« Ho cliccato. Ho inserito i dati della carta. E poi ho aspettato di vedere cosa succedeva. »
È la frase che ricorre più spesso nei racconti delle vittime, ed è esattamente ciò che non bisogna fare. In una truffa via SMS, il clic non è quasi mai il momento decisivo. Il momento decisivo sono le ore successive: quelle in cui il denaro sta ancora circolando, in cui le tracce esistono ancora, in cui la banca non ha ancora ricevuto un ordine di blocco e in cui gli screenshot che faranno la differenza allo sportello della polizia sono ancora sul telefono.
Passati tre giorni, tutto diventa più difficile. L'operazione è stata addebitata, l'URL fraudolento è stato disattivato, il numero del mittente è stato riciclato e la vittima deve dimostrare ciò che, quarantotto ore prima, compariva semplicemente sullo schermo.
Ecco la cronologia reale delle 72 ore successive a un SMS fraudolento, con ciò che si gioca in ogni fase.
Dall'ora 0 all'ora 1: chiudere il rubinetto prima di capire
Il primo riflesso non è capire, è fermare il flusso. Capire richiede ore; un bonifico fraudolento, invece, a volte parte in meno di dieci minuti.
Se sono stati inseriti i dati bancari, bisogna bloccare la carta immediatamente — tramite l'app della banca (la maggior parte oggi consente il blocco della carta in due clic), poi telefonicamente al servizio di blocco della banca, disponibile 24 ore su 24. Come ultima risorsa, il servizio interbancario di blocco carta al numero 0 892 705 705 funziona per tutte le banche francesi.
Se è stato comunicato un codice ricevuto via SMS, la situazione è più grave della semplice fuga del numero di carta: il codice monouso è proprio ciò che convalida un'operazione presso la banca. Bisogna segnalarlo esplicitamente all'operatore, perché questo cambia la qualificazione dell'incidente.
Se sono state inserite le credenziali dell'home banking, occorre cambiare la password da un altro dispositivo e chiedere il blocco temporaneo dell'accesso online.
Se non è stato inserito nulla ma il link è stato aperto, il rischio esiste ma resta più basso: su uno smartphone aggiornato, la semplice visita di una pagina non basta a compromettere il dispositivo. Il pericolo arriva dalle installazioni di app al di fuori dello store ufficiale — se un'installazione è stata accettata, bisogna disinstallare senza aspettare e passare in rassegna il dispositivo.
Regola semplice: prima si blocca, poi si riflette. Nessuna banca rimprovererà un blocco disposto per eccesso di prudenza.
Dall'ora 1 all'ora 3: costruire il fascicolo di prove finché esistono ancora
È la fase che quasi tutti saltano, ed è quella che decide il rimborso. Una vittima che arriva in commissariato con una frase (« ho ricevuto un SMS dalla mia banca ») non ha una pratica. Una vittima che arriva con sette screenshot con data e ora ce l'ha.
Ecco cosa va catturato, in quest'ordine:
| Elemento | Perché è utile |
|---|---|
| L'SMS per intero, con il mittente visualizzato | Prova lo spoofing o il numero utilizzato |
| L'intera conversazione, risalendo indietro | Mostra se il falso messaggio si è inserito tra messaggi autentici |
| L'URL esatto del link (pressione prolungata → copia) | Identifica il dominio fraudolento prima della sua disattivazione |
| La pagina web fraudolenta, se ancora accessibile | Prova dell'imitazione del marchio |
| Le notifiche bancarie ricevute | Attesta data e ora delle operazioni contestate |
| L'estratto conto che mostra l'addebito | Base della richiesta di rimborso |
| Il registro delle chiamate, se ha telefonato un falso consulente | Ricostruisce l'intero scenario |
Due precisazioni tecniche che contano.
Non cancellate l'SMS. È il riflesso emotivo più frequente: cancellare la traccia della propria vergogna. Eppure il messaggio originale, ancora presente nell'app di messaggistica, resta l'elemento più solido del fascicolo. Lo si cattura e lo si lascia dov'è.
Salvate le prove altrove, non solo sul telefono. Un dispositivo che si guasta, si perde o deve essere ripristinato porta con sé l'intero fascicolo. Esportare gli screenshot su uno spazio di archiviazione separato, oppure su una chiavetta USB sicura da tenere in casa, mette il fascicolo al riparo. I consulenti di Cybermalveillance.gouv.fr raccomandano sistematicamente di conservare una copia al di fuori del dispositivo coinvolto.
