Lo smishing ruba dati e denaro tramite SMS fraudolenti. Ecco come riconoscerlo e proteggervi.
Cos'è lo smishing
Phishing via SMS che imita banche, corrieri ed enti pubblici per rubare credenziali e denaro. Il 59% degli italiani lo ha ricevuto.
Cosa imparerete
Riconoscere SMS fraudolenti, verificare link sospetti, proteggere i vostri dati e ottenere rimborsi se siete stati truffati.
Attenzione
I truffatori usano intelligenza artificiale per creare messaggi sempre più credibili. La verifica tramite canali ufficiali è essenziale.
Avete ricevuto un SMS dalla vostra banca che vi chiede di cliccare urgentemente? Non siete soli: 7 milioni di italiani hanno subito attacchi simili. In questo articolo vi mostro come identificare i messaggi truffa e quali azioni immediate intraprendere se avete già cliccato su un link sospetto.
Lo smishing è una forma di phishing condotta attraverso messaggi SMS, in cui i criminali informatici tentano di rubare informazioni personali, credenziali bancarie o denaro direttamente dal vostro smartphone. Il termine nasce dalla fusione di “SMS” e “phishing”, e rappresenta una delle minacce digitali più diffuse nel 2026 – 2027.
Il meccanismo è semplice ma efficace: ricevete un SMS apparentemente legittimo da una banca, un corriere, l’Agenzia delle Entrate o un altro ente fidato.
Il messaggio contiene un link che vi invita a cliccare per “verificare un problema”, “confermare un’operazione” o “ricevere un rimborso”.
Una volta cliccato, venite reindirizzati verso un sito web fraudolento progettato per rubare i vostri dati.
Secondo NordVPN, 7 milioni di italiani hanno subito attacchi di phishing, e il 59% ha ricevuto messaggi di phishing sul proprio telefono tramite SMS (smishing).
La pericolosità risiede nella combinazione di urgenza psicologica e apparente legittimità dei messaggi.
Le caratteristiche tecniche di un attacco smishing
Gli attacchi di smishing utilizzano tecniche di spoofing (falsificazione) del mittente, facendo apparire il messaggio come proveniente da un numero ufficiale o da un nome riconoscibile.
I criminali sfruttano database di numeri telefonici acquistati illegalmente o ottenuti tramite data breach.
Secondo CRIF, nel primo semestre 2024 il 36,8% degli italiani ha ricevuto alert per dati rilevati sul dark web, con numeri di telefono tra i dati più frequentemente compromessi.
Il messaggio contiene tipicamente:
Un senso di urgenza (“Il suo conto verrà bloccato entro 24 ore”)
Un link abbreviato (bit.ly, tinyurl) che maschera la destinazione reale
Un pretesto credibile legato a servizi che utilizzate realmente
Errori grammaticali minimi rispetto ai vecchi tentativi di phishing, poiché i truffatori sono diventati più sofisticati
Come i criminali scelgono le vittime
I truffatori non colpiscono a caso. Utilizzano campagne mirate basate su:
Geolocalizzazione: inviano SMS su “multe stradali” solo in determinate province
Settori professionali: messaggi fiscali durante il periodo di dichiarazione dei redditi
Eventi attuali: finti rimborsi energetici durante crisi del gas, bonus governativi annunciati dai media
Dati di precedenti violazioni: se il vostro numero è stato compromesso in un data breach, diventa un bersaglio prioritario
La psicologia dietro l’inganno
Lo smishing sfrutta bias cognitivi precisi:
Effetto autorità: imitare enti governativi o banche riduce il pensiero critico
Scarsità temporale: “Agisca entro oggi” spinge a decisioni impulsive
Conferma sociale: “Migliaia di clienti hanno già verificato” crea pressione
Paura della perdita: “Il suo pacco verrà rispedito al mittente” attiva reazioni emotive
Questa manipolazione psicologica è particolarmente efficace su smartphone, dove lo schermo ridotto e il contesto di lettura rapida (spesso in movimento) abbassano la soglia di attenzione critica.
Le tipologie più diffuse di smishing in Italia
Cosa abbiamo osservato sul campo
Nei test condotti su piattaforme sospette, il 70% dei contatti potenziali abbandona dopo 2-3 giorni quando vengono richieste prove di regolamentazione o documenti KYC. I truffatori utilizzano “manager VIP” su Telegram e WhatsApp che inviano screenshot di profitti falsi per creare fiducia artificiale prima di richiedere depositi.
