« Il tuo pacco GLS-FR è stato trattenuto al centro di smistamento: spese di sdoganamento di 2,99 € risultano non pagate. Salda entro 48 h per evitare il ritorno al mittente: gls-regularisation-fr[.]top »
Martine, 61 anni, di Angers, aspettava effettivamente due pacchi: un paio di scarpe ordinate su un marketplace e un regalo di compleanno spedito dalla figlia. Ha pagato i 2,99 € senza esitare — l'importo era talmente irrisorio che non si è nemmeno chiesta se fosse giustificato. Undici giorni dopo, l'estratto conto mostrava tre addebiti da 59,90 € a favore di un «servizio in abbonamento» con sede a Cipro. I 2,99 € non erano mai stati il punto.
È tutto il genio di questa truffa, ed è per questo che sopravvive da anni mentre tutti credono di conoscerla: non cerca di rubarti del denaro, cerca di ottenere che digiti tu stesso le tue sedici cifre su una tastiera. Il prezzo d'ingresso è volutamente ridicolo perché un importo ridicolo disattiva la diffidenza.
Perché il pacco è il pretesto più redditizio di Francia
Statisticamente, stai quasi sempre aspettando qualcosa
È la base del sistema. Il falso SMS di consegna non ha bisogno di conoscere i tuoi ordini: gioca sulle probabilità. Con oltre 1,5 miliardi di pacchi consegnati ogni anno in Francia secondo i dati dell'Arcep sul mercato dei pacchi, un adulto connesso ha buone probabilità di avere una spedizione in corso in qualunque momento del mese — e quasi certamente tra ottobre e gennaio.
Il truffatore invia il suo messaggio a centinaia di migliaia di numeri. Gli basta che una minima percentuale dei destinatari sia in attesa di un pacco nel momento preciso in cui l'SMS arriva. Per queste persone, il messaggio non sembra una truffa: sembra una spiegazione.
Il corriere è vago, e non è un caso
Avrai probabilmente notato che questi SMS citano raramente il corriere giusto. È perché, nell'ecosistema dell'e-commerce, nessuno sa davvero chi consegna cosa. Ordini su un marketplace, il venditore spedisce tramite un intermediario, che subappalta l'ultimo miglio a un operatore locale di cui non hai mai sentito il nome. Ricevere un SMS da un corriere sconosciuto è diventato banale.
I nomi sfruttati ruotano continuamente: La Poste, Colissimo, Chronopost, Mondial Relay, DPD, GLS, UPS, DHL, Evri, e dal 2025-2026 nomi completamente inventati che suonano «logistici» («EuroParcel», «FR-Logistics», «ColisExpress24»). Un nome sconosciuto non ti mette più in allarme. È esattamente l'effetto desiderato.
La dogana è una zona grigia per quasi tutti
Dopo la fine dell'esenzione IVA sui piccoli pacchi importati e i dibattiti europei sugli oneri applicabili alle piattaforme extra-europee, l'idea che «bisogna pagare qualcosa alla dogana per un pacco arrivato dall'estero» si è radicata nelle teste. E per una volta non è falso: delle spese esistono davvero.
La Direction générale des douanes et droits indirects (DGDDI) lo ricorda sul proprio sito: i diritti e le tasse sulle spedizioni provenienti da paesi terzi sono riscossi dal corriere o dalla Poste, nell'ambito della consegna, mai tramite un SMS con link inviato da un mittente sconosciuto. Ma tra «è falso» e «è plausibile», al truffatore serve solo il plausibile.
Il vero obiettivo: la carta di pagamento, non i 2,99 €
Perché un importo così piccolo
Un importo elevato innesca una riflessione. Un importo con due decimali innesca un riflesso. Tre meccanismi si sovrappongono:
- L'importo sotto la soglia del dolore. Pagare 2,99 € non «costa» nulla psicologicamente: anche se è un errore, non è grave. Il cervello decide a favore della tranquillità.
- La coerenza narrativa. Spese di sdoganamento di 300 € su un paio di scarpe suonerebbero false. 2,99 € è esattamente la cifra di una tassa amministrativa credibile.
- Il pagamento come prova di vita della carta. Una micro-transazione che va a buon fine conferma al truffatore tre cose: la carta è attiva, il plafond è disponibile e il titolare autorizza i pagamenti senza guardare troppo.
