Smishing: come riconoscere gli SMS truffa e cosa fare

Il messaggio arriva mentre sei in fila alla posta. Sembra della tua banca, parla di un accesso anomalo e chiede di confermare entro un’ora. Il numero è lo stesso che ti manda le notifiche vere. Funziona così lo smishing: non convince chi è distratto, convince chi ha fretta.

Lo smishing è il phishing che passa dagli SMS e dalle app di messaggistica. Il messaggio imita banca, corriere, INPS, gestore telefonico o piattaforma online e spinge a cliccare un link, richiamare un numero o inserire dati. Dietro c’è quasi sempre una pagina falsa costruita per raccogliere credenziali, codici OTP e numeri di carta.

Qui trovi i segnali che smascherano il messaggio in pochi secondi, i percorsi esatti per bloccare e segnalare il mittente su Android, la sequenza da seguire se hai già cliccato e i controlli che riducono il numero di messaggi nei mesi successivi. La regola di base è una sola: il canale lo scegli tu, mai il messaggio.

Che cos’è lo smishing e perché il mittente non è chi sembra

Un sito protetto da HTTPS si autentica con un certificato. Un SMS non ha nulla di equivalente: il campo del mittente è un’etichetta che il sistema telefonico consegna così come arriva. Un truffatore può farla apparire come vuole.

La conseguenza è concreta. Lo stesso nome mittente della tua banca può comparire in due conversazioni diverse dentro l’app Messaggi, una vera e una falsa. Non è un difetto del telefono, è il modo in cui è costruito il servizio.

Pensa a un messaggio con mittente “Banca” e testo “Accesso non autorizzato rilevato. Conferma ora: banca-sicura.info”. Il nome è credibile, il dominio non lo è e l’app non ha strumenti per dirti quale delle due cose fidarsi. Sapere che il tuo numero è attivo basta a rendere il tentativo plausibile e ogni invio costa al truffatore pochi centesimi.

Per questo verificare il mittente non basta. Serve verificare il canale: app ufficiale, sito digitato a mano, numero stampato sul retro della carta.

Quali segnali smascherano un SMS truffa in pochi secondi?

Cinque elementi coprono quasi tutti i messaggi che circolano in Italia adesso.

• Urgenza con scadenza. “Entro 24 ore”, “ultimo avviso”, “il conto verrà sospeso”. La fretta serve a impedirti di controllare.
• Dominio che imita. Un nome familiare nel testo e un indirizzo che gli somiglia, per esempio poste-giacenze.info oppure inps-rimborsi.online.
• Richiesta di dati che nessun canale ufficiale manda via SMS. PIN, codice OTP, numero completo della carta, foto del documento.
• App o file da installare. Un messaggio che porta a scaricare un APK, cioè un pacchetto di installazione fuori dal Play Store, apre la strada ai malware bancari su Android.
• Micro-pagamento per sbloccare. Il classico pacco in giacenza con 1,99 euro di “sblocco”: la cifra serve solo a raccogliere i dati della carta.

Cosa fare nei primi due minuti, prima di cliccare

La sequenza giusta è breve e va fatta nell’ordine indicato.

1. Fai uno screenshot. Conserva numero o nome del mittente, testo, link, data e ora. Serve per la segnalazione e per la banca.
2. Non cliccare e non rispondere. Una risposta STOP conferma che il numero è attivo e in uso, quindi ti mette in una lista più pregiata.
3. Apri il canale ufficiale. App della banca, app del corriere, area personale INPS con SPID. L’indirizzo si digita a mano, non si copia dal messaggio.
4. Verifica l’attesa. Stai aspettando davvero quel pacco da quel corriere? Hai aperto quella pratica? Se la risposta è no, il messaggio è chiuso.
5. Blocca il mittente e segnalalo come spam. Il blocco ferma quel numero, la segnalazione alimenta i filtri per tutti.

Se il messaggio contiene un numero da richiamare, quel numero non si chiama. Si cerca il recapito ufficiale sul sito dell’azienda e si chiama quello.

Come si blocca e si segnala un SMS truffa su Android?

Ci sono due piani distinti e servono entrambi: l’app di messaggistica ferma il disturbo, la segnalazione alle autorità documenta il tentativo.

Su Google Messages, l’app predefinita su Pixel e su molti telefoni con Android pulito, si apre la conversazione, si tocca il menu a tre puntini in alto a destra e si sceglie Blocca e segnala spam. Nelle impostazioni dell’app la voce Protezione dallo spam attiva il filtro automatico, che sposta i messaggi sospetti in una cartella separata.

Le versioni dei produttori cambiano nomi e posizioni. La tabella sotto riporta i percorsi che si trovano oggi sui telefoni più diffusi.

Per il lato autorità il riferimento è il Commissariato di Pubblica Sicurezza online, il portale della Polizia Postale. Il percorso è Segnalazioni, poi Segnala online, poi il modulo da compilare. Nella descrizione bastano poche righe precise: data e ora di ricezione, mittente visualizzato, testo del messaggio, link contenuto, motivo del sospetto e la frase “non ho cliccato sul link”.

Segnalazione e denuncia non sono la stessa cosa. La segnalazione informa la polizia di un messaggio sospetto. La denuncia serve quando il danno c’è già: soldi sottratti, dati usati, operazioni non riconosciute. Per un’emergenza in corso il numero è il 112.

Una nota che quasi nessuno mette: se il mittente è falsificato, bloccare quel numero non impedisce al truffatore di usarne un altro domani. Il blocco serve a te oggi, il filtro automatico e la segnalazione servono a tutti nei mesi successivi. Vale lo stesso per il gestore telefonico, che può attivare filtri di rete ma non può autenticare un mittente contraffatto.

