Come funziona
Lo smishing è il phishing via SMS: un messaggio che spinge a cliccare un link verso un sito clone, a scaricare un’app infetta o a comunicare credenziali e codici. Con lo SMS spoofing il truffatore falsifica il nome del mittente, così il messaggio si inserisce nella cronologia dei messaggi autentici della banca. Per un utente medio distinguerlo da una comunicazione genuina diventa quasi impossibile.
Le varianti sono molte: il conto bloccato, la bolletta non pagata, il pacco in giacenza, l’INPS o l’Azienda sanitaria che ti scrivono, il premio da riscattare. Spesso il messaggio è solo il primo passo e viene seguito da una telefonata del finto operatore.
Perché lo spoofing conta nella tutela
Quando l’SMS falso si inserisce nella chat autentica della banca, è molto più difficile sostenere che il cliente sia stato gravemente negligente. La capacità dei truffatori di camuffare i messaggi viene spesso ricondotta all’area di rischio dell’intermediario. Per questo lo screenshot dell’intera conversazione è una delle prove più importanti.
Operazione fatta da altri. Se i truffatori hanno usato le tue credenziali per disporre pagamenti al posto tuo, l’operazione è non autorizzata. In questo caso la disciplina europea sui servizi di pagamento (direttiva PSD2, attuata in Italia dal D.Lgs. 11/2010) tutela in modo forte il cliente. La banca deve rimborsare subito, salvo un fondato sospetto di frode da parte del cliente, e la sentenza della Corte di giustizia UE del 15 ottobre 2026, causa C-70/25 ha chiarito che non può rifiutare il rimborso immediato sostenendo che il cliente sia stato gravemente negligente. Quella valutazione viene dopo, e la prova spetta alla banca.
Come riconoscerla
- Urgenza o minaccia: conto bloccato, accesso anomalo, operazione da annullare entro pochi minuti.
- Un link da aprire, anche se il testo sembra quello del sito ufficiale.
- Richiesta di credenziali, PIN o codici OTP: nessuna banca li chiede via SMS.
- Un numero da richiamare diverso da quello sul retro della carta.
Cosa fare subito
- Non cliccare, non rispondere e non chiamare il numero indicato nel messaggio.
- Verifica accedendo all’app ufficiale o chiamando il numero verde della banca.
- Se hai inserito i dati, blocca subito carte e accessi e cambia le password.
- Fotografa l’intera chat, con mittente, data e ora, prima di cancellare qualsiasi cosa.
Trovi tutti i passaggi, dalla raccolta delle prove al reclamo, nella guida Cosa fare subito dopo una truffa.
Domande frequenti
Ho cliccato sul link ma non ho inserito nulla. Cosa rischio?
Se non hai inserito dati e non hai installato nulla, il rischio è basso. Controlla comunque i movimenti, aggiorna il telefono e, se hai il dubbio di aver scaricato un file, scollegalo da internet e fallo controllare.
La banca dice che il messaggio era chiaramente falso. È vero?
Dipende dal messaggio. Un SMS da numero sconosciuto, pieno di errori, con un link evidentemente estraneo è diverso da un SMS che compare nella chat della banca, scritto in modo impeccabile e coerente con le comunicazioni reali. È la banca a dover dimostrare la tua colpa grave, non tu a dover provare la tua diligenza.