SMS falsi di banche e pacchi: come riconoscerli in 20 secondi
SMS della banca o del corriere? Controlla mittente, richiesta e link, poi richiama il numero ufficiale: la routine in 20 secondi per Android e iPhone.
«Gentile cliente, il tuo conto è sospeso. Accedi qui per riattivarlo.» Oppure: «Il tuo pacco è in giacenza. Paga 1,99 € per la riconsegna.» Due messaggi diversi, lo stesso meccanismo: ti spingono a toccare un link prima di avere il tempo di pensare.
Per capire se un SMS della banca o del corriere è falso bastano quattro domande e circa 20 secondi, con il messaggio aperto e senza toccare il link: chi scrive, cosa ti chiede, dove porta il link, e se puoi verificare tu stesso richiamando il numero ufficiale. È un filtro pratico, non una garanzia. In molti casi basta a fermarti, ma non può riconoscere ogni messaggio falso, ed è il motivo per cui l’ultimo passo è una verifica che fai tu, fuori dall’SMS.
Ti servono il telefono in mano, Android o iPhone, e l’SMS aperto. In fondo trovi come segnalare e bloccare, dove segnalare in Italia e cosa fare se hai già cliccato.
La routine dei 20 secondi: le quattro domande
Tieni a mente queste quattro domande, nell’ordine. Ognuna richiede circa cinque secondi.
- Chi scrive? Il nome del mittente, da solo, non prova niente.
- Cosa mi chiede? Codici, dati della carta, un pagamento, una scadenza che mette fretta.
- Dove porta il link? Leggi il dominio senza aprirlo.
- Posso verificarlo da solo? Chiudi l’SMS e usa l’app, il numero sulla carta o il sito digitato a mano.
La regola di uscita è questa: se anche una sola risposta è «no» o «non so», non tocchi il link e passi direttamente alla domanda 4. Non devi stabilire se il messaggio è falso. Devi solo smettere di decidere dentro il messaggio.
Esistono anche SMS veri: un codice che hai appena richiesto, un avviso di operazione. Per questo la routine non controlla se il messaggio sembra credibile, ma cosa ti chiede di fare e dove ti manda. Un testo scritto bene non cambia la risposta.
💡 Consiglio pratico — Apri l’app, non il link
Nel dubbio, la strada che parte da un’app già installata o da un indirizzo digitato da te non passa dal messaggio sospetto.
Passo 1: chi scrive (mittente, alias e numero)
Un SMS si presenta in tre modi: con un nome al posto del numero, detto alias (per esempio «NomeBanca»), con un numero breve di poche cifre oppure con un normale numero di cellulare. Nessuno dei tre prova niente da solo.
Il motivo pratico è uno: un SMS falso può comparire nella stessa conversazione dei messaggi veri. Lo scrive Poste Italiane, che avverte come alcuni messaggi fraudolenti «possono apparire nelle conversazioni ufficiali di Poste Italiane tramite la tecnica di Spoofing» (Poste Italiane, «Come difendersi dalle truffe», verificato il 17 ottobre 2026). Il perché tecnico qui non lo spiego: conta la conseguenza. La chat giusta non basta come prova.
Il Garante per la protezione dei dati personali invita a prestare attenzione ai messaggi che arrivano da «numerazioni anomale o particolari», per esempio con poche cifre, e da mittenti identificati da un nome con il numero nascosto (Garante, «Smishing», verificato il 17 ottobre 2026). Secondo me, un numero di cellulare che inizia con +39 3 e si presenta come una banca è di solito un campanello d’allarme. È una mia valutazione, non una regola scritta da una fonte.
Le regole dell’AGCOM aiutano, ma solo in parte. Le aziende che inviano SMS con un alias devono registrarlo in un registro dell’Autorità tramite fornitori autorizzati, e gli SMS con alias da soggetti non autorizzati in Italia vanno bloccati (AGCOM, pagina «Alias», verificato il 17 ottobre 2026). Riducono gli abusi, non li azzerano: nel 2025 l’AGCOM ha contestato a un fornitore di transito di aver lasciato passare SMS con alias da un soggetto svizzero non autorizzato, e il procedimento si è chiuso con l’accoglimento di impegni della società, senza sanzione (AGCOM, delibera 9/26/CIR).
Usa il mittente solo per scartare. Un numero strano è un motivo per fermarti. Un nome giusto non basta per fidarti.
Passo 2: cosa ti chiede (i due copioni: banca e pacchi)
Il mittente si imita, la richiesta no: per ottenere i tuoi soldi, il messaggio deve chiederti qualcosa. I due copioni più comuni sono la banca o Poste («conto bloccato», «accesso anomalo», «carta sospesa») e il corriere («pacco in giacenza», «indirizzo incompleto», «paga una piccola somma»).
