaggi di tipo truffaldino in Google Messaggi.
Questi filtri funzionano bene con lo spam di massa più grossolano. Vengono regolarmente aggirati dalle campagne curate, in particolare da quelle che usurpano il nome di un mittente legittimo. Utili, ma non sono una barriera.
4. Bloccare gli acquisti tramite SMS a sovrapprezzo presso l'operatore
È l'impostazione che quasi nessuno configura, ed è quella che evita brutte sorprese in bolletta. Tutti gli operatori permettono di bloccare i servizi SMS a sovrapprezzo e i numeri a tariffazione speciale dall'area clienti, gratuitamente. Una chiamata all'assistenza basta se l'opzione è introvabile.
I finti concorsi a premi e gli abbonamenti «premium» attivati con una semplice risposta via SMS diventano così inoffensivi. Su una linea intestata a un minore, questo blocco dovrebbe essere la norma.
5. Disattivare gli SMS di recupero per gli account sensibili
Se l'account e-mail o quello di gioco usa l'SMS come secondo fattore, basta il furto del telefono o una semplice occhiata da sopra la spalla. Quando la piattaforma lo consente, preferite un'app di autenticazione o, meglio ancora, per gli account davvero importanti di un adolescente più grande, una chiave di sicurezza fisica FIDO2 che sta su un portachiavi e non si può copiare.
6. Stabilire che il numero del bambino è un dato da non diffondere
Non è un'impostazione in un menu, è una decisione. Il numero non si inserisce nei moduli dei giochi online, non compare sui profili pubblici, non serve per creare un account su una piattaforma non essenziale. Ogni inserimento aumenta la probabilità che quel numero finisca in un database rivenduto.
Ciò che non serve a nulla (o quasi)
Va detto chiaramente, perché molte famiglie si sfiniscono su dispositivi inefficaci.
| Dispositivo | Cosa credono i genitori | Cosa fa davvero |
|---|---|---|
| App di parental control generalista | «Blocca le truffe» | Filtra il web e le app, ignora quasi sempre il contenuto degli SMS |
| Blocco del numero di un mittente | «Non tornerà più» | Le campagne cambiano numero a ogni invio, a volte a ogni destinatario |
| Rispondere STOP a un SMS fraudolento | «Mi cancello dalla lista» | Conferma che la linea è attiva e letta; da riservare alle vere campagne commerciali |
| Leggere di nascosto gli SMS del proprio figlio | «Lo controllo» | Distrugge la fiducia, e il ragazzo sposta le conversazioni altrove |
| Telefono «base» senza internet | «Niente smartphone, nessun rischio» | Lo smishing funziona perfettamente anche su un telefono a tasti |
Quest'ultimo punto merita una sfumatura. Un telefono semplice, senza browser, riduce la superficie d'attacco: il bambino non può aprire un finto modulo bancario. Molte famiglie fanno questa scelta per l'inizio delle medie, con un telefono cellulare base a tasti, ed è una scelta difendibile. Ma resta esposto ai numeri a sovrapprezzo, ai finti concorsi e alla truffa della richiamata. Il blocco degli SMS a sovrapprezzo presso l'operatore torna allora a essere la misura principale.
Le tre frasi da insegnargli
Le impostazioni durano una stagione. I riflessi durano anni. Bastano tre formulazioni, a condizione di ripeterle senza drammatizzare.
«Un codice ricevuto via SMS non si dice a nessuno. Mai. Nemmeno a me.»
È la regola più importante e più semplice. Nessun servizio legittimo chiede di comunicare un codice ricevuto via SMS. Nessuna eccezione. Dicendo «nemmeno a me», il genitore elimina l'ambiguità e rende la regola facile da rispettare di fronte a un truffatore che si spaccia per un adulto di fiducia.
«Se un messaggio mi mette fretta, aspetto dieci minuti.»
Tutto il meccanismo dello smishing si basa sull'urgenza: il tuo account sarà eliminato, il tuo pacco rispedito, la tua vincita scade stasera. Dieci minuti di attesa disinnescano la quasi totalità dei casi. Niente di legittimo si perde in dieci minuti.
«Se ho cliccato, lo dico subito, non succederà niente di grave.»
È la promessa genitoriale più difficile da mantenere e la più utile. La vergogna è il primo carburante di queste truffe. Un bambino che teme il sequestro del telefono tace, e il ritardo trasforma un incidente banale in un account perso. L'impegno deve essere esplicito: nessuna punizione per una confessione tempestiva.
