«Ho messo online la bici alle 14. Alle 14:40 avevo già un SMS di un acquirente. Mi è sembrato fantastico.»
Non era un acquirente. Era un bot, o più precisamente una piccola squadra dotata di strumenti che monitorano di continuo i nuovi annunci. La vendita tra privati è diventata uno dei terreni più redditizi dello smishing, perché riunisce tre ingredienti che i truffatori adorano: una persona che aspetta un contatto, una transazione di denaro già messa in conto e un numero di cellulare spesso visibile o facile da ottenere.
La particolarità di queste truffe è che non somigliano affatto a un classico SMS fraudolento. Non ci sono errori di ortografia grossolani né minacce su un conto bloccato. C'è un messaggio cortese, credibile, che arriva esattamente nel momento in cui lo si spera. È questo tempismo a fare tutto il lavoro.
Come il tuo numero finisce nelle loro mani
L'hai pubblicato tu stesso
Su Leboncoin, la visualizzazione del numero resta un'opzione molto usata, soprattutto per le vendite locali (mobili, elettrodomestici, auto). Molti venditori la attivano pensando di «filtrare i curiosi». In pratica, questo rende il numero leggibile da qualsiasi visitatore — umano o automatico. Alcuni script scandagliano gli annunci recenti di una categoria e di una zona, estraggono i numeri visualizzati e li archiviano in una lista fresca e ultra-qualificata: queste persone stanno vendendo qualcosa, adesso.
L'hai scritto nel testo o su una foto
Il classico: «Contattatemi al 06 XX… così facciamo prima». Qualcuno lo infila addirittura nella foto, pensando di sfuggire ai bot. Gli strumenti di riconoscimento del testo nelle immagini sono ormai banali; questa precauzione non protegge più da nulla da parecchio tempo.
L'hai dato nella messaggistica interna
È il punto di svolta più frequente. Lo scambio parte correttamente nella messaggistica della piattaforma, poi l'interlocutore propone di «continuare via SMS, è più comodo». Tu dai il tuo numero ed esci dall'unico ambiente in cui la piattaforma può individuare i messaggi sospetti, conservare le tracce e sospendere un account.
Uscire dalla messaggistica interna è esattamente l'obiettivo del truffatore. Tutto il resto ne discende.
I quattro scenari più ricorrenti nel 2026
1. Il falso pagamento «bloccato in attesa di convalida»
Ricevi un SMS che annuncia l'avvenuto pagamento e che questo verrà sbloccato solo dopo un'azione da parte tua: confermare un account, convalidare un indirizzo di consegna, pagare delle «spese di protezione». Un link accompagna il messaggio e rimanda a una pagina che imita fedelmente l'interfaccia della piattaforma o di un servizio di pagamento.
La pagina chiede le tue credenziali oppure — cosa più grave — il numero della tua carta di credito «per ricevere i fondi». Un venditore non ha mai bisogno di inserire la propria carta per incassare. Questa sola regola neutralizza la maggior parte dei tentativi.
2. Il link di «consegna a domicilio» inviato dal presunto acquirente
L'acquirente spiega che si trova lontano, che si affida a un corriere, e ti manda via SMS un link per «organizzare il ritiro». Il sito riproduce l'aspetto di un corriere noto e reclama le tue coordinate bancarie per «rimborsarti le spese di spedizione». Questi falsi siti di corrieri sono diventati estremamente curati da quando i truffatori usano generatori automatici di pagine.
3. L'eccedenza da rimborsare
Scenario più artigianale ma tremendamente efficace: l'acquirente sostiene di aver bonificato 800 € invece di 80 €, screenshot del bonifico alla mano, e ti chiede di restituirgli la differenza «in fretta, sono i soldi dell'affitto». Lo screenshot è fabbricato, il bonifico non esiste, e il denaro che restituisci è invece reale. Le segnalazioni di questo tipo vengono regolarmente citate da Cybermalveillance.gouv.fr tra le frodi classiche legate alla vendita tra privati.
4. Il codice di verifica richiesto «per dimostrare che non sei un robot»
L'interlocutore annuncia che ti invierà un codice a sei cifre e ti chiede di comunicarglielo. In realtà sta creando un account (posta elettronica, servizio di pagamento, piattaforma di annunci) usando il tuo numero come numero di verifica. Il codice che arriva sul tuo telefono non ha nulla a che vedere con l'acquirente: è la chiave di un account aperto a tuo nome.
