Truffe via SMS: la guida pratica per gli anziani

Una truffa via SMS (si dice anche smishing) è un messaggio fraudolento che finge di venire dalla sua banca, dalle Poste Italiane, da un corriere o da un'azienda conosciuta — di solito per farle cliccare un link, «confermare» un dato, o pagare delle spese. Se si chiede come distinguere un messaggio vero da uno falso, ecco la regola da ricordare: nessuna organizzazione seria le chiede mai di pagare spese o di inserire dati personali seguendo un link in un SMS inatteso. Questa guida è fatta per l'Italia e scritta per gli anziani: gratuita, in italiano chiaro e semplice, con le truffe vere che circolano qui (la falsa banca, il finto pacco delle Poste, il «ciao mamma, ho cambiato numero» su WhatsApp), i veri canali per segnalare in Italia, e i passi da seguire per i nonni e per i familiari che li aiutano. Molte guide che si trovano online sono scritte per i figli, non per i nonni — piene di termini tecnici e senza niente di pratico da tenere a portata di mano. Questa invece parla a lei direttamente, passo passo, e alla fine trova una scheda da stampare da tenere vicino al telefono.

Come riconosco subito un SMS falso?

Un SMS è quasi sempre falso quando arriva da un numero sconosciuto, crea fretta e chiede di cliccare un link, rispondere, pagare o dare dati. Le truffe via SMS seguono sempre lo stesso copione. Passi ogni SMS sospetto in questa tabella — due segnali o più, ed è quasi certamente falso:

La buona notizia: non deve analizzare ogni SMS come un detective. Se un SMS inatteso le chiede di fare qualcosa — cliccare, rispondere, pagare, confermare — lo tratti come falso e segua i passi qui sotto. Una vera notizia può sempre aspettare i due minuti di una verifica.

Le truffe più frequenti in Italia

I truffatori usano i nomi che lei conosce e di cui si fida. Ecco gli schemi tipici che circolano in Italia — descriviamo gli schemi, non messaggi veri copiati, così impara a riconoscerli senza farsi ingannare:

• Il finto SMS delle Poste o del corriere. Lo schema: le dicono che un pacco è «in giacenza» e le chiedono di «aggiornare l'indirizzo» o di pagare «spese di consegna» tramite un link. Le Poste e i corrieri non chiedono mai pagamenti né dati personali tramite un link in un SMS.
• Il finto SMS della banca. Lo schema: «movimento sospetto rilevato», «la sua carta verrà bloccata», con un link per «verificare la sua identità». La sua banca non le chiederà mai il PIN, la password o un codice di verifica via SMS. Mai.
• Il «ciao mamma/papà, ho cambiato numero». Lo schema: un messaggio su WhatsApp o SMS da un numero sconosciuto finge di essere suo figlio o suo nipote che ha cambiato telefono. Dopo qualche messaggio affettuoso, arriva la richiesta urgente di soldi. Se un familiare «cambia numero», chiami il vecchio numero o un altro parente per verificare prima di fare qualsiasi cosa.
• Il finto avviso della Polizia o delle autorità. Lo schema: «Siamo la Polizia, dobbiamo verificare i suoi dati» o multe da pagare subito via link. Come dice la Polizia Postale, nessuna forza di Polizia chiede mai dati personali o pagamenti tramite email o SMS. È sempre una truffa.
• Il finto rimborso o la finta vincita. Lo schema: le dicono che ha diritto a un rimborso, a un bonus o a un premio, e per riceverlo deve «confermare i dati» su una pagina. Soldi che arrivano dal nulla in cambio dei suoi dati non esistono: è l'esca.

Noti il punto in comune: ogni scenario le chiede di agire in fretta seguendo il loro link. Spezzi questo meccanismo — verifichi da solo — e tutta la truffa crolla.

Cosa faccio nei primi 5 minuti quando arriva un SMS sospetto?

