«L'SMS diceva: conguaglio annuale, saldo a debito di 128,40 €, distacco programmato entro 48 h. Era il 6 ottobre e proprio la settimana prima avevo ricevuto una lettera del mio fornitore per un cambio di rata. Ho pagato con la carta sulla pagina indicata. Due giorni dopo, 900 € spariti in tre tranche su un sito di giochi online.»
Questo racconto, praticamente identico da uno sportello di assistenza all'altro, torna ogni anno nello stesso periodo. I falsi SMS legati a luce e gas non sono i più numerosi dell'anno — il record resta ai pacchi — ma sono tra i più redditizi per i truffatori, perché arrivano nel momento esatto in cui il tema occupa già la testa delle persone.
A inizio ottobre succedono tre cose contemporaneamente in milioni di case: si riaccende il riscaldamento, i fornitori procedono ai conguagli annuali e la stampa parla del prezzo dell'energia. Il truffatore non inventa nulla. Si inserisce in uno spazio già caldo.
Perché l'energia è un terreno ideale per lo smishing
Nessuno sa davvero quanto deve pagare
Chiedete in giro l'importo esatto dell'ultima bolletta della luce. Quasi nessuno lo sa. È proprio questa nebbia a rendere possibile la truffa.
Con una banca avete un ordine di grandezza: sapete più o meno cosa c'è sul vostro conto. Con un fornitore di energia, l'importo dipende da una rata stimata, da una lettura reale, da un recupero, a volte da un cambio di tariffa regolata. Un «saldo di 128,40 €» non stupisce nessuno. Né un «credito di 74 €». Entrambe le direzioni della truffa funzionano: il debito e il rimborso.
Un mercato frammentato, quindi impossibile da memorizzare
Da quando il mercato è stato aperto alla concorrenza, una famiglia può avere:
- un fornitore di energia elettrica (EDF, Engie, TotalEnergies, Octopus, Ekwateur, Mint…);
- un fornitore di gas a volte diverso;
- un gestore di rete — Enedis per l'elettricità, GRDF per il gas — che non è il fornitore e non invia mai alcuna bolletta;
- eventualmente una misura pubblica: bonus energia, MaPrimeRénov'.
Poche persone sanno chi fa cosa. Un SMS firmato «ENEDIS» che annuncia una bolletta non pagata è un'assurdità amministrativa — Enedis non fattura ai privati — ma passa inosservata in nove casi su dieci.
Un calendario pubblico e regolare
Come per il fisco, i momenti chiave sono noti a tutti:
| Periodo | Evento reale | Scenario di smishing associato |
|---|---|---|
| Settembre-ottobre | Riaccensione del riscaldamento, conguagli annuali | Insoluto, distacco entro 48 h |
| Ottobre-novembre | Campagna di invio del bonus energia | «Bonus da sbloccare online» |
| Novembre-febbraio | Picchi di consumo, attualità tariffaria | «Nuova tariffa, confermi il suo IBAN» |
| Tutto l'anno | Installazione e manutenzione dei contatori intelligenti | «Messa a norma Linky obbligatoria» |
| Primavera | Riqualificazione energetica, incentivi pubblici | «Il suo incentivo MaPrimeRénov' è approvato» |
Inviare 400.000 SMS «conguaglio» nella prima quindicina di ottobre significa puntare su una coincidenza molto probabile: una parte dei destinatari sta davvero aspettando un adeguamento.
I cinque scenari che incontrerete quest'inverno
1. L'insoluto con minaccia di distacco
Il grande classico. Importo preciso con i centesimi, scadenza breve, tono amministrativo. Fa leva su una paura concreta e stagionale: restare senza riscaldamento.
Quello che bisogna sapere: in Francia il distacco per mancato pagamento di luce o gas è disciplinato in modo rigoroso. È precedeuto da lettere, da un termine di legge, ed è vietato durante la tregua invernale, dal 1° novembre al 31 marzo, per l'abitazione principale. Un fornitore non stacca mai «entro 48 h» sulla base di un semplice SMS.
Questo solo elemento basta a smascherare metà dei messaggi ricevuti tra novembre e marzo.
2. Il bonus energia «da sbloccare»
Il bonus energia è una misura pubblica reale, erogata in base al reddito. Dopo la riforma delle modalità di assegnazione, una parte delle famiglie deve presentare una domanda — cosa che ha confuso notevolmente i riferimenti.
I falsi SMS sfruttano questa confusione: «Il suo bonus energia di 194 € è disponibile, completi la pratica entro il…». La pagina chiede dati personali, codice fiscale, poi l'IBAN «per l'accredito». Il portale vero è quello della pubblica amministrazione; nessun bonus energia si richiede tramite link via SMS.