Il caso particolare dei gruppi di classe
Fin dalla prima media, la maggior parte degli scambi passa da un gruppo. È lì che circolano i link più pericolosi, per una ragione semplice: un link inviato da un compagno non viene percepito come un link sconosciuto.
Lo schema è quasi sempre lo stesso. A uno studente viene rubato l'account. Il truffatore, o uno script automatizzato, inoltra il link trappola a tutta la sua rubrica. I destinatari riconoscono il mittente, cliccano, e la catena continua. In una classe di trenta, basta un anello.
Alcuni punti da spiegare al bambino:
- Un link inviato da un amico può essere stato inviato da chi gli ha rubato l'account.
- Un messaggio che non assomiglia al modo abituale di scrivere di quella persona è sospetto, anche se il numero è quello giusto.
- In caso di dubbio, si chiede di persona il giorno dopo. Non via messaggio.
- Si avvisa il compagno interessato: è spesso così che la vittima scopre il furto del proprio account.
Il primo telefono come oggetto, non solo come servizio
Due considerazioni materiali pesano sulla sicurezza, e spesso vengono dimenticate.
La prima è la perdita. Il telefono di un bambino si perde, cade, resta in uno spogliatoio. Non è l'apparecchio a costare caro, sono le conversazioni e gli account che restano accessibili se lo schermo si accende senza codice. Un codice a sei cifre, non una sequenza di sblocco visibile a tre metri di distanza, e la localizzazione del dispositivo attivata fin dal primo giorno. Alcune famiglie aggiungono un tracker Bluetooth portachiavi nello zaino, il che permette almeno di sapere se il telefono è rimasto in palestra.
La seconda è la batteria. Un telefono scarico non riceve né le chiamate dei genitori né gli SMS, e il bambino che va nel panico davanti a uno schermo nero alle 18 prende decisioni sbagliate — farsi prestare il telefono da uno sconosciuto, per esempio. Una power bank compatta in fondo allo zaino risolve buona parte delle vere emergenze della settimana.
Infine, per le famiglie che vogliono strutturare la discussione invece di improvvisarla, esistono guide di educazione digitale per genitori che propongono sequenze di conversazione per fascia d'età. È meno spettacolare di un'app di sorveglianza, e nettamente più efficace nel tempo.
Cosa fare quando il messaggio è già arrivato
Un SMS fraudolento sul telefono di vostro figlio non è un evento eccezionale, è una statistica. La reazione giusta si riassume in quattro gesti.
- Non rispondere, non richiamare, non cliccare. Nemmeno per «dare un'occhiata».
- Inoltrare il messaggio al 33700, la piattaforma ufficiale di segnalazione degli spam e dei messaggi fraudolenti, gratuita e gestita sotto l'egida delle autorità pubbliche con il supporto dell'Arcep. L'inoltro richiede dieci secondi e alimenta il blocco dei numeri mittenti.
- Eliminare il messaggio una volta segnalato, per evitare che venga riaperto per curiosità.
- Fare il punto se un link è stato aperto: cambiare la password dell'account interessato, verificare gli indirizzi e-mail di recupero e controllare la fattura dell'operatore del mese.
Se un account è stato sottratto o se c'è di mezzo del denaro, Cybermalveillance.gouv.fr propone un percorso di assistenza gratuito e indirizza alla denuncia. Per i contenuti che riguardano un minore (ricatto, diffusione di immagini), il punto d'ingresso è la piattaforma PHAROS del ministero dell'Interno, oppure il 3018, numero nazionale dedicato alle violenze digitali tra i giovani, raggiungibile gratuitamente e in forma anonima.
Cosa c'è da ricordare
Il giorno in cui un bambino riceve il suo primo telefono, l'essenziale si sistema in un'ora: nascondere le anteprime sulla schermata di blocco, attivare il filtraggio dei mittenti sconosciuti, bloccare gli SMS a sovrapprezzo presso l'operatore, proteggere il dispositivo con un vero codice e stabilire la regola del codice di verifica che non si comunica a nessuno.
Il resto non dipende dalle impostazioni. Dipende da un'abitudine familiare: parlare dei messaggi strani come si parla di un episodio in cortile, senza farne un dramma né un motivo di punizione. I bambini meglio protetti non sono quelli con il parental control più blindato. Sono quelli che sanno di poter mostrare un SMS sospetto a un adulto senza conseguenze.
È gratis, non si disattiva al prossimo aggiornamento e funziona ancora a 17 anni.