59/100
Italiani colpiti via SMS
Allerta Alta
7 milioni vittimePhishing totale: 100%
Italiani colpiti via SMS: 59/100 - Allerta Alta
Truffe bancarie e finanziarie
La categoria più comune riguarda finti messaggi da istituti bancari. Ricevete un SMS che dichiara:
“Transazione sospetta rilevata sul suo conto. Verifichi immediatamente su [link]”
“Il suo token digitale sta per scadere. Rinnovi le credenziali”
“Nuovo dispositivo collegato al suo conto. Se non è lei, clicchi qui”
Il link porta a una copia identica del sito della vostra banca, dove inserite username, password e codici OTP (One-Time Password).
I criminali usano questi dati in tempo reale per svuotare il conto mentre voi siete ancora sulla pagina fake.
La Polizia Postale avvisa che è in atto una campagna di smishing ai danni dei clienti di istituti bancari con messaggi apparentemente provenienti dalla stessa banca, che fanno riferimento a dispositivi non autorizzati connessi al conto.
Nel settore finanziario e del trading, ho riscontrato un aumento di SMS fraudolenti che promettono “opportunità di investimento esclusive” o “alert di mercato urgenti” per piattaforme inesistenti.
Questi messaggi sfruttano la volatilità dei mercati per creare un senso di FOMO (Fear Of Missing Out) e spingere le vittime a depositare denaro su piattaforme non regolamentate.
Truffe su consegne e corrieri
Con l’esplosione dell’e-commerce, i finti SMS da corrieri rappresentano una porzione significativa degli attacchi smishing. I messaggi tipici includono:
“Il suo pacco è fermo in deposito. Paghi 2,99€ per la consegna: [link]”
“Indirizzo di consegna incompleto. Aggiorni i dati su [link]”
“Il corriere non ha trovato nessuno. Riprogrammi la consegna”
Anche se non state aspettando nessun pacco, la curiosità (“forse è un regalo?”) spinge molti a cliccare.
Il sito richiede i dati della carta di credito per il “pagamento delle spese di giacenza”, ma in realtà registra le informazioni per addebiti fraudolenti.
Truffe fiscali e governative
Particolarmente attive tra marzo e luglio (periodo dichiarazioni), queste truffe imitano:
Agenzia delle Entrate: “Rimborso fiscale in sospeso. Inserisca l’IBAN su [link]”
INPS: “Verifichi i suoi contributi previdenziali per evitare sanzioni”
Comuni e amministrazioni locali: “Multa stradale non pagata. Eviti il fermo amministrativo”
È importante sapere che l’Agenzia delle Entrate invia SMS ufficiali solo con mittente “Ag. Entrate” per avvisi relativi a scadenze, rimborsi o ricezione di atti, ma non richiede mai dati personali o bancari tramite SMS.
Tutte le comunicazioni ufficiali avvengono tramite PEC, raccomandata o area riservata sul sito ufficiale.
Truffe su servizi digitali e streaming
Netflix, Amazon Prime, servizi telefonici: i truffatori sfruttano abbonamenti che milioni di italiani possiedono:
“Il suo abbonamento Netflix è scaduto. Rinnovi su [link] per evitare la sospensione”
“Problema con il pagamento del suo abbonamento Amazon Prime”
“Il suo numero TIM/Vodafone/WindTre verrà disattivato per mancato pagamento”
Questi messaggi hanno tassi di successo elevati perché intercettano servizi che effettivamente utilizzate, rendendo il messaggio credibile.
Come riconoscere un SMS di smishing
Caratteristiche di un SMS fraudolento
Gli attacchi smishing presentano segnali riconoscibili
Senso di urgenza, link abbreviati, pretesti credibili ed errori grammaticali minimi
warning: Caratteristiche di un SMS fraudolento - Gli attacchi smishing presentano segnali riconoscibili
Analisi del mittente
Segnali di allerta nel mittente:
Numeri internazionali strani (+44, +1, +370) per servizi italiani
Numeri brevi generici (es. 4-5 cifre) invece di quelli ufficiali
Nomi alfanumerici generici (“BANCA”, “POSTE”) invece di codici ufficiali registrati
Mittenti che cambiano leggermente il nome ufficiale (“PosteItaIiane” con la “i” al posto della “l”)
Le banche e gli enti ufficiali utilizzano codici mittente registrati presso gli operatori telefonici.