Quando arriva un SMS sospetto, non deve decidere in fretta: deve solo seguire questi 5 passi calmi, sempre gli stessi. Li faccia in ordine, senza saltarne nessuno:

1. Non clicchi il link. Nemmeno «solo per vedere». I link fraudolenti portano a siti falsi molto convincenti fatti per rubare numeri di carta — e a volte a pagine che tentano di installare programmi dannosi. Il link è la trappola; il resto è solo l'esca.
2. Non risponda — nemmeno «STOP». Qualsiasi risposta conferma al truffatore che il suo numero è reale e viene letto, e di solito porta a ricevere più SMS fraudolenti. Il silenzio è la risposta giusta.
3. Non chiami il numero dentro l'SMS. Alcuni SMS fraudolenti includono un numero di «assistenza clienti» che porta direttamente ai truffatori. Se deve contattare un'azienda, cerchi da solo il suo numero ufficiale.
4. Verifichi da solo, per la strada giusta. Apra l'app della sua banca o del negozio dove ha ordinato, o digiti lui stesso l'indirizzo del sito ufficiale nel browser. Se c'è un vero problema, sarà mostrato sul sito ufficiale. Altrimenti, l'SMS era falso.
5. Segnali, blocchi, cancelli. Faccia la segnalazione sul portale ufficiale (ne parliamo qui sotto), poi blocchi il mittente e cancelli il messaggio. Fatto — l'intero episodio è durato tre minuti.

Noti cosa non c'è in questa lista: farsi prendere dal panico, chiamare la banca «per sicurezza», o cambiare tutte le password. Se non ha cliccato niente e non ha condiviso niente, non c'è niente da riparare. L'SMS era un tentativo, e il tentativo è fallito.

Come verifico senza usare il messaggio?

Per verificare un SMS sospetto senza usare il messaggio, parta sempre dall'app ufficiale o dal sito digitato da lei, mai dal link ricevuto. Molti cliccano solo perché aspettano davvero un pacco o un avviso e si sentono obbligati ad agire. Prenda invece questa abitudine, e non dovrà mai più fidarsi di un SMS:

Parta dal negozio, non dall'SMS. Apra l'app del negozio, la sua app bancaria, o l'email di conferma dell'ordine — le informazioni di tracciamento che ha già sono la fonte affidabile. Tocchi il link di tracciamento lì, non nell'SMS.

Digiti gli indirizzi da solo. Per verificare con un corriere, apra il browser e digiti l'indirizzo a mano: ad esempio, l'indirizzo ufficiale delle Poste o del corriere che usa di solito. Poi inserisca il numero di tracciamento della sua conferma d'ordine. Trenta secondi di digitazione valgono più della fiducia data a uno sconosciuto.

Conservi i veri numeri di tracciamento. Quando ordina qualcosa, conservi l'email di conferma. Un SMS falso non contiene quasi mai il suo vero numero di tracciamento — confrontare i due rivela la bugia all'istante.

Chiami i numeri che conosce già. Per la banca: il numero verde stampato sul retro della carta o sull'estratto conto. Per un negozio: il numero sul sito ufficiale digitato da lei. Mai il numero scritto dentro l'SMS sospetto.

Se ha familiari vicini, non esiti a chiedere un secondo parere. Mostri loro l'SMS e chieda: «Ti sembra vero?» Le truffe contano su un momento di fretta; un secondo paio di occhi spezza l'incantesimo del tutto. Molte famiglie ne fanno una regola permanente: nessuno tocca un link di un SMS senza parlarne prima.

Un caso speciale: il messaggio che sembra arrivare da un familiare. Il trucco del «ciao mamma, ho cambiato numero» merita un'attenzione in più perché gioca con il cuore. Se riceve un messaggio del genere, faccia così: non risponda al nuovo numero, chiami subito il vecchio numero del figlio o del nipote, oppure chiami un altro familiare («Hai sentito tuo fratello oggi?»). Se non riesce a raggiungere nessuno, aspetti: un vero familiare può aspettare un'ora, un truffatore no. E se avete stabilito una parola d'ordine familiare (ne parliamo più sotto), la chieda nel messaggio: un vero familiare la conosce, un truffatore non la indovinerà mai.

Dove lo segnalo in Italia?

In Italia la segnalazione ufficiale si fa sul portale del Commissariato di P.S. Online (commissariatodips.it), la piattaforma della Polizia di Stato per i reati telematici. È il canale giusto per segnalare phishing, hacking, spam e truffe negli acquisti online. Ecco come funziona, passo passo:

1. Vada su commissariatodips.it digitando l'indirizzo lui stesso nel browser (non clicchi link negli SMS per arrivarci).
2. Cerchi la sezione delle segnalazioni online e scelga il tipo di reato: phishing, spam, truffa e-commerce, hacking.
3. Descriva cosa è successo con calma: il testo del messaggio, il numero del mittente, la data e l'ora. Se ha fatto uno screenshot, lo alleghi.
4. Sappia la differenza importante: la segnalazione online non sostituisce la denuncia. Serve ad avvisare le forze dell'ordine e ad alimentare le indagini sulle campagne di truffa.

