« Buongiorno, sono il signor Lemoine, ho trovato il suo numero sulla sua scheda Google. Ho un lavoro urgente, bagno completo, sono all'estero fino al 20. Posso versarle subito un acconto se mi invia un preventivo. »
L'idraulico che ci ha trasmesso questo scambio ha risposto in quattordici minuti. Era un venerdì di fine mese, il portafoglio ordini era vuoto, il messaggio era cortese, dettagliato, scritto in un italiano impeccabile. Tre giorni dopo aveva inviato i propri dati bancari, una copia del documento d'identità «per la conformità del bonifico» e confermato un codice a sei cifre ricevuto via SMS «per autenticare il pagamento internazionale». Il bonifico non è mai arrivato. La sua casella di posta online, invece, aveva cambiato proprietario.
Gli articoli sugli SMS fraudolenti parlano quasi sempre del privato cittadino: il finto pacco, il finto avviso fiscale, il finto medico. Si dimentica una categoria molto più esposta e molto meno protetta: i lavoratori autonomi, gli artigiani, i commercianti e i liberi professionisti, il cui numero di cellulare è pubblico per necessità professionale. Non possono applicare il consiglio numero uno della prevenzione — «non diffondete il vostro numero» — perché diffondere il proprio numero è il loro lavoro.
Perché una linea professionale riceve molti più SMS fraudolenti
Un numero raccolto in due clic
Il cellulare di un lavoratore autonomo si trova, senza alcuno sforzo e legalmente, in almeno otto posti diversi:
- la scheda attività su Google e gli elenchi di recensioni (Pagine Gialle, piattaforme di intermediazione);
- i registri pubblici delle imprese (come il Registro delle Imprese o, in Francia, lo schedario SIRENE dell'Insee) per i dati identificativi dell'azienda, e i siti che li ricopiano;
- i preventivi e le fatture inviati a decine di clienti all'anno, spesso inoltrati per e-mail a terzi;
- gli annunci di lavoro o di materiale usato pubblicati a proprio nome;
- la personalizzazione del veicolo, fotografata per strada;
- i cartelli di cantiere, i biglietti da visita lasciati nei negozi;
- le piattaforme di preventivi online, che rivendono o condividono i contatti con i partner;
- le fughe di dati da software di gestione, da casse o da sistemi di prenotazione appuntamenti.
Nessuna di queste fonti è frutto di un attacco informatico. Messe insieme, fanno del numero professionale un dato pubblico, stabile per dieci o quindici anni e associato a un mestiere identificato. È quest'ultima informazione a cambiare tutto: il truffatore non vi scrive a caso, sa che siete lattonieri, infermiere libere professioniste o meccanici.
La selezione per mestiere rende credibile il finto messaggio
Un SMS «il tuo pacco è in attesa» suscita diffidenza perché non corrisponde a nulla di preciso. Un SMS «il tuo certificato di regolarità contributiva sta per scadere, il tuo cliente non potrà più pagarti» tocca una realtà amministrativa che l'artigiano conosce, teme e non controlla del tutto. L'ingegneria sociale funziona quando il messaggio assomiglia a un adempimento in ritardo.
Le leve sfruttate sono quasi sempre le stesse:
| Leva | Formulazione tipica | Perché funziona |
|---|---|---|
| Liquidità | «Bonifico di 2.480 € respinto, aggiorna le tue coordinate bancarie» | Un mancato pagamento è l'angoscia strutturale dell'autonomo |
| Conformità | «Certificato di regolarità contributiva scaduto», «aggiornamento del certificato camerale» | Paura di perdere una commessa o un committente |
| Opportunità | «Cantiere urgente, acconto immediato» | Un portafoglio ordini vuoto abbassa la vigilanza |
| Strumento di lavoro | «Il tuo account di fatturazione verrà sospeso» | Dipendenza totale da un software o da una piattaforma |
| Mobilità | «Multa non pagata su veicolo professionale» | Flotta, parcheggi, zone a basse emissioni |
I cinque scenari che circolano nel 2026
1. Il finto cliente di fretta e generoso
È il più antico e il più efficace. Il potenziale cliente arriva via SMS, non con una telefonata: «è all'estero», «in trasferta», «sordo», «in riunione». Chiede un preventivo, accetta senza negoziare, propone un acconto elevato. Poi arriva la complicazione: un pagamento «tramite mandato», un'eccedenza da riversare a un «trasportatore», una piattaforma di pagamento sconosciuta da convalidare.