Nessun acquirente legittimo, su nessuna piattaforma, ha bisogno di un codice ricevuto sul tuo telefono. Nessuno. È il campanello d'allarme più affidabile di tutta la vendita online.
Perché questi SMS funzionano mentre gli altri falliscono
Lo smishing bancario classico fa leva sulla paura. La frode alla vendita punta su altro: l'attesa e la cortesia.
Quando si vende un oggetto, si è in posizione di attesa. Si spera in un contatto, si teme che l'annuncio non si concluda mai, si vuole apparire reattivi e disponibili. Un acquirente che scrive «Buongiorno, l'articolo è ancora disponibile? Abito a Lille, posso farmelo spedire, pago subito» spunta tutte le caselle del sollievo.
A questo si aggiunge il fatto che il canale SMS non mostra alcun indicatore di fiducia. Nessun indirizzo del mittente completo, nessun profilo, nessuno storico, nessuna valutazione. Un semplice numero che inizia per 06 o 07 — oppure un nome mittente alfanumerico quando il truffatore usa un gateway di invio professionale, che gli consente di visualizzare «CONSEGNA» o il nome di una piattaforma al posto di un numero.
La tabella dei segnali d'allarme
| Cosa dice il messaggio | Cosa significa davvero |
|---|---|
| «Continuiamo via SMS / WhatsApp, è più comodo» | Uscita dalla messaggistica tracciata |
| «Il pagamento è in attesa, convalida a questo link» | Pagina di phishing |
| «Fornisci la carta per ricevere i fondi» | Raccolta di dati bancari |
| «Ti ho mandato troppi soldi, rimborsami» | Bonifico falso, perdita vera |
| «Dammi il codice che hai appena ricevuto» | Dirottamento dell'account |
| «Il mio corriere ha bisogno dei tuoi dati» | Falso sito di consegna |
| «Ho fretta, domani parto per lavoro» | Pressione temporale artificiale |
Vendere senza esporre il proprio numero: il metodo
Tenere la conversazione dov'è nata
Finché lo scambio resta nella messaggistica della piattaforma, conservi uno storico opponibile e la piattaforma può intervenire. Un acquirente serio che abita a 15 km non ha alcun motivo per rifiutarsi di restarci fino al momento di fissare l'appuntamento.
Non mostrare il proprio numero nell'annuncio
Se la vendita è locale, un appuntamento si fissa benissimo via messaggistica. Il numero si trasmette solo all'ultimo momento, a una persona identificata, per la logistica del giorno stesso.
Usare un numero secondario per le vendite
Per chi vende regolarmente, un secondo numero dedicato risolve il problema alla radice. Una SIM prepagata senza vincoli è più che sufficiente: funziona come un indirizzo usa e getta e, il giorno in cui viene sommersa di SMS fraudolenti, la si sostituisce senza toccare il numero principale. I telefoni dual SIM rendono l'operazione indolore.
Fotografare senza rivelare il proprio indirizzo
Una foto dell'oggetto scattata in salotto con una finestra che dà su una targa stradale, una lettera appoggiata sul tavolo, una chiave dell'auto leggibile: questi dettagli alimentano l'individuazione. Uno sfondo neutro cambia tutto, e un piccolo fondale fotografico pieghevole per oggetti — o semplicemente un lenzuolo teso — basta per annunci puliti, che tra l'altro vendono meglio.
Verificare i pagamenti alla fonte, mai via SMS
L'unica verifica che conta è quella che inizi tu: aprire la tua app bancaria o l'app della piattaforma, con i tuoi mezzi, senza cliccare su nulla. Un pagamento reale compare nell'applicazione. Un pagamento fittizio esiste solo in un SMS.
Il momento della consegna a mano
La vendita locale ha i suoi rischi specifici, distinti dallo smishing ma spesso innescati dagli stessi scambi.
- Scegliere un luogo pubblico e frequentato. Parcheggio di un supermercato di giorno, atrio di una stazione, commissariato per gli oggetti di valore: diversi commissariati e caserme propongono ufficialmente i propri spazi antistanti come punti di scambio.
- Non far venire uno sconosciuto a casa propria per un oggetto trasportabile. Se si tratta di un mobile, farsi accompagnare.