Dall'ora 3 all'ora 12: le tre segnalazioni che non servono alla stessa cosa
Spesso si confonde « segnalare » e « sporgere denuncia ». Si tratta di tre procedure distinte, che producono effetti diversi. Farle tutte richiede meno di trenta minuti.
Il 33700: far cadere la campagna
Il 33700 è la piattaforma ufficiale per la segnalazione di spam e frodi via SMS, gestita dall'Association Française du Multimédia Mobile per conto degli operatori francesi. Il principio: inoltrare l'SMS fraudolento al 33700, poi rispondere al messaggio automatico indicando il numero del mittente.
Questa segnalazione non avvia alcuna indagine sul vostro caso personale. In compenso, alimenta il rilevamento collettivo: superato un certo volume di segnalazioni, l'operatore può bloccare il numero del mittente e far rimuovere il nome di dominio usato nel link. È un gesto per gli altri, e richiede trenta secondi.
Perceval: contestare l'uso fraudolento della carta
Perceval è il servizio telematico della Gendarmerie nationale dedicato alle frodi con carta di pagamento, accessibile tramite FranceConnect. Si rivolge alle vittime che sono ancora in possesso della propria carta — quindi alla stragrande maggioranza dei casi di smishing, in cui sono stati rubati solo i dati.
La segnalazione a Perceval genera una ricevuta. Questo documento ha un valore concreto: sostiene la richiesta di rimborso presso la banca e alimenta le statistiche nazionali sulle frodi. Non sostituisce una denuncia, ma non la richiede nemmeno.
Cybermalveillance.gouv.fr: essere orientati e documentati
Il dispositivo nazionale di assistenza alle vittime di atti di criminalità informatica propone un percorso online che pone le domande giuste e fornisce schede con le condotte da tenere. Utile soprattutto quando la situazione è confusa: più conti coinvolti, dubbi su ciò che è stato compromesso, dispositivo professionale interessato.
Dall'ora 12 all'ora 48: sporgere denuncia, e farlo correttamente
La denuncia non è facoltativa quando sono state addebitate delle somme: la banca la chiederà quasi sempre.
Dove. In qualsiasi commissariato o caserma della gendarmeria, senza vincolo di residenza. Il rifiuto di ricevere una denuncia è illegale. In caso di blocco, la denuncia può essere inviata direttamente al procuratore della Repubblica del tribunale competente, tramite raccomandata con ricevuta di ritorno.
La pre-denuncia online. Il servizio di pre-denuncia online permette di compilare il modulo in anticipo e di ridurre il passaggio allo sportello a una semplice firma. Comodo, ma attenzione: non vale come denuncia finché non è stata firmata.
Cosa portare con sé. Documento d'identità, estratto conto che riporti le operazioni contestate, stampe degli screenshot, ricevuta di Perceval se già ottenuta, e una cronologia scritta dei fatti — basta una pagina, con date e orari. Gli agenti trattano ogni giorno pratiche di questo tipo; un fascicolo ordinato viene registrato più rapidamente e in modo più completo. Una semplice cartella portadocumenti a soffietto evita di presentarsi con fogli volanti ed estratti conto spiegazzati.
Sulla qualificazione giuridica. Lo smishing rientra nella truffa (articolo 313-1 del codice penale francese), spesso combinata con la raccolta fraudolenta di dati personali e con l'usurpazione d'identità (articolo 226-4-1). Non spetta alla vittima qualificare i fatti, ma segnalare che il messaggio usurpava l'identità di un ente preciso (banca, assicurazione sanitaria, ente pensionistico, servizio di consegna) aiuta a ricollegare il caso alle campagne già identificate.
Dall'ora 48 all'ora 72: la richiesta di rimborso e la legge che la sostiene
È l'aspetto che le vittime conoscono meno, ed è quello che pesa di più sul piano finanziario.
Il codice monetario e finanziario francese è chiaro: in caso di operazione di pagamento non autorizzata segnalata dall'utente, la banca deve rimborsare immediatamente, e al più tardi entro la fine del primo giorno lavorativo successivo alla segnalazione (articolo L133-18). Può rifiutare soltanto dimostrando una negligenza grave da parte del cliente — e spetta a lei provarlo, non al cliente dimostrare la propria innocenza.
Questo punto è stato rafforzato dalla giurisprudenza della Cour de cassation, che ha stabilito in più occasioni che il solo fatto di aver comunicato un codice ricevuto via SMS non basta a configurare la negligenza grave, in particolare quando la vittima è stata messa in fiducia da un messaggio o da una chiamata che imitava la sua banca in modo convincente.