Hai già cliccato sul link: cosa fare subito

Il danno dipende da quanto sei andato avanti. La sequenza qui sotto vale per tutti i casi, dal clic senza dati inseriti alla compilazione completa del modulo falso.

1. Chiudi la pagina. Non inserire altro, non scaricare nulla, non installare l’app proposta.
2. Se hai inserito credenziali bancarie, chiama la banca. Il numero è sul retro della carta o dentro l’app ufficiale. Chiedi il blocco della carta e la segnalazione dell’operazione come non riconosciuta. Le prime ore contano più delle successive.
3. Cambia la password dagli account coinvolti e fallo da un dispositivo che non è stato toccato dal link. Poi attiva la verifica in due passaggi, se non era già attiva.
4. Controlla le sessioni aperte. Nell’account Google la pagina Sicurezza mostra i dispositivi collegati: chiudi quelli che non riconosci.
5. Se hai installato un APK, disinstallalo e lancia una scansione con Play Protect. Se l’app aveva permessi da servizio di accessibilità, valuta il ripristino ai dati di fabbrica: quel permesso permette di leggere lo schermo e le notifiche.
6. Conserva le prove e valuta la denuncia. Screenshot, ricevute, numeri di pratica. Con un danno economico la denuncia è il passaggio che apre la strada al rimborso.

Se hai fornito i dati del documento, aspettati un secondo tentativo nei giorni successivi, questa volta mirato a nome, indirizzo e data di nascita. Una richiesta di finanziamento a tuo nome si ferma più facilmente se hai già attivato un avviso di credito e se hai la denuncia in mano.

Come ridurre gli SMS truffa che arrivano ogni mese?

Non esiste un interruttore che azzera il fenomeno, ma la combinazione di filtri e abitudini riduce molto il rumore. Su Android i filtri di Google Messages e dei produttori lavorano sui pattern, quindi migliorano quando gli utenti segnalano.

• Attiva il filtro antispam e controlla la cartella spam una volta a settimana, invece di ignorarla.
• Segnala come spam ogni messaggio sospetto, anche quando lo hai già bloccato.
• Usa il canale push della banca per le notifiche vere e considera un secondo numero per i servizi che non ti servono sul principale.
• Non pubblicare il numero sui social e diffida dei moduli online che lo chiedono senza motivo.
• Verifica lo stato di SPID e delle utenze dagli accessi ufficiali, dopo ogni campagna di messaggi che li nomina.

Sul fronte statistico Android parte avvantaggiato: i filtri di sistema intercettano una quota di messaggi di truffa molto più alta rispetto a iOS, come raccontato in questo articolo sul confronto tra Android e iOS sugli SMS di truffa. Il vantaggio però vale solo se i filtri sono attivi.

La verifica finale è in tre punti. Apri le impostazioni di Messaggi e controlla che la protezione dallo spam sia attiva. Blocca un mittente di prova e verifica che sparisca dalla lista principale. Apri l’app della banca e conferma che le notifiche arrivino dall’app, non da SMS con link. Se manca uno dei tre, il resto della protezione vale la metà.

Per la parte di disturbo quotidiano, chiamate comprese, il riferimento operativo resta la guida su come bloccare chiamate e SMS spam su Android. Per le password, il punto di partenza è smettere di riusarle: qui trovi come un password manager protegge gli account.

Domande frequenti sullo smishing

Che differenza c’è tra phishing e smishing?

Il phishing è la truffa che arriva per email. Lo smishing usa SMS o app di messaggistica. Il meccanismo è identico, cambia il canale e il canale cambia il pubblico: l’SMS lo legge quasi tutti entro pochi minuti, l’email spesso resta sepolta.

Ho cliccato ma non ho inserito dati, cosa rischio?

Poco, se non hai compilato moduli e non hai scaricato file. La sola apertura della pagina può registrare indirizzo IP e modello del dispositivo, informazioni utili al truffatore per costruire il passo successivo. Chiudi la pagina, non tornare sul link e osserva i movimenti del conto per qualche giorno.

Devo denunciare o basta la segnalazione alla Polizia Postale?

Se non hai cliccato e non hai inserito dati, la segnalazione online è sufficiente. Se hai inserito credenziali, hai subito un addebito o hai installato un’app, la denuncia diventa necessaria: è il documento che la banca chiede per gestire la contestazione.

Posso rispondere STOP a un SMS truffa?

No. STOP è il comando che disattiva un servizio legittimo e conferma al mittente che il numero è attivo e letto. Su un numero truffa ottieni solo di finire in una lista di contatti che rispondono.

Perché l’SMS falso compare nella stessa conversazione della mia banca?

Perché il nome mittente è un’etichetta e non un identificatore verificato. Due messaggi con la stessa etichetta finiscono nello stesso thread. La conversazione unica non è una prova di autenticità.

Cosa fa Android da solo contro gli SMS truffa?

Filtra i messaggi sospetti con l’analisi dei pattern, li sposta in una cartella separata e blocca i link segnalati da Safe Browsing. Non riconosce tutto e non sostituisce il controllo umano su urgenza e dominio.

Come faccio a sapere se un link è falso senza aprirlo?

Tieni premuto sul link nell’app Messaggi e leggi l’indirizzo completo nell’anteprima. Il dominio reale è quello subito a sinistra dell’estensione finale. Se il nome del servizio compare a sinistra di quel dominio, è un sottodominio e non prova nulla.