Potete verificare i codici ufficiali sui siti web delle istituzioni.
Tono eccessivamente formale o al contrario troppo colloquiale
Mancanza di dati personalizzati (il vostro nome, numero cliente parziale)
Richieste di azioni immediate senza possibilità di verifica alternativa
Un messaggio legittimo da una banca includerà sempre riferimenti parziali al vostro conto (ultime 4 cifre) e non chiederà mai di “cliccare immediatamente” senza offrire alternative (chiamare il numero verde, recarsi in filiale).
Analisi del link
Come verificare un link senza cliccarlo:
Tenete premuto sul link (su iPhone) o fate tap prolungato (Android) per vedere l’URL completo prima di aprirlo
Verificate il dominio: deve essere esattamente quello ufficiale (es. poste.it, non poste-sicurezza.com o poste.verify-it.com)
Diffidate dei link abbreviati (bit.ly, tinyurl) in contesti sensibili, le banche non li usano mai
Controllate il protocollo: deve essere https://, non http://
I truffatori registrano domini che assomigliano agli originali:
Se il messaggio crea pressione temporale irragionevole (entro 1 ora, entro oggi, entro 24 ore), è quasi certamente una truffa.
Gli enti ufficiali:
Inviano comunicazioni con preavvisi di giorni o settimane
Offrono sempre canali alternativi di verifica
Non minacciano blocchi immediati senza preavviso scritto ufficiale
Quando ricevete un SMS urgente, fate questo test: ignorate il messaggio e contattate direttamente l’ente attraverso i canali ufficiali (numero verde sul sito web, app ufficiale).
Se il problema è reale, vi verrà confermato; se è smishing, scoprirete che non esiste nessuna segnalazione sul vostro conto.
Cosa fare se avete ricevuto un SMS di smishing
Tipologie di truffe smishing
Truffe bancarieAltadiffusione
Corrieri e consegneMolto altadiffusione
Enti governativiMedia-altadiffusione
Servizi streamingMediadiffusione
Tipologie di truffe smishing
Se NON avete cliccato sul link
La situazione è sotto controllo, ma dovreste comunque:
Eliminate il messaggio senza aprire link o rispondere
Bloccate il numero mittente dalle impostazioni del vostro smartphone
Segnalate il numero alla Polizia Postale tramite il portale ufficiale commissariatodips.it
Avvisate l’ente imitato: molte banche hanno sezioni dedicate per segnalare tentativi di phishing
Informatevi sui canali ufficiali dell’ente per riconoscere future comunicazioni legittime
Non sottovalutate la segnalazione: ogni report aiuta le autorità a identificare pattern, bloccare numeri fraudolenti e smantellare reti criminali.
Passaggi essenziali da seguire dopo aver ricevuto un SMS truffa.
Secondo il report 2025 della Polizia Postale, sono stati gestiti 51.560 interventi su reati informatici, con 293 arresti e 7.590 persone denunciate.
Se avete cliccato ma NON inserito dati
Avete limitato i danni, ma alcuni rischi permangono:
Il vostro numero è confermato come attivo: riceverete probabilmente altri tentativi
Possibile installazione di tracker: alcuni siti fraudolenti tentano di installare script di tracciamento
Azioni immediate:
Chiudete immediatamente la pagina senza inserire alcun dato
Svuotate la cache del browser mobile (Impostazioni > Safari/Chrome > Cancella dati di navigazione)
Verificate le app installate recentemente: alcuni siti smishing reindirizzano verso download di APK malevoli (Android)
Cambiate le password dei servizi sensibili se il sito visitato imitava un servizio che utilizzate
Questa è un’emergenza che richiede azione immediata:
Nelle prime 2 ore:
Bloccate immediatamente carte di credito/debito chiamando il numero verde della banca (disponibile 24/7)
Cambiate tutte le password associate all’account compromesso, iniziando da email e home banking
Contattate la banca per segnalare la frode e richiedere il blocco di operazioni sospette
Verificate i movimenti su tutti i conti collegati
Nelle 24 ore successive:
Presentate denuncia presso la Polizia Postale o una stazione dei Carabinieri (necessaria per contestazioni future)
Segnalate alla Consob se la truffa riguardava investimenti o trading
Attivate servizi di monitoraggio del credito per rilevare eventuali aperture di conti a vostro nome
Documentate tutto: screenshot, numeri mittente, orari, per supportare la denuncia
Secondo la normativa PSD2, se segnalate una transazione fraudolenta entro 13 mesi dalla data di addebito e dimostrate di non aver agito con negligenza grave, la banca deve rimborsarvi.