Cosa viene realmente catturato sulla pagina falsa
Il modulo di pagamento è il cuore del dispositivo. Chiede sistematicamente più di quanto servirebbe a un vero pagamento di 2,99 €:
| Dato richiesto | Uso reale da parte del truffatore |
|---|---|
| Numero a 16 cifre, scadenza, CVV | Pagamenti online, rivendita del «kit carta» |
| Nome, indirizzo completo | Aggiramento dei controlli AVS, credibilità delle chiamate successive |
| Numero di telefono | Chiamata del falso consulente bancario nei minuti seguenti |
| Banca e credenziali | Presa di controllo dell'area clienti |
| Codice ricevuto via SMS (3-D Secure) | Convalida di un'operazione molto più grande di 2,99 € |
È quest'ultimo punto che fa la differenza tra una truffa da 3 € e una truffa da 3.000 €. La pagina mostra «Conferma del pagamento di 2,99 € — inserisci il codice ricevuto via SMS». Il codice, però, è stato emesso dalla tua vera banca per un'operazione di cui non vedi l'importo: un abbonamento ricorrente, l'aggiunta della carta a un portafoglio mobile, o una ricarica di un conto di pagamento.
Le tre uscite possibili dopo il clic
- L'abbonamento nascosto. La carta viene iscritta a un «servizio premium» da 39 €, 49 € o 59 € al mese, con sede all'estero, con condizioni generali in caratteri minuscoli. L'addebito compare solo dopo alcune settimane.
- La rivendita del set di dati. Le tue informazioni finiscono su un mercato dove vengono acquistate a lotti. L'addebito può arrivare mesi dopo, rendendo il collegamento con l'SMS quasi impossibile da stabilire.
- L'escalation telefonica. Un «consulente della tua banca» ti chiama entro 48 h, menziona il tuo vero nome, la tua vera banca e un «addebito sospetto di 2,99 €», e ti fa autorizzare dei bonifici «di annullamento». È lo scenario più costoso.
Riconoscere il falso in dodici secondi
Guarda il dominio, non il nome visualizzato
L'unico elemento impossibile da falsificare in modo pulito resta l'indirizzo del sito. I veri corrieri usano domini semplici e brevi: laposte.fr, chronopost.fr, mondialrelay.fr, dpd.fr, gls-group.com. I falsi accumulano parole chiave prima di un'estensione esotica:
laposte-colis-suivi-regularisation[.]icuchronopost-fr[.]supportmondialrelay-paiement-securise[.]topcolissimo[.]fr-tracking[.]cc— qui il nome vero è solo un sottodominio, il sito reale èfr-tracking.cc
La regola pratica: leggi il nome di dominio da destra a sinistra partendo dall'estensione. La parola immediatamente prima del punto finale è il proprietario reale. Tutto ciò che sta a sinistra può dire qualsiasi cosa.
Il numero di tracciamento che non traccia nulla
Un vero numero di tracciamento è verificabile sul sito ufficiale del corriere, digitandolo a mano. Gli SMS fraudolenti mostrano riferimenti con un formato convincente ma inventati. Bastano due minuti: apri tu stesso l'app o il sito del corriere, incolla il numero e constata che non esiste. È il test più affidabile di tutti, e non richiede alcuna competenza tecnica.
I segnali secondari
- Un termine di 48 h o 24 h prima del «ritorno al mittente». I corrieri conservano i pacchi per diversi giorni e ti ricontattano su più canali.
- L'assenza del tuo nome. I veri avvisi di passaggio lo riportano quasi sempre.
- Un mittente con numero +33 6 o +33 7. I corrieri usano numeri brevi o mittenti alfanumerici, non un cellulare privato.
- Una richiesta di dati della carta via SMS, mentre le vere spese doganali vengono richieste dal postino, al punto di ritiro, o nella tua area clienti.
In caso di dubbio, non cliccare mai dal messaggio. Chiudilo, apri l'app ufficiale del corriere e verifica lo stato delle tue spedizioni. Se non c'è nulla di bloccato, non c'è nulla da pagare.
Ridurre la superficie d'attacco prima ancora del primo SMS
Una carta virtuale per tutto ciò che non è essenziale
La maggior parte delle banche offre oggi un numero di carta temporaneo o con plafond limitato per gli acquisti online. Usare sistematicamente questo numero per gli ordini su siti sconosciuti cambia radicalmente le cose: anche se i tuoi dati vengono catturati su una pagina falsa, quindici giorni dopo non valgono nulla.
Per chi moltiplica gli acquisti e perde il filo, un quaderno per tenere traccia degli ordini compilato a mano basta spesso a sapere, con un'occhiata, se si sta davvero aspettando un pacco. È elementare, ma è precisamente ciò che il truffatore scommette che tu non abbia.