Il segnale più affidabile non è il lessico, ormai impeccabile grazie agli strumenti di scrittura automatica. È il rifiuto ostinato del telefono combinato con un'anomalia nel circuito di pagamento. Un cliente che non vuole parlarvi ma vuole mandarvi soldi in fretta è un allarme, non un'occasione.
2. Il finto ente previdenziale o fiscale
Le ondate di falsi SMS attribuiti agli enti previdenziali, alle amministrazioni fiscali o a casse di previdenza integrativa sono documentate da diversi anni; le stesse amministrazioni ricordano regolarmente sui propri siti che non chiedono mai coordinate bancarie via SMS o tramite link. Per l'autonomo, la variante più temibile è quella del rimborso di contributi: un versamento in eccesso plausibile, un importo credibile, un modulo che richiede IBAN e documento d'identità.
Il riflesso da acquisire una volta per sempre: nessun ente si verifica partendo dal suo stesso messaggio. Si esce dall'SMS, si apre l'app o l'area riservata da un preferito salvato, e si guarda se la richiesta esiste lì.
3. La frode del finto fornitore, in versione SMS
Classicamente inviata per e-mail, sta migrando verso l'SMS perché il cellulare si consulta tra due cantieri, senza computer, spesso con le mani sporche e tre minuti di attenzione. Il messaggio annuncia un cambio di coordinate bancarie di un fornitore di materiali, di un subappaltatore, di un noleggiatore di macchinari. Può citare un numero d'ordine reale, recuperato da una fuga di dati o da una casella di posta compromessa.
La contromisura è organizzativa, non tecnica: ogni cambio di IBAN si conferma richiamando il numero che già avevate, mai quello indicato nel messaggio. Molti autonomi annotano i contatti di riferimento dei fornitori su un diario di bordo professionale tenuto nel furgone, proprio per non dipendere da un telefono che può mentire.
4. Il dirottamento dell'account di posta o di fatturazione
Qui l'SMS non è la destinazione ma lo strumento. Il truffatore tenta di reimpostare l'accesso alla vostra casella di posta professionale, al vostro software di fatturazione o alla vostra scheda attività. Il sistema legittimo vi invia un vero codice monouso — e un finto «supporto tecnico» ve lo chiede nel giro di un minuto, via SMS o con una telefonata.
Ciò che l'attaccante ottiene vale molto più del denaro di un cantiere: lo storico clienti, i preventivi, i dati bancari, la possibilità di scrivere ai vostri clienti a vostro nome. Su una linea professionale, l'autenticazione a due fattori tramite app dedicata, o persino con una chiave di sicurezza fisica FIDO2, sostituisce con vantaggio il codice via SMS, che resta intercettabile e soprattutto estorcibile.
5. Il finto reclutamento al contrario
Variante recente: l'artigiano che cerca un apprendista o un interinale riceve candidature via SMS, con un link a un «CV online» o a una «pratica per gli incentivi all'assunzione». Il link installa un modulo di raccolta dati, a volte un'applicazione fuori dallo store ufficiale su Android. Un'assunzione che inizia con un file da aprire anziché con una conversazione merita di aspettare il lunedì mattina.
Separare i flussi: la misura che cambia più cose
Un numero pubblico non deve necessariamente essere il vostro numero personale
La buona pratica si riassume in una frase: il numero esposto pubblicamente non deve essere quello che riceve i vostri codici bancari. In concreto, funzionano tre soluzioni:
- Due linee su un telefono compatibile dual SIM: una linea «vetrina», diffusa ovunque, e una linea «cassaforte», conosciuta dalla banca, dal commercialista e da nessun altro. La maggior parte degli smartphone recenti accetta una eSIM in aggiunta alla SIM fisica.
- Due telefoni: soluzione per le professioni a forte esposizione (pronto intervento, consegne, sanità), con un modello secondario semplice lasciato in ufficio o a casa.
- Un numero virtuale di centralino che inoltra al cellulare: la vetrina diventa un numero fisso geografico, più credibile per i clienti e meno esposto alla raccolta automatica di numeri mobili.
Questa separazione non elimina gli SMS fraudolenti. Li concentra sulla linea dove non possono fare quasi nulla: un truffatore che scrive al vostro numero vetrina non può intercettare un codice di conferma bancaria, perché quel codice arriva altrove.
Le impostazioni del telefono che servono davvero
In ordine di efficacia reale:
- Filtro dei mittenti sconosciuti attivato (iOS: Impostazioni → App → Messaggi → Filtra mittenti sconosciuti; Android/Messaggi: protezione antispam). I messaggi non sollecitati finiscono in una scheda separata, consultabile ma fuori dal flusso principale.