Se invece vuole sporgere una vera denuncia, sappia che la pre-denuncia online è ancora in fase sperimentale e al momento è attiva solo nel Lazio, nelle province di Rieti e Frosinone. Per tutti gli altri casi, la denuncia si fa di persona presso gli uffici di Polizia.

Segnalare serve davvero? Sì. Ogni segnalazione si aggiunge a migliaia di altre e permette alla Polizia Postale di individuare le campagne di truffa in corso — è così che si smantellano le grandi operazioni. La Polizia Postale stessa pubblica regolarmente avvisi sulle campagne di smishing bancario in corso, con un avvertimento chiaro: «Non inserire MAI i propri dati bancari» seguendo link ricevuti per messaggio.

Un'ultima cosa importante, sempre dalla Polizia Postale: «Nessuna forza di Polizia contatta mai direttamente i cittadini, attraverso email o sms, per chiedere loro dati personali o pagamenti.» Lo ricordi bene, perché i truffatori usano proprio la divisa — anche solo a parole — per farsi obbedire.

In Italia esiste anche la campagna nazionale «Più sicuri insieme», promossa da Confartigianato insieme alla Polizia Postale, dedicata proprio a difendere gli anziani dalle truffe: ne parli con la sua associazione di categoria o al patronato, spesso distribuiscono vademecum gratuiti molto chiari.

Come proteggo il telefono in anticipo?

Il telefono si protegge in anticipo attivando i filtri antispam, imparando a bloccare i mittenti e preparando con la famiglia una parola d'ordine. Bastano dieci minuti, una volta sola, e poi il telefono lavora per lei. Ecco cosa fare, in ordine:

Su iPhone: apra l'SMS sospetto, tocchi il numero o il nome in alto, poi «Info», e scelga «Blocca contatto». Per filtrare in automatico, vada in Impostazioni > Messaggi e attivi «Filtra mittenti sconosciuti»: gli SMS dai numeri sconosciuti finiranno in una cartella separata, lontano dai messaggi veri.

Su Android: apra l'SMS, tocchi i tre puntini in alto a destra (o il numero), poi «Blocca» o «Segnala come spam». Nell'app Messaggi di Google, vada in Impostazioni > Protezione antispam e la attivi: molti SMS fraudolenti verranno filtrati da soli, senza che lei debba fare niente.

Su WhatsApp (dove arriva spesso il trucco del «ciao mamma, ho cambiato numero»): se un numero sconosciuto le scrive, non risponda e non aggiunga il contatto. Blocchi e segnali il numero direttamente dalla chat: tocchi il numero in alto, scorra in basso e scelga «Blocca» e «Segnala». Nella nostra guida dedicata spieghiamo passo passo come usare WhatsApp in sicurezza — la trova qui: WhatsApp per nonni: la guida facile passo passo.

Impari a riconoscere i numeri veri della sua banca. Molte banche inviano avvisi da mittenti con il nome della banca (non da numeri di cellulare). Chieda in filiale: «Da quale nome/mittente mi scrivete voi?» e se lo segni su un foglietto vicino al telefono. Tutto ciò che arriva da un mittente diverso va trattato con sospetto.

Chieda aiuto di persona, gratis. In tutta Italia ci sono più di 3.000 Punti Digitale Facile: sportelli gratuiti in comuni, biblioteche e patronati dove un facilitatore digitale aiuta uno a uno, gratis. Un terzo di chi li usa ha più di 55 anni, e tra le cose che insegnano c'è proprio come difendersi dalle truffe online. Trova il punto più vicino sul sito ufficiale: repubblicadigitale.gov.it. Porti il telefono e chieda: «Mi aiutate ad attivare i filtri antispam?» — lo faranno insieme a lei, con calma.

Per le emergenze vere — non le truffe, ma quando serve aiuto urgente — prepari il telefono in anticipo con i numeri giusti e le funzioni SOS: la nostra guida dedicata spiega come configurare il 112 e il 118 e l'app Where Are U insieme a un familiare: SOS di emergenza sullo smartphone per anziani.