Un punto di ritiro invece della cassetta postale
Farsi consegnare in un punto di ritiro o in un locker riduce il numero di SMS legittimi che ricevi — e quindi il rumore in cui il messaggio falso si nasconde. Se ricevi molti pacchi a casa e non sei mai presente, anche una cassetta per pacchi sicura riduce gli «avvisi di passaggio» inopportuni che servono da modello ai truffatori.
Non leggere gli SMS sensibili in qualsiasi modo
Parte della trappola sta nella lettura: su uno schermo da 5 pollici, camminando, l'indirizzo del sito è troncato e l'occhio vede solo «laposte». Prendere l'abitudine di controllare i messaggi finanziari stando fermi, e se necessario con un paio di occhiali da lettura a portata di mano, evita buona parte dei clic riflesso. Per gli anziani con un telefono a tasti grandi, ingrandire il carattere nelle impostazioni di accessibilità è il gesto più utile — un link in corpo 20 si legge, un link in corpo 11 si indovina.
Bloccare il pagamento, non solo il telefono
Tre impostazioni da attivare una volta per sempre, nell'app della tua banca:
- Notifica istantanea di ogni operazione, anche da un euro;
- Plafond per i pagamenti online abbassato a quello di cui hai realmente bisogno;
- Blocco dei pagamenti fuori dall'area euro se non ordini dall'estero.
Una truffa che si blocca contro un plafond di 150 € non ti costa nulla, anche se hai cliccato.
Hai pagato i 2,99 €: cosa fare
Entro un'ora
- Blocca la carta dall'app bancaria o tramite il servizio interbancario al 0 892 705 705. Il blocco non annulla gli addebiti già passati, ma ferma tutto il resto.
- Non rispondere a nessuna chiamata che si presenti come la tua banca nei giorni successivi. Chiudi e richiama tu stesso il numero riportato sul retro della carta.
- Cambia la password della tua area bancaria e della tua casella email se le hai inserite.
- Fai degli screenshot dell'SMS, dell'indirizzo del sito e dell'estratto conto: sarà il tuo fascicolo.
Nei giorni successivi
- Segnala l'SMS al 33700 inoltrandolo (gratuito, servizio comune degli operatori francesi contro i messaggi fraudolenti), poi invia il numero del mittente quando ti viene richiesto.
- Segnala l'indirizzo del sito sulla piattaforma Phishing Initiative e il fatto fraudolento su cybermalveillance.gouv.fr, che propone un percorso di assistenza dedicato ai privati.
- Sporgi denuncia online o al commissariato. L'articolo L.133-18 del Code monétaire et financier prevede il rimborso delle operazioni di pagamento non autorizzate; la banca può però invocare una negligenza grave, e la denuncia pesa nella discussione.
- Controlla gli estratti conto per sei mesi. Gli abbonamenti nascosti e gli addebiti differiti sono il vero conto di questa truffa. Se la tua banca rifiuta, rivolgiti al mediatore bancario e, se necessario, alla Banque de France.
E se hai solo cliccato, senza inserire nulla?
Il rischio è basso ma non nullo. Un semplice clic su un link di smishing conferma soprattutto che il tuo numero è attivo: aspettati un aumento dei messaggi nelle settimane successive. Su Android, se in quell'occasione è stata installata un'app al di fuori del Play Store, disinstallala immediatamente e verifica i permessi di accesso agli SMS nelle impostazioni. Vale anche il consiglio di sempre: salvare regolarmente i propri dati su una chiavetta USB cifrata ti permette di ripristinare un telefono sospetto senza perdere nulla.
Cosa ci dice questa truffa sul resto
Il falso SMS doganale è diventato un classico perché si basa su un principio che va oltre i pacchi: chiedere poco per ottenere molto. Lo ritroviamo nei falsi SMS di multe da 35 €, nei falsi rinnovi della carte Vitale a 1 €, nelle false spese di rispedizione da 1,79 €. Ogni volta, l'importo minuscolo funziona da anestetico.
La contromisura è quindi comportamentale, non tecnica: considerare che un piccolo importo richiesto via SMS è più sospetto di uno grande. Un truffatore che ti chiede 2.000 € ti mette in allarme. Quello che ti chiede 2,99 € conta precisamente sul fatto che non ti metterai in allarme. Invertire questo riflesso è il grosso del lavoro — e per le famiglie in cui più persone condividono una carta o un conto, una piccola guida alla sicurezza digitale appoggiata accanto al computer di casa fa spesso più bene di dieci raccomandazioni dimenticate.
Il resto si riassume in una frase: nessun pacco va perso per tre euro. Se una spedizione è realmente bloccata, aspetterà che tu abbia verificato.