- Blocco dell'installazione di app fuori dallo store ufficiale, e verifica che Play Protect o l'equivalente sia attivo. La quasi totalità dei trojan bancari per mobile passa da lì.
- Anteprima dei messaggi nascosta sulla schermata di blocco: un telefono appoggiato su un bancone o su un cruscotto non deve mostrare i vostri codici.
- Autenticazione a due fattori tramite app di autenticazione, non via SMS, su posta elettronica, software di fatturazione e banca.
- Aggiornamento del sistema accettato entro la settimana, e non rinviato per sei mesi «perché il telefono è lo strumento di lavoro».
Da notare: nel corso del 2026 Google ha rafforzato il rilevamento automatico delle truffe nell'app Messaggi in Francia, con avvisi contestuali su determinati schemi di conversazione. È una rete di protezione in più, utile, ma in nessun caso un motivo per abbassare la guardia: il rilevamento automatico resta cieco davanti allo scenario del finto cliente, che non contiene né link né parole sospette.
Fare i backup, perché una linea professionale perde anche le prove
Un autonomo che perde il telefono perde scambi di valore contrattuale: conferme di preventivo via SMS, modifiche al cantiere, accordi su una scadenza. Un backup cifrato automatico del telefono, affiancato da un disco rigido esterno per gli archivi annuali, riguarda tanto la gestione quanto la sicurezza. Sia in caso di contenzioso sia in caso di truffa, è ciò che permette di esportare una conversazione completa e con data certa.
Cosa fare quando il messaggio è già arrivato — o già aperto
Il riflesso di verifica in tre domande
Questo messaggio mi chiede un'azione urgente? Mi indirizza verso un link o un nuovo circuito di pagamento? Posso verificare la stessa informazione attraverso un percorso che ho scelto io?
Se le prime due risposte sono sì e la terza è no, il messaggio va trattato come fraudolento per impostazione predefinita.
Le segnalazioni che esistono davvero
- Inoltrare l'SMS al 33700, servizio ufficiale di segnalazione di spam e frodi via SMS in Francia (gratuito, poi si indica il numero del mittente).
- Inviare una segnalazione sulla piattaforma Cybermalveillance.gouv.fr, che indirizza in base al tipo di incidente e propone un percorso dedicato alle micro e piccole imprese.
- Segnalare un sito fraudolento tramite Phishing Initiative o il dispositivo Pharos per i contenuti illeciti.
- Avvisare immediatamente la propria banca in caso di trasmissione di un codice o di credenziali: la Banque de France sottolinea da diversi rapporti la forte crescita delle truffe per manipolazione, in cui è la vittima stessa a convalidare l'operazione. Più rapida è la denuncia, più il richiamo dei fondi ha probabilità di riuscita.
- Sporgere denuncia, anche quando il danno è nullo: la denuncia alimenta le indagini e spesso condiziona le pratiche con l'assicurazione professionale.
Avvisare i propri clienti, un gesto sottovalutato
Se il vostro account di posta o la vostra scheda professionale è stato compromesso, i vostri clienti riceveranno messaggi a vostro nome. Un SMS o un'e-mail di avvertimento inviati lo stesso giorno — «le nostre coordinate bancarie non sono cambiate, qualsiasi messaggio che affermi il contrario è fraudolento» — limita i danni a catena e protegge la vostra reputazione, che è il vostro primo patrimonio.
Fare della prevenzione una voce della propria attività
Due abitudini costano poco ed evitano quasi tutto:
- Una riga «le nostre coordinate bancarie non cambiano mai tramite messaggio» sui vostri preventivi e sulle vostre fatture, in fondo al documento. I truffatori che imitano un fornitore perdono molto del loro potere davanti a un cliente avvisato.
- Dieci minuti all'anno con il proprio commercialista o assicuratore dedicati alla frode informatica. Molte polizze multirischio professionali prevedono oggi una garanzia, spesso subordinata a misure elementari: autenticazione a due fattori, backup, procedura di convalida dei bonifici. Una guida pratica sulla cybersicurezza per le piccole imprese basta a impostare la discussione, e alcune associazioni di categoria le distribuiscono gratuitamente.
Il messaggio di fondo è semplice: per un lavoratore autonomo, la sicurezza degli SMS non è una questione di comodità digitale, è una questione di liquidità. Un numero pubblico è un vantaggio commerciale; diventa un rischio il giorno in cui serve anche da chiave dei vostri conti. Separare i due usi resta, nel 2026, la misura più redditizia che si possa adottare in un pomeriggio.