Diffida quando trovi uno o più di questi segnali:
- una scadenza o un’urgenza («entro 24 ore», «ultimo avviso»);
- la minaccia di un blocco del conto, della carta o della consegna;
- una cifra piccola da pagare, che serve a farti inserire i dati della carta;
- l’invito a «verificare», «aggiornare» o «sbloccare» qualcosa tramite il link;
- la richiesta di codici, credenziali o dati della carta;
- un numero scritto nel messaggio da chiamare.
Ecco come cambia lo stesso messaggio tra versione plausibile e versione sospetta.
| Tipo di messaggio | Plausibile | Sospetto |
|---|---|---|
| Codice | Un codice che hai appena richiesto tu | Un codice che non hai richiesto, con «comunicalo all'operatore» |
| Pagamento | «Hai fatto un pagamento di X €», senza link | «Pagamento bloccato, clicca qui per annullarlo» |
| Pacco | Avviso di consegna di un ordine che hai fatto davvero | «Pacco in giacenza, paga 1,99 € per la riconsegna», senza un ordine che conosci |
| Rimando | Un invito generico a usare l'app ufficiale | Un link a una pagina di login o di pagamento |
Poste Italiane scrive che né lei né le Autorità chiedono «mai», con nessun canale, le credenziali di accesso a poste.it e all’app, i codici OTP ricevuti via SMS e i dati delle carte (PIN, numero, scadenza, CVV) (Poste Italiane, verificato il 17 ottobre 2026). Banca d’Italia lo dice per le banche in questi termini: «La banca non ti chiederà mai i dati che usi per i pagamenti online o l’home banking», e cita l’e-mail e il telefono (Banca d’Italia, «Truffe: come difendersi», verificato il 17 ottobre 2026). Gli SMS non sono nominati, ma per me la logica è la stessa. Resta una frase attribuita a due fonti, non una regola valida per tutte le aziende.
⚠️ Attenzione — Il codice OTP è per te
Il codice che ricevi serve a te, sul tuo schermo. Se qualcuno te lo chiede, la conversazione finisce lì.
Passo 3: dove porta il link (senza aprirlo)
Il terzo passo è leggere il dominio, cioè il nome che identifica il sito. La regola è una sola: leggi la parte tra https:// e il primo /. Le ultime due parti di quel pezzo devono essere il dominio che conosci. Due esempi inventati:
www.nomebanca.it/accesso: le ultime due parti sononomebanca.it. Coincide con il sito che conosci.nomebanca.it.verifica-conto.xyz/accesso: le ultime due parti sonoverifica-conto.xyz. Il nome della banca compare, ma il dominio è un altro.
Per leggerlo senza aprire il link, copia il testo del messaggio e incollalo da un’altra parte.
Android (Google Messaggi)
Tieni premuto il messaggio, non il link, e tocca Copia (o l’icona di copia). Incolla il testo in Keep o Note, oppure in Analizza un link. Lo strumento lavora solo nel browser: il link che incolli non viene inviato a nessun server. Su Samsung Messaggi e su altre app le voci possono avere nomi diversi.
iPhone (Messaggi)
Tieni premuto sul messaggio, in un punto fuori dal link, e tocca Copia. Incolla il testo in Note o nello stesso strumento Analizza un link. Evita di tenere premuto proprio sul link: su iPhone quel gesto può mostrare un’anteprima della pagina, e l’anteprima potrebbe caricarla. Se il messaggio è breve e il link occupa quasi tutto il fumetto, copia comunque il messaggio intero e non aprire nulla.
Un link accorciato (del tipo bit.ly/…) nasconde il dominio: in un SMS che dice di venire dalla banca è un motivo in più per non cliccare. È un segnale, non una prova.
Se i domini che sembrano quasi giusti ti preoccupano, c’è l’articolo su come leggere un URL contro il phishing: non serve per fare questi passi.
⚠️ Attenzione — Anche se il dominio sembra giusto
Il passo 4 resta obbligatorio. Un dominio corretto non dimostra che il messaggio venga da chi dice.
Passo 4: richiama tu il numero ufficiale (l’abitudine che chiude il dubbio)
L’ultimo passo non dipende dal messaggio, ed è quello che ti protegge anche quando i primi tre non bastano. Verifichi tu, da un canale che hai scelto tu.
Dove trovare il numero vero, in ordine pratico:
- il retro della carta;
- l’app della banca, nella sezione assistenza;
- il contratto o l’estratto conto;
- il sito ufficiale, digitato a mano o aperto dai segnalibri.
Non usare il numero scritto nell’SMS. Per cautela, evita anche il primo risultato sponsorizzato di una ricerca, che non sempre è il sito della banca. Il Garante dà lo stesso consiglio: prima di richiamare un numero indicato in un messaggio, verifica che corrisponda a quello ufficiale sui siti istituzionali, oppure contatta la banca o il gestore della carta attraverso «canali di comunicazione conosciuti e affidabili» (Garante, «Smishing», verificato il 17 ottobre 2026).