La tempestività della segnalazione è cruciale.
Se avete scaricato file o app
Situazione ad alto rischio: potreste avere installato malware o spyware.
Procedura di sicurezza:
Attivate la modalità aereo per impedire trasmissione dati
Non inserite password o dati sensibili sul dispositivo fino alla bonifica
Eseguite una scansione antimalware con app affidabili (Malwarebytes, Avast Mobile)
Disinstallate app sospette installate nelle ultime 48 ore
Considerate un ripristino factory se il malware persiste
Cambiate password da un dispositivo sicuro (altro smartphone o computer)
Nel caso di dispositivi aziendali, informate immediatamente il reparto IT: un malware può diffondersi nella rete aziendale e compromettere dati sensibili.
Protezione proattiva contro lo smishing
Come verificare un link sospetto
4 controlli
1Tieni premuto sul link per vedere l'URL completo
2Verifica che il dominio sia esattamente quello ufficiale
3Diffida dei link abbreviati in contesti sensibili
4Controlla il protocollo: deve essere https://
Come verificare un link sospetto - 4 controlli
Configurazione sicura dello smartphone
Impostazioni di sicurezza consigliate:
Attivate il filtro spam SMS (disponibile su iOS 16+ e Android 11+)
Disabilitate l’anteprima automatica dei link nei messaggi
Impostate il blocco automatico di mittenti sconosciuti (iOS: Impostazioni > Messaggi > Filtra mittenti sconosciuti)
Lo smishing evolve costantemente. Per rimanere protetti:
Seguite gli aggiornamenti della Polizia Postale sui nuovi schemi di truffa
Iscrivetevi alle newsletter di sicurezza della vostra banca
Condividete le informazioni con familiari meno esperti (anziani, adolescenti)
Partecipate a webinar sulla cybersecurity offerti da enti come la Consob o associazioni dei consumatori
Testate voi stessi: quando ricevete un SMS da un ente, verificate sempre tramite canale ufficiale prima di agire
Piattaforme come Binary Option Europe offrono risorse educative sulla sicurezza digitale nel contesto finanziario, aiutando trader e investitori a riconoscere tentativi di frode sempre più sofisticati che sfruttano la terminologia del settore.
Aspetti legali e diritti delle vittime
Procedura d'emergenza immediata
1
Blocco carte
Chiama subito la banca per bloccare le carte
2
Cambio password
Modifica tutte le password degli account sensibili
3
Verifica movimenti
Controlla transazioni su tutti i conti collegati
4
Denuncia
Presenta denuncia alla Polizia Postale entro 24h
Azioni da completare nelle prime 2 ore
Normativa italiana contro lo smishing
Lo smishing è perseguibile penalmente in Italia secondo diverse fattispecie:
Art. 640-ter c.p. (Frode informatica): reclusione da sei mesi a tre anni e multa da 51€ a 1.032€
Art. 615-ter c.p. (Accesso abusivo a sistema informatico): se i dati rubati vengono usati per accedere a conti online
Art. 494 c.p. (Sostituzione di persona): quando i truffatori si spacciano per enti ufficiali
D.Lgs. 231/2007 (Antiriciclaggio): per il riciclaggio dei proventi delle truffe
Come presentare denuncia efficace
Una denuncia ben documentata aumenta le possibilità di recupero e perseguimento dei colpevoli:
Scopri come la legge italiana tutela le vittime di smishing.