3. Il falso intervento sul contatore
«Il suo contatore Linky necessita di una messa a norma, confermi la fascia orariа». Variante: «tecnico GRDF, controllo obbligatorio del suo impianto gas».
Questi messaggi hanno due possibili obiettivi. Il primo è classico: furto di dati o pagamento di «spese di intervento» inesistenti — gli interventi del gestore di rete previsti nel catalogo base sono gratuiti per l'utente. Il secondo è più raro ma più grave: preparare una visita a domicilio. Un falso tecnico si presenta, studia i luoghi, fa firmare un documento o spinge verso un contratto.
Una buona abitudine costa poco: esporre vicino all'ingresso il numero ufficiale del proprio fornitore e del gestore di rete, su un semplice blocco note magnetico per frigorifero o una lavagnetta promemoria. Così si evita di cercare un numero su internet in preda alla fretta — e di finire su una pagina trappola.
4. La «nuova tariffa» che chiede l'IBAN
Più discreta, più pericolosa. Il messaggio annuncia un cambio tariffario, persino un ribasso, e invita ad «aggiornare le sue coordinate bancarie». Nessuna urgenza, nessuna minaccia: il lettore abbassa la guardia.
L'obiettivo è il mandato di addebito. Con un IBAN e una falsa autorizzazione, il truffatore può attivare addebiti diretti. Avete allora 13 mesi per contestare un addebito non autorizzato presso la vostra banca, e 8 settimane per un addebito autorizzato ma contestato — a patto di controllare gli estratti conto.
5. Il falso broker «energia più conveniente»
Questo non è sempre illegale, il che lo rende più insidioso. Un SMS propone di «ridurre la bolletta del 30 %», seguito da una telefonata. In fondo alla catena c'è o un telemarketing aggressivo, o un vero cambio di contratto firmato a distanza senza che ne abbiate capito i termini.
Promemoria utile: il telemarketing per la riqualificazione energetica è vietato in Francia, e la promozione commerciale telefonica è regolata da fasce orarie e dall'iscrizione a Bloctel. Un SMS seguito da una chiamata su questo tema è, come minimo, il segnale di un operatore che ignora la legge.
I segnali tecnici che tradiscono il messaggio
Il mittente non prova nulla
È il punto che la maggior parte delle vittime scopre troppo tardi: il nome visualizzato come mittente di un SMS può essere falsificato. La tecnica, chiamata usurpazione del mittente (o spoofing), permette di far comparire «EDF», «ENEDIS» o «Service-Public».
Peggio: sulla maggior parte dei telefoni, un SMS che usurpa un nome di mittente già presente nel vostro storico va a collocarsi nello stesso thread di conversazione dei messaggi legittimi. Vedete il vero promemoria di bolletta di giugno e, subito sotto, la truffa. È il meccanismo che ha intrappolato migliaia di persone durante le campagne rivolte agli enti pensionistici nel 2026.
Da allora gli operatori francesi hanno implementato un sistema di filtraggio degli SMS con mittente usurpato (MAN, meccanismo di autenticazione dei numeri) per le chiamate, e i lavori proseguono sul fronte dei messaggi. Utile, ma non infallibile: non considerate mai il nome del mittente come una prova.
Il link, l'unico elemento davvero osservabile
I falsi indirizzi ruotano attorno a pochi schemi:
- un sottodominio ingannevole:
edf.facture-client.xyz— ciò che conta è quello che precede immediatamente il.xyz, non la parola «edf»; - un accorciatore di link (bit.ly, tinyurl) che maschera la destinazione;
- un'estensione inattesa:
.top,.icu,.click,.shop; - un trattino di troppo:
service-edf-client.com.
Per i siti veri: EDF usa edf.fr, Engie engie.fr, Enedis enedis.fr, GRDF grdf.fr, il bonus energia passa dal portale ufficiale della pubblica amministrazione. Tutto il resto merita diffidenza.
Il pagamento richiesto dice tutto
Un fornitore di energia non chiede mai un pagamento tramite carta regalo, criptovaluta, bonifico istantaneo verso un conto personale o app di trasferimento di denaro. Se il metodo di pagamento è esotico, la pratica è chiusa.
Il riflesso in tre mosse
Non fare nulla partendo dall'SMS
La regola sta in una frase: non si clicca, non si richiama, non si risponde. Nemmeno «STOP»: su un messaggio fraudolento, rispondere conferma semplicemente che il numero è attivo.