- Verificare le banconote per gli importi consistenti. Una penna rilevatrice di banconote false costa pochi euro ed evita una serataccia; per un'auto o attrezzature professionali, il bonifico istantaneo verificato sul proprio telefono resta l'unico metodo affidabile.
- Rifiutare l'assegno circolare non verificato. Gli assegni circolari falsi circolano ancora; la verifica si fa presso la filiale emittente, chiamata a un numero trovato per conto proprio.
La spedizione: il secondo angolo cieco
Quando l'oggetto parte in un pacco, emergono due rischi.
Il primo è la contestazione costruita a tavolino: l'acquirente dichiara di aver ricevuto una scatola vuota o un oggetto rotto. L'unico contraltare efficace è la prova. Fotografare l'oggetto, il suo numero di serie, l'imballaggio aperto e poi chiuso, e conservare la ricevuta di spedizione. Una bilancia da cucina digitale permette inoltre di annotare il peso esatto del pacco prima dell'invio: uno scarto tra il peso dichiarato alla spedizione e quello contestato è un argomento formidabile in caso di reclamo.
Il secondo è il falso SMS di tracciamento. Una volta partito il pacco, sia il venditore sia l'acquirente ricevono veri messaggi di tracciamento — il che crea il terreno perfetto per infilarne uno falso. Le campagne di falsi SMS di consegna restano, anno dopo anno, la prima categoria di smishing segnalata in Francia. La regola non cambia: nessun link in un SMS di tracciamento; si apre l'app del corriere o si incolla il numero di tracciamento sul sito ufficiale.
Cosa fare quando è già successo
Se hai inserito i tuoi dati bancari
- Chiamare immediatamente il numero per il blocco della tua banca, oppure il servizio interbancario di denuncia di smarrimento e furto allo 0 892 705 705.
- Bloccare la carta e monitorare i movimenti.
- Sporgere denuncia, conservando gli screenshot degli SMS e delle pagine visitate.
- Contestare le operazioni non autorizzate: il codice monetario e finanziario prevede il rimborso dei pagamenti non autorizzati, salvo negligenza grave e comprovata da parte tua. Motivo in più per non aver mai convalidato una notifica di autenticazione nell'app bancaria.
Se hai comunicato un codice di verifica
L'account associato va ripreso in mano senza attendere: cambio della password, disconnessione di tutte le sessioni, verifica dei numeri e degli indirizzi di recupero registrati. Se il codice riguardava una piattaforma di pagamento, contattarne l'assistenza per segnalare l'apertura fraudolenta.
In ogni caso
- Segnalare il numero mittente inoltrandolo al 33700 (servizio gratuito degli operatori).
- Segnalare l'annuncio e il profilo sulla piattaforma interessata.
- Denunciare il phishing sulla piattaforma Phishing Initiative o tramite Cybermalveillance.gouv.fr, che indirizza anche verso le procedure adeguate.
- Per una frode bancaria andata a segno, la piattaforma Perceval consente la segnalazione online degli utilizzi fraudolenti della carta.
Cinque minuti di preparazione prima di pubblicare
Prima di mettere online un annuncio, una breve routine riduce notevolmente l'esposizione:
- Nascondere il numero di telefono nelle opzioni dell'annuncio.
- Rileggere il testo e le foto per verificare che non siano visibili numeri, indirizzi, targhe o documenti.
- Decidere in anticipo la modalità di pagamento accettata, e attenersi a quella qualunque sia la proposta ricevuta.
- Ricordare che una vendita che va per le lunghe costa tempo, mai denaro — mentre una vendita frettolosa può costare entrambi.
Per chi vende molto, un registro di monitoraggio delle vendite — anche un semplice quaderno — aiuta a tenere traccia di date, importi e numeri di tracciamento. Sembra antiquato nell'era delle app, ma è esattamente il documento che si cerca quando una contestazione arriva sei settimane dopo.
Vendere tra privati resta una pratica sana, utile e diffusissima in Francia. L'unico cambiamento è che il canale SMS è diventato una porta d'ingresso per le frodi anziché un semplice strumento di contatto. La difesa non richiede competenze tecniche né diffidenza permanente: si regge su un unico principio, tenere la transazione nello spazio in cui può essere verificata e considerare sospetto per definizione qualsiasi messaggio che cerchi di farti uscire da lì.