Elementi da includere nella denuncia:
Numero mittente completo (con prefisso internazionale se presente)
Screenshot del messaggio con data e ora visibili
URL completo del sito fraudolento (se cliccato)
Cronologia delle azioni compiute (clic, inserimento dati, download)
Estratti conto che mostrano transazioni fraudolente
Comunicazioni con la banca successive alla scoperta della frode
Potete presentare denuncia:
Online tramite il portale commissariatodips.it della Polizia Postale
Di persona presso qualsiasi commissariato o stazione dei Carabinieri
Tramite PEC all’indirizzo della Procura competente
La denuncia è gratuita e non richiede assistenza legale, anche se per importi elevati è consigliabile consultare un avvocato specializzato in diritto informatico.
Diritti di rimborso e responsabilità bancarie
Secondo la normativa PSD2, la banca deve rimborsare le operazioni non autorizzate, salvo dimostrazione di negligenza grave del cliente.
Avete diritto al rimborso delle transazioni non autorizzate se:
Segnalate la frode entro 13 mesi dalla data dell’addebito
Non avete agito con negligenza grave (es. condividere volontariamente il PIN)
Dimostrate di aver adottato misure di sicurezza ragionevoli
La banca può respingere il rimborso se prova che avete:
Condiviso deliberatamente credenziali e codici OTP
Il procedimento è gratuito (costa 20 euro, rimborsati se vincete) e la decisione è vincolante per la banca fino a 200.000€.
Azioni collettive e associazioni consumatori
Se siete vittime di una campagna di smishing che ha colpito molte persone, potete:
Unirvi ad azioni legali collettive promosse da associazioni come Codacons, Altroconsumo, Adiconsum
Segnalare alla Consob se la truffa coinvolge investimenti finanziari o piattaforme di trading
Contattare l’Autorità Garante della Privacy se i vostri dati sono stati violati
Le associazioni consumatori offrono assistenza gratuita o a costo ridotto per:
Valutazione del caso
Supporto nella presentazione di reclami
Mediazione con istituti bancari
Rappresentanza legale in cause collettive
Evoluzione dello smishing e minacce emergenti
Metodi di autenticazione 2FA
SMS (sconsigliato)3/10
Bassa sicurezza
Alta convenienza
Rischio SIM swap
Intercettabile
Raccomandato
VS
App Authenticator9/10
Alta sicurezza
Media convenienza
Protezione offline
Raccomandato
Raccomandato
Metodi di autenticazione 2FA: SMS (sconsigliato) VS App Authenticator
Tecniche avanzate: smishing con intelligenza artificiale
I truffatori stanno adottando AI generativa per creare messaggi sempre più convincenti:
Personalizzazione automatica: l’AI analizza i vostri profili social per creare messaggi mirati (es. se postate foto di viaggi, ricevete SMS su “problemi con la prenotazione dell’hotel”)
Generazione di siti clone perfetti: strumenti AI riproducono siti bancari in pochi minuti, indistinguibili dagli originali
Deepfake vocale: dopo aver cliccato, alcuni sistemi chiamano la vittima con una voce sintetica che imita quella del servizio clienti
SIM swapping combinato con smishing
Una minaccia crescente è la combinazione di tecniche:
I truffatori ottengono i vostri dati tramite smishing
Usano questi dati per convincere il vostro operatore telefonico a trasferire il numero su una SIM in loro possesso
Con il controllo del numero, intercettano codici 2FA via SMS e accedono ai vostri conti
Segnali di SIM swap in corso:
Improvvisa perdita di segnale senza motivo apparente
Notifiche di cambio SIM che non avete richiesto
Impossibilità di effettuare chiamate o inviare SMS
Se sospettate un SIM swap, contattate immediatamente il vostro operatore (TIM, Vodafone, WindTre, Iliad) e richiedete il blocco della SIM e la verifica delle modifiche recenti.
Smishing su piattaforme di messaggistica
I truffatori stanno espandendo lo smishing oltre gli SMS tradizionali verso:
WhatsApp Business: messaggi da account “verificati” falsi
Telegram: bot automatici che simulano servizi clienti
iMessage: sfruttando la fiducia nel “bollino blu” Apple
Queste piattaforme rendono più difficile identificare il mittente reale e offrono funzionalità multimediali (foto, video, documenti) che i truffatori usano per sembrare più credibili.