Verificare tramite un canale scelto da voi
Aprite l'app ufficiale del vostro fornitore, oppure digitate voi stessi l'indirizzo nel browser, o chiamate il numero riportato su una vecchia bolletta cartacea. Un insoluto reale compare sempre nell'area clienti. Un vero intervento sul contatore figura nel tracciamento Enedis o GRDF.
Per le famiglie che archiviano poco, conservare dodici mesi di bollette in un classificatore a soffietto formato A4 cambia molto le cose: è spesso l'unico posto in cui compare il vero numero del servizio clienti, al riparo da un motore di ricerca inquinato da falsi annunci.
Segnalare, anche quando non si è stati vittime
Due gesti, trenta secondi:
- inoltrare l'SMS al 33700, piattaforma ufficiale di segnalazione gestita insieme agli operatori, poi inviare il numero del mittente quando la risposta automatica lo richiede;
- segnalare l'indirizzo fraudolento su Phishing Initiative o tramite la piattaforma Cybermalveillance.gouv.fr, che pubblica anche schede pratiche gratuite.
In caso di danno economico, bisogna aggiungere: blocco immediato presso la banca, denuncia e segnalazione su Perceval (servizio della pubblica amministrazione per le frodi con carta di credito).
Ridurre la superficie di attacco prima dell'inverno
Limitare le fughe del vostro numero
Le campagne sull'energia prendono spesso di mira liste acquistate: comparatori online, moduli per preventivi di ristrutturazione, concorsi a premi. Ogni simulazione di bolletta compilata di fretta alimenta un archivio.
Due misure semplici:
- riservare il numero principale ai familiari e agli enti essenziali, e usare un secondo numero (SIM prepagata o numero secondario di un'app) per i moduli commerciali;
- esercitare il vostro diritto di opposizione ai sensi del GDPR presso le società che vi contattano: devono cessare il trattamento, e in caso di rifiuto si può adire l'autorità di controllo.
Bloccare ciò che si può bloccare sul telefono
Il filtraggio nativo migliora: Android rafforza in Francia il rilevamento dei messaggi fraudolenti, e iOS consente di smistare i mittenti sconosciuti in una scheda separata. Attivate:
- il filtraggio dei mittenti sconosciuti (Impostazioni → Messaggi su iPhone);
- la protezione contro i link pericolosi nel browser;
- il blocco + segnalazione invece della semplice eliminazione, che non insegna nulla al sistema.
Per le famiglie con dispositivi vecchi, un caricatore da parete USB con protezione dalle sovratensioni o un buon power bank evitano almeno la batteria scarica che spinge a rispondere di corsa, senza riflettere, prima che lo schermo si spenga.
Parlare di energia in famiglia, una volta, prima di dicembre
Gli anziani sono i più esposti: sono in numero maggiore a temere un distacco, in numero maggiore ad avere un contratto vecchio e mal identificato, in numero maggiore a pagare con assegno o bollettino e dunque meno abituati ai pagamenti online.
Una conversazione di dieci minuti spesso è sufficiente. Tre frasi da ricordare:
- Nessun fornitore stacca l'energia tramite un SMS.
- Nessun ente pubblico chiede un IBAN tramite link via SMS.
- In caso di dubbio, non si fa nulla e si chiama una persona di fiducia.
Per chi preferisce avere un supporto scritto, una guida pratica sulle truffe digitali lasciata sul tavolo del salotto viene spesso consultata più di una spiegazione a voce — e offre un pretesto per tornare sull'argomento.
Cosa cambia nel 2026 e cosa non cambia
Tre evoluzioni sono reali: operatori e produttori rafforzano il rilevamento automatico, compaiono filtri anti-smishing anche presso sviluppatori terzi, e le campagne di sensibilizzazione si moltiplicano — la Banque de France rileva del resto un aumento delle frodi per manipolazione, quelle in cui è la vittima stessa a eseguire l'operazione.
Ciò che non cambia è la logica di fondo: la frode non prende di mira la vostra tecnologia, prende di mira il vostro contesto. Un SMS sull'energia inviato in luglio funziona male. Lo stesso, inviato l'8 ottobre dopo un articolo sull'aumento delle tariffe, funziona benissimo.
Da qui l'unico riflesso davvero solido, quello che sopravvive a tutti i cambi di scenario: quando un messaggio parla di soldi, si cambia canale. Si chiude l'SMS, si apre l'app o si riprende la bolletta cartacea, e si verifica altrove. Trenta secondi contro diverse centinaia di euro — e una serata d'inverno decisamente più serena.