La parola d'ordine familiare: la difesa più semplice

La parola d'ordine familiare è un segreto condiviso che smaschera all'istante i finti parenti: costa zero e si prepara in due minuti. Ecco una difesa semplice e potente che sempre più famiglie italiane adottano: una parola d'ordine familiare — una parola o una frase segreta che conoscono solo lei e i suoi cari. Ad esempio: «castagna», oppure una frase come «la casa al mare di nonna».

La regola: se qualcuno la contatta fingendosi un familiare in difficoltà («ho cambiato numero, mandami dei soldi in fretta»), chieda la parola d'ordine. Un vero familiare la conosce; un truffatore, mai. Questa semplice domanda ferma sul nascere le truffe del «finto nipote» e del «finto figlio».

Come sceglierla bene:

• Sceglietela insieme, di persona o al telefono — mai via SMS o WhatsApp, perché i messaggi si possono leggere.
• Non scrivetela da nessuna parte dove un estraneo potrebbe trovarla: niente foglietti in borsa, niente note nel telefono.
• Usatela solo nei momenti di dubbio, non nelle conversazioni normali: così resta un segreto vero.
• Cambiatela se sospettate che qualcuno l'abbia sentita o indovinata.

Spieghi la regola anche ai nipoti piccoli: se il «nonno» che scrive non sa la parola d'ordine, non è il nonno. I bambini la trovano un gioco, e intanto imparano a difendersi anche loro.

Aiutare un genitore anche da lontano

Per aiutare un genitore anziano anche da lontano, gli faccia mandare una foto dello schermo e controlli lei il messaggio, con calma e senza rimproveri. In Italia le famiglie sono spesso lontane — un figlio a Milano, un genitore in Calabria o in un paesino. Ecco come aiutare senza essere lì di persona:

• Chieda una foto dello schermo. Dica: «Fai una foto allo schermo con il telefono e mandamela.» Così può verificare l'SMS lei stesso e spiegare con calma cosa vede — senza che suo padre o sua madre debbano descrivere il messaggio a memoria.
• Fate le verifiche insieme, al telefono. Li guidi passo passo: «Apri tu stesso l'app della banca… Vedi qualcosa di strano? No? Allora l'SMS era falso.» Imparano il metodo, non solo la risposta.
• Attivate le protezioni a distanza. Su iPhone, attivi per loro il filtro dei mittenti sconosciuti; su Android, la protezione antispam. Si fa in pochi minuti al telefono, guidandoli voce per voce.
• Stabilite la regola d'oro. Concordate insieme: nessun link di SMS si tocca senza parlarne prima — con lei, con un fratello, con una sorella, con un vicino di fiducia. Una sola regola semplice vale più di dieci consigli complicati.
• Quando va a trovarli, fate manutenzione. Alla prossima visita, prendete dieci minuti per bloccare i vecchi numeri sospetti e controllare le impostazioni insieme. È anche il momento buono per scegliere la parola d'ordine familiare.
• Segnalate loro i Punti Digitale Facile. Se lei è lontano, un punto di aiuto gratuito vicino a casa loro (comune, biblioteca, patronato) può fare quello che lei farebbe di persona. Li trova su repubblicadigitale.gov.it.

E soprattutto: non rimproveri mai un genitore che ci è cascato o che ci è quasi cascato. La vergogna fa tacere — e una persona che si vergogna non chiederà aiuto la prossima volta. Dica piuttosto: «Succede a tutti, questi messaggi sono fatti per ingannare. Parliamone, così la prossima volta saremo pronti.»

Quando ho già cliccato o dato dei dati

Se ha già cliccato o dato dei dati, agisca in fretta ma con calma: chiuda tutto, chiami la banca e cambi le password, senza vergogna. Se non ha cliccato niente e non ha dato niente, non c'è altro da fare oltre a segnalare e cancellare. Ma se ha cliccato o condiviso qualcosa, ecco cosa fare:

1. Se ha inserito dati bancari o un numero di carta: chiami subito la sua banca al numero sul retro della carta. Dica semplicemente: «Credo di aver inserito i miei dati su un sito falso.» Loro sanno esattamente cosa fare: controllare, bloccare, sostituire la carta.
2. Se ha dato una password: la cambi subito dal sito vero o dall'app vera — non dal link dell'SMS. Se usa quella password anche altrove, la cambi anche lì.
3. Se ha dato un codice di verifica: chiami la banca senza indugio — quel codice può servire a confermare un'operazione fraudolenta.
4. Controlli i suoi conti con attenzione per qualche settimana: estratti conto, carta di credito. Segnali qualsiasi operazione sconosciuta, anche piccola.
5. Faccia la segnalazione al Commissariato di P.S. Online (commissariatodips.it). Anche se ha sistemato tutto, la sua segnalazione aiuta a proteggere gli altri.