In concreto:
- Contestazione scritta, inviata alla banca tramite raccomandata con ricevuta di ritorno, che riprenda la cronologia, i riferimenti delle operazioni e i documenti allegati. Il termine di legge per contestare è di tredici mesi.
- In caso di rifiuto, ricorso al mediatore bancario — servizio gratuito, i cui recapiti figurano sugli estratti conto e sul sito della banca.
- In caso di fallimento della mediazione, ricorso al tribunale, eventualmente con il sostegno di un'associazione di consumatori. I casi pubblicati da Que Choisir mostrano che un numero significativo di rifiuti iniziali viene ribaltato in questa fase.
Un consiglio pratico spesso trascurato: conservate una copia cartacea di ogni lettera inviata, con la relativa ricevuta di ritorno. Una scatola d'archivio con patta basta a tenere in ordine un fascicolo completo per tutti i mesi che la procedura può durare.
Gli errori che fanno perdere una pratica solida
Alcuni comportamenti, tutti comprensibili, rovinano regolarmente pratiche che avrebbero dovuto andare a buon fine.
Richiamare il numero che ha inviato l'SMS. Nel migliore dei casi non porta a nulla. Nel peggiore, rilancia lo scenario: il truffatore si presenta allora come il « servizio antifrode » e ottiene ciò che non aveva ancora.
Aspettare per vedere se i soldi tornano da soli. Non tornano. E ogni giorno che passa indebolisce l'argomento della tempestività.
Ripristinare il telefono nel panico. Gesto a volte utile dopo un'installazione sospetta, ma disastroso se compiuto prima di salvare le prove.
Pagare per « recuperare » il denaro perso. Le liste delle vittime circolano, e una seconda ondata di sollecitazioni arriva spesso qualche settimana dopo, con il pretesto del recupero crediti o dell'assistenza legale. Nessun ente legittimo chiede un pagamento anticipato per restituire fondi rubati.
Non dire nulla a chi ci sta vicino. La vergogna è la migliore alleata del truffatore. Le segnalazioni della Banque de France indicano un aumento continuo delle truffe cosiddette « per manipolazione », proprio perché fanno leva sull'isolamento della vittima.
Dopo: richiudere le porte rimaste aperte
Una volta gestita la parte urgente, resta la pulizia. Richiede una serata.
- Cambiare le password dei conti collegati all'indirizzo e-mail utilizzato, a cominciare dalla casella di posta stessa. Un gestore di password evita di ripetere l'errore della password unica; per chi preferisce la carta, un quaderno per le password riposto fuori dalla vista resta infinitamente più sicuro di una stessa password ovunque.
- Attivare l'autenticazione a due fattori ovunque sia possibile, preferibilmente tramite un'app dedicata anziché via SMS. Per gli account sensibili, una chiave di sicurezza fisica FIDO2 elimina l'intera categoria degli attacchi basati sull'intercettazione del codice.
- Verificare gli addebiti ricorrenti sugli ultimi tre estratti conto: alcune frodi si insediano sotto forma di abbonamenti discreti da pochi euro.
- Monitorare la propria posizione bancaria: in caso di usurpazione d'identità più ampia, il diritto di accesso al fichier central des chèques e al FICP si esercita direttamente presso la Banque de France.
- Spiegare a chi ci sta intorno cosa è successo. È la misura di prevenzione più efficace conosciuta, e la meno costosa. I libri divulgativi sulla cybersicurezza domestica aiutano a far passare il messaggio presso le persone care che non leggeranno mai una scheda amministrativa.
Cosa bisogna ricordare
Una truffa via SMS non è una fatalità finanziaria. Il diritto francese protegge le vittime di operazioni non autorizzate, i dispositivi di segnalazione esistono e sono gratuiti, e le banche spesso cedono di fronte a un fascicolo documentato. Ma tutto poggia su una risorsa deperibile: la traccia.
Bloccare entro un'ora, catturare le prove entro tre ore, segnalare in giornata, sporgere denuncia entro due giorni, contestare per iscritto entro tre giorni. Questa sequenza, rispettata nell'ordine, trasforma una vittima in un fascicolo. E un fascicolo, a differenza di un racconto, ottiene risposte.
Numeri e servizi utili: 33700 (segnalazione di SMS fraudolenti), 0 892 705 705 (blocco interbancario della carta di pagamento), 17 (pronto intervento polizia), Perceval tramite FranceConnect, Cybermalveillance.gouv.fr, servizio di pre-denuncia online del ministero dell'Interno francese.