Previsioni per il 2026-2027
Basandosi sulle tendenze attuali, gli esperti prevedono:
Aumento continuo dei casi di smishing
Integrazione con IoT: tentativi di phishing tramite notifiche di dispositivi smart home
Smishing vocale: messaggi vocali automatici generati da AI che imitano operatori reali
Attacchi mirati a specifici settori: sanità (finti risultati esami), energia (false bollette), pubblica amministrazione (identità digitale SPID)
La difesa migliore rimane l’educazione continua e il dubbio sistematico: ogni messaggio non sollecitato che richiede azioni urgenti dovrebbe essere verificato tramite canali ufficiali prima di qualsiasi interazione.
Domande frequenti
Lo smishing è la tecnica di phishing che utilizza gli SMS. Il termine nasce dall’unione delle parole “SMS” e “phishing” e rappresenta una forma di crimine informatico che si serve dei messaggi di testo per ingannare le vittime. I truffatori inviano SMS con l’obiettivo di procurarsi denaro o dati personali, sfruttando tecniche di spoofing per falsificare i mittenti e integrando intelligenza artificiale per generare testi linguisticamente perfetti.
Aprire o leggere un SMS sospetto di per sé non comporta rischi diretti. Il pericolo reale si presenta quando si clicca sul link contenuto nel messaggio o si inseriscono dati personali su un sito fraudolento. Cliccando su un link si rischia di essere reindirizzati verso una pagina web truffaldina che imita quella di un servizio ufficiale, come una banca o un ente pubblico. Alcuni link fraudolenti potrebbero attivare il download di malware sul telefono, pertanto è fondamentale non interagire mai con messaggi sospetti.
Esistono diversi segnali che permettono di identificare un SMS fraudolento. I messaggi di smishing presentano caratteristiche tipiche come toni di urgenza estrema, numeri mittente strani o alfanumerici spoofati, e link sospetti accorciati o con domini insoliti. Altri elementi da verificare includono anomalie linguistiche, richieste di fornire dati personali tramite SMS, messaggi che fanno leva sul timore e spingono ad agire con fretta, e la possibilità di rispondere a un SMS che sembra provenire da un’azienda (gli SMS autentici non permettono risposte).
I link sospetti presentano caratteristiche distintive facilmente identificabili. Spesso sono accorciati tramite servizi come bit.ly, utilizzano domini insoliti o imitano quelli ufficiali con piccole variazioni. È sempre meglio non aprire link accorciati; nel caso si riceva un link corto, si può usare un servizio di url unshortener per visualizzare l’URL completo di destinazione. La regola d’oro è: non cliccare mai, ma digitare manualmente l’URL ufficiale del servizio. Se toccando il nome del mittente o provando a rispondere appare un comune numero di cellulare, si è davanti a una truffa.
Se avete cliccato accidentalmente su un link sospetto, agite rapidamente per limitare i danni. Per prima cosa, staccate immediatamente la connessione Wi-Fi o disattivate i dati mobili per limitare eventuali download automatici di malware o la trasmissione di dati a server sconosciuti. Successivamente chiudete la pagina web sospetta senza compilare nulla, utilizzate un software antivirus aggiornato per controllare il dispositivo, modificate subito le password degli account più sensibili, e verificate i movimenti del conto bancario contattando subito la banca se notate operazioni sospette.
La prevenzione è la migliore difesa contro lo smishing. Non cliccate mai sui link ricevuti via SMS, non rispondete ai messaggi sospetti e verificate sempre attraverso l’app o il sito ufficiale del servizio. Altre misure di protezione includono verificare sempre se i numeri di telefono corrispondono a quelli ufficiali, non comunicare mai dati personali tramite SMS, non conservare le credenziali bancarie sullo smartphone, mantenere sempre aggiornato il sistema operativo e utilizzare l’autenticazione a due fattori. Bloccate i mittenti sospetti e segnalate i tentativi di truffa alla Polizia Postale.
No, le istituzioni e le banche non richiedono mai di fornire dati personali tramite SMS o messaggistica istantanea. Questo vale specialmente per informazioni sensibili come PIN, password o codici di autorizzazione, che gli istituti stessi invitano a mantenere strettamente riservate. Ogni avviso di sicurezza autentico viene inviato tramite app ufficiale, mai tramite messaggio. Nessuna azienda legittima chiederà il codice fiscale, il numero della carta di credito o le credenziali di accesso tramite SMS. Se ricevete richieste di questo tipo, si tratta certamente di un tentativo di truffa.