Non c'è nessuna vergogna a chiamare la banca per questo: gli impiegati ricevono queste chiamate ogni giorno, e preferiscono di gran lunga una chiamata preventiva a una frode scoperta troppo tardi.

E se ha inviato soldi a un finto familiare? Chiami subito la sua banca e spieghi cosa è successo: se il bonifico è recente, a volte si può ancora bloccare. Poi faccia denuncia: la denuncia vera si fa di persona presso gli uffici di Polizia (la pre-denuncia online è sperimentale solo in Lazio, a Rieti e Frosinone). Porti con sé tutti i messaggi e gli screenshot: più dettagli dà, meglio è.

Da stampare: la checklist anti-truffa da tenere vicino al telefono

Questa scheda è fatta per essere stampata e tenuta vicino al telefono — sul frigorifero, sul comodino, dove vuole. La stampi in grande, o la ricopi a mano su un foglio: prima di toccare un SMS sospetto, legga i punti uno a uno.

Perché queste truffe funzionano — e perché non deve vergognarsi

Le truffe via SMS funzionano perché sono inviate in milioni a costo quasi zero, non perché lei sia stato ingenuo. I truffatori non sanno chi è lei, non hanno violato il suo telefono, e ricevere un SMS non dice niente della sua intelligenza né della sua prudenza — dice solo che il suo numero era su una lunga lista.

Sono anche ben sincronizzate: le ondate di truffe aumentano intorno alle feste e ai periodi di scadenze, proprio quando milioni di persone aspettano davvero pacchi o avvisi. Un SMS su un «pacco in giacenza» non colpisce allo stesso modo a dicembre e a marzo — e i truffatori lo sanno.

Non c'è quindi nessun motivo di avere paura, né vergogna se un messaggio l'ha ingannata per un attimo. Tutta la difesa sta in un'abitudine, non in un talento: SMS inatteso → non cliccare → verificare da soli → segnalare e cancellare. Questo è tutto il sistema, e batte tutte le varianti.

E sappia cosa vuole davvero il truffatore, perché questo rende lo schema meno misterioso. Ci sono solo due obiettivi: i suoi soldi, tramite piccole «spese» che portano a un modulo per la carta, o i suoi dati, tramite una falsa pagina di accesso che raccoglie nomi utente e password. Tutto qui. Non vedono dentro il suo telefono, non possono svuotare il suo conto partendo da un solo SMS, e non hanno nessun potere speciale su di lei. Ogni truffa riuscita di questo tipo ha avuto bisogno che la vittima digitasse qualcosa in una pagina falsa — e questo rende la difesa meravigliosamente semplice: non digiti mai niente che un SMS le ha chiesto di digitare.

Riepilogo rapido

La versione in 10 secondi: SMS inatteso che le chiede di cliccare, rispondere o pagare = falso. Non clicchi, non risponda — verifichi nell'app vera.

La pulizia in 3 minuti: segnali sul portale ufficiale, blocchi il mittente, cancelli l'SMS.

La regola d'oro: una vera banca, un vero corriere e una vera autorità non chiedono mai soldi né dati personali tramite un link in un SMS — e la Polizia non contatta mai i cittadini via SMS o email per chiedere dati o pagamenti.

I riferimenti da ricordare: segnalazioni sul Commissariato di P.S. Online (commissariatodips.it); emergenze vere al 112 o al 113; aiuto gratuito di persona ai Punti Digitale Facile (repubblicadigitale.gov.it).

Le truffe via SMS sono solo uno dei pericoli. Per una difesa generale, veda la nostra checklist anti-truffa senior scam checklist (in inglese) e le nostre risorse ufficiali di sicurezza (in inglese). Per usare WhatsApp in sicurezza con i nipoti, legga la nostra guida WhatsApp per nonni; per preparare il telefono alle vere emergenze, la guida SOS di emergenza sullo smartphone. Oppure cominci dalla home page di SeniorPhoneGuide.