Per i servizi di Poste Italiane, l’azienda indica di aprire l’app ufficiale o di digitare www.poste.it direttamente nella barra del browser, evitando i link ricevuti per e-mail, SMS o social. Per un pacco, apri l’app o il sito del corriere o del negozio da cui hai comprato e controlla l’ordine da lì. Se non hai ordini in corso, l’avviso quasi certamente non riguarda te: verifica comunque dal sito del corriere, mai dal link.
Se sei al telefono con qualcuno che «ti sta aiutando», vale la stessa abitudine: chiudi e richiami tu, dal numero ufficiale.
💡 Consiglio pratico — Una frase da dire ai genitori
«La banca vera non si offende se chiudi e richiami.»
Segnalare, bloccare e filtrare su Android e iPhone
Prima di eliminare, fai uno screenshot del messaggio: ti serve per la segnalazione, e dopo averlo cancellato non lo hai più. Poi scegli cosa fare, tenendo presente che segnalare, bloccare e filtrare sono tre cose diverse.
Android (Google Messaggi)
Tieni premuta la conversazione, tocca Blocca, poi Segnala come spam, poi OK. In alternativa, aprila, tocca i tre puntini, poi Dettagli, poi Blocca e segnala come spam. La conversazione finisce in «Messaggi bloccati e spam». I nomi sono quelli della guida di Google, in inglese («Block», «Report spam», «Spam & blocked»); nell’app in italiano le voci possono essere tradotte in modo diverso.
Due dettagli che Google dichiara nella stessa guida: puoi bloccare un contatto senza segnalarlo, e una segnalazione invia a Google il numero del mittente e i suoi ultimi 10 messaggi in arrivo. L’app può inoltre creare una conversazione «Spam reporting» che manda al tuo operatore il numero e l’ultimo SMS (Google, «Report spam in Google Messages», verificato il 17 ottobre 2026). Se il messaggio contiene dati personali tuoi, è un punto da valutare prima di toccare Segnala.
iPhone (Messaggi)
Per un messaggio non ancora aperto, scorri verso sinistra, tocca il cestino e scegli «Elimina e segnala come indesiderato». Se l’hai già aperto, in fondo trovi il link «Segnala come indesiderato». Per gli SMS la segnalazione dipende dall’operatore e dal paese. Per bloccare, tocca l’icona in alto, poi Info, poi «Blocca contatto». Per filtrare i mittenti sconosciuti, apri Messaggi e vai su «Gestisci i filtri» (Apple, segnalare e bloccare e filtrare i messaggi). I nomi esatti delle voci cambiano con la versione di iOS.
Secondo la stessa guida Apple, segnalare non impedisce di ricevere altri messaggi dallo stesso mittente, dopo aver risposto non puoi più segnalarlo, e bloccare un mittente non blocca quelli nuovi che arrivano da altri numeri.
Per questo il blocco e il filtro sono una pulizia, non una difesa: la routine resta quella.
Dove segnalare un SMS truffa in Italia
In Italia non esiste un numero unico per segnalare gli SMS, come il 7726 del Regno Unito. I canali utili per un SMS di questo tipo sono questi:
- Polizia Postale: dal sito commissariatodips.it, nella sezione Segnalazioni, scegli Segnala online. È una segnalazione, non una denuncia, e non serve per le emergenze: in quel caso chiama il 112 o il 113.
- La tua banca o Poste, dai canali ufficiali. Per gli SMS a nome di Poste c’è l’indirizzo antiphishing@posteitaliane.it, indicato da Poste.
- CERT-AGID: puoi inoltrare gli SMS sospetti a malware@cert-agid.gov.it, come indica il CERT-AGID (verificato il 17 ottobre 2026).
- Il tuo operatore, con un limite importante. Il 40214 di Vodafone riguarda i messaggi pubblicitari non richiesti, non le truffe: si inoltra il messaggio a quel numero, gratuito, e Vodafone lo valuta (Vodafone, verificato il 17 ottobre 2026). WINDTRE ha un modulo di segnalazione. Per TIM e Iliad, al momento di scrivere, non ho trovato un canale dedicato.
Annota data, ora, mittente, testo e link, quest’ultimo copiato e non aperto. Nei moduli non scrivere password o codici: non te li chiede nessuno per segnalare.
Se hai già cliccato (o inserito dati): i primi minuti
Dipende da cosa è successo dopo il clic.
- Hai solo aperto la pagina. Il rischio è più basso, ma non nullo. Chiudi la pagina e non installare né scaricare niente.
- Hai inserito credenziali o dati della carta. Chiama subito la banca dal numero ufficiale, blocca la carta, cambia la password dall’app vera e controlla i movimenti.
