Lo smishing è una truffa digitale che sfrutta i normali SMS per rubare dati personali, credenziali di accesso o soldi. Il nome deriva da “SMS” e “phishing” e indica quei messaggi che si spacciano per comunicazioni ufficiali di banche, corrieri, enti pubblici o servizi online, ma in realtà arrivano da cybercriminali. Lo smishing è in forte crescita perché colpisce direttamente il nostro smartphone, uno strumento che usiamo di continuo e di cui spesso ci fidiamo senza pensarci troppo.
Questi SMS truffa giocano quasi sempre sulle stesse leve: urgenza, paura e apparente ufficialità. Ti avvisano di un conto bloccato, di un pacco in giacenza, di un accesso sospetto o di un pagamento da verificare. Ti invitano a “cliccare subito” su un link o a chiamare un numero per risolvere il problema. È proprio questa pressione psicologica, unita a messaggi sempre più credibili, a rendere lo smishing pericoloso anche per chi ha una buona cultura digitale.
Uno smishing tipico inizia con un SMS che, a prima vista, sembra autentico. Il mittente può apparire come il nome della tua banca, di un noto corriere o di un’azienda che conosci. Nel contenuto trovi frasi come “abbiamo rilevato un accesso sospetto al tuo conto”, “il tuo pacco è in giacenza”, “il tuo account verrà sospeso se non verifichi subito”.
Nel messaggio è quasi sempre presente un link. Se clicchi, vieni portato su un sito che imita in modo molto convincente quello ufficiale: stesso logo, grafica simile, testi credibili. In quella pagina ti vengono richiesti username e password, codici OTP, dati della carta di credito o altre informazioni sensibili. In alcuni casi l’SMS invita a chiamare un numero, dove risponde un presunto operatore che ti guida passo dopo passo a “verificare” i dati, in realtà a consegnarli ai truffatori.
Il problema è che, una volta inserite queste informazioni, chi sta dietro alla truffa può usarle per svuotare conti correnti, fare acquisti non autorizzati, cambiare password, accedere alle tue app e perfino rubare la tua identità digitale. In certe campagne vengono usati anche siti malevoli che provano a installare software pericoloso sul tuo smartphone.
Lo smishing è così insidioso perché i messaggi sembrano autentici, grazie a tecniche che “imitano” il mittente. Inoltre, arrivano in momenti in cui sei distratto: in coda, al lavoro, sui mezzi pubblici. Sotto pressione e con la paura di perdere soldi o un pacco importante, è più facile cliccare senza ragionarci troppo.
Esempi reali di smishing in Italia: dal “pacco in giacenza” alla “truffa della ballerina”
In Italia sono ormai numerosi i casi di smishing che seguono schemi ricorrenti. Ecco qualche esempio. Mentre leggi prova a cercare il filo conduttore delle truffe.
Esempio 1: la “truffa della ballerina”.
Il messaggio arriva da un contatto già salvato in rubrica e contiene la foto di una giovane ragazza vestita da ballerina accompagnata da un testo rassicurante. “Ciao! Puoi votare per Federica (o altri nomi)? È la figlia di una mia amica / la nipote di… Sta partecipando a un concorso di danza e con il tuo voto può vincere una borsa di studio. A te non costa niente, clicca qui: [link]”. Il collegamento rimanda a una pagina che imita l’aspetto di una piattaforma ufficiale e che richiede l’inserimento del proprio numero di telefono e di un codice ricevuto via SMS. Inserendo questi dati, i truffatori ottengono il controllo dell’account WhatsApp della vittima.
Esempio 2: il “pacco in giacenza”.
Ricevi un SMS che ti informa di una consegna bloccata o di un pacco che non può essere recapitato. Per sbloccarlo ti viene chiesto di cliccare su un link e pagare una piccola somma per “spese di giacenza” o “costi di sdoganamento”. Il sito a cui arrivi sembra quello di un corriere famoso o di Poste Italiane, ma è una copia falsa. Inserendo i dati della carta, in realtà li stai consegnando ai truffatori, che possono usarli per addebitare importi ben più elevati.
Esempio 3: SMS delle banche.
Il messaggio parla di “conto bloccato”, “operazione sospetta” o “accesso non riconosciuto” e ti invita a verificare immediatamente. Il link porta a una pagina di home banking fasulla oppure a un numero dove un falso operatore ti chiede codici di sicurezza, OTP e credenziali. Molte vittime, convinte di parlare con la propria banca, hanno visto i risparmi sparire in poche ore.
Hai individuato lo schema comune? Eccolo spiegato in cinque passi:
-
Tono urgente: “Immediatamente”, “Ultimo avviso”, “Entro 24h”.
-
Link sospetti: URL abbreviati, domini strani (.ru, .xyz).
-
Richieste dati: Mai password/OTP via SMS da enti seri.
-
Mittente anomalo: Numeri brevi (es. 4832) o nomi simili ma non identici.
-
Errori banali: Grammatica sbagliata, maiuscole strane.
(leggi anche l’articolo “La truffa del CUP – cos’è e come proteggersi“)
Come proteggersi dallo smishing: consigli semplici ma efficaci
La difesa contro lo smishing si basa soprattutto su attenzione e buone abitudini digitali. Alcune regole, se applicate sempre, possono ridurre drasticamente il rischio di cadere in una truffa via SMS.
– Non cliccare mai sui link negli SMS che parlano di soldi, conti, carte o pacchi se non sei assolutamente sicuro dell’origine del messaggio.
– Se ricevi un SMS da banca, corriere o ente pubblico, non usare il link nel messaggio: apri l’app ufficiale, vai sul sito scrivendo l’indirizzo a mano nel browser oppure chiama il numero del servizio clienti che trovi sul sito ufficiale.
– Non comunicare mai PIN, password, codici OTP o numeri completi di carta di credito via SMS, chat o telefono. Nessuna banca o istituzione seria chiede questi dati in questo modo.
– Fai attenzione al tono del testo: se ti mette fretta (“ultimo avviso”, “entro 5 minuti”, “verifica immediata o sospensione”), è un fortissimo campanello d’allarme. Le truffe smishing puntano proprio sulla fretta.
– Controlla bene il mittente: numeri strani o nomi che assomigliano a quello ufficiale ma non sono identici devono insospettire. Ricorda che anche il nome del mittente può essere falsificato.
– Mantieni sempre aggiornato il sistema operativo del tuo smartphone e, se possibile, installa una buona app di sicurezza.
– Attiva l’autenticazione a due fattori (2FA) dove puoi: anche se qualcuno scopre la tua password, senza il secondo codice sarà molto più difficile entrare nei tuoi account.
Se pensi di aver cliccato su un link sospetto o di aver inserito dati in un sito che potrebbe essere falso, agisci immediatamente: contatta la banca, blocca le carte, cambia le password principali e, se necessario, rivolgiti alle autorità. Prima intervieni, più possibilità hai di limitare i danni.
Lo smishing si combatte soprattutto con la consapevolezza. Parlare di queste truffe con familiari, amici e colleghi è un modo concreto per proteggere non solo te stesso, ma anche le persone intorno a te.