- Hai installato un’app o comunicato un codice. Chiama subito la banca e fai controllare il telefono da qualcuno di fiducia.
Se ti hanno sottratto dei soldi, Banca d’Italia indica la strada: chiedi il rimborso alla banca; se lo nega e ritieni di aver agito correttamente, presenta un reclamo e poi, se serve, ricorri all’Arbitro Bancario Finanziario (ABF); in ogni caso puoi inviare un esposto alla Banca d’Italia (Banca d’Italia, verificato il 17 ottobre 2026). Il rimborso, sempre secondo Banca d’Italia, spetta solo se hai agito in modo diligente: non spetta, per esempio, se hai comunicato i dati di accesso al telefono. E restano esclusi i pagamenti che hai autorizzato, anche se poi si sono rivelati una truffa. Non è una promessa di esito, ma il quadro in cui si valuta il tuo caso.
La denuncia non è indispensabile per il rimborso, ma può aiutare a combattere le truffe. Se vuoi sporgerla, la Polizia Postale indica la pre-denuncia online su denunceonline.poliziadistato.it con SPID o CIE. Per mettere in sicurezza i tuoi account c’è la guida su 2FA e passkey dopo una violazione.
Errori comuni: sintomo, causa, correzione
- «Era nella chat della mia banca, quindi era vero». Il nome del mittente si può imitare. Giudica la richiesta e verifica dall’app.
- «Ho chiamato il numero scritto nell’SMS per sicurezza». Era il numero di chi ha scritto, non quello della banca. Usa il numero sulla carta o nell’app.
- «Ho bloccato il numero, ora sono a posto». I mittenti cambiano. La routine resta, il blocco è solo una pulizia.
- «Era solo 1,99 €». La cifra bassa serve a farti inserire i dati della carta. Non pagare dal link di un SMS.
- «Ho controllato che ci fosse il lucchetto». HTTPS dice che la connessione è cifrata, non chi c’è dietro il sito. Leggi il dominio, poi passa al passo 4.
Hai finito se…
Hai finito quando sai ripetere a memoria le quattro domande e hai salvato in rubrica il numero ufficiale della tua banca, preso dal retro della carta. Sai copiare un link da un SMS senza aprirlo, sul tuo telefono, e sai dove segnalarlo.
Domande Frequenti (FAQ)
Come faccio a capire se un SMS della banca è vero?
Non lo capisci dal messaggio: lo verifichi fuori dal messaggio. Applica le quattro domande e, se resta il dubbio, chiudi l’SMS e apri l’app della banca o chiama il numero sul retro della carta. Se c’è un avviso vero, di solito lo ritrovi anche lì.
Perché l’SMS falso è nella stessa chat dei messaggi veri della banca?
Il nome del mittente si può imitare, e il telefono raggruppa i messaggi per nome. Poste conferma che i falsi possono comparire nelle conversazioni ufficiali. Le regole AGCOM sugli alias riducono il problema, non lo azzerano.
Ho aperto il link ma non ho inserito niente: cosa rischio?
Il rischio è più basso, non nullo. Chiudi la pagina, non installare né scaricare niente e tieni aggiornato il telefono. Se hai scaricato un file o un’app, il discorso cambia: segui lo scenario della sezione «Se hai già cliccato» e chiama la banca.
Le banche mandano link via SMS?
Anche un SMS vero può contenere un link, quindi la sua presenza da sola non decide niente: conta cosa ti chiede e dove ti porta, e nel dubbio apri l’app invece del link. Alcune banche inviano SMS veri, come codici o avvisi di operazione: controlla come fa la tua, sul sito o nell’app. Il segnale d’allarme è la richiesta di inserire credenziali, codici o dati della carta, che Poste Italiane indica di non fare in nessun canale e che la Banca d’Italia esclude per e-mail e telefono.
Dove segnalo un SMS truffa in Italia?
Alla Polizia Postale, dal sito commissariatodips.it; alla tua banca o a Poste (antiphishing@posteitaliane.it); al CERT-AGID (malware@cert-agid.gov.it); e, se esiste, al canale del tuo operatore. Non c’è un numero unico nazionale.
Se poi mi chiama la banca con il numero vero, posso fidarmi?
Chiudi e richiama tu, usando il numero sulla carta o nell’app. Il numero che compare sul display può essere falsificato, quindi non dimostra chi chiama. Una banca vera non si offende se verifichi.
Bloccare il numero basta?
No: chi scrive può cambiare mittente in qualsiasi momento. Il blocco ripulisce la chat, ma a proteggerti è la routine delle quattro domande, da ripetere su ogni SMS sospetto.
Letture opzionali
Per i domini quasi uguali c’è l’articolo su come leggere gli URL contro il phishing. Sul lucchetto del browser, quello su cos’è HTTPS e perché non basta.
