Chiara RomanoSono 2,9 milioni gli italiani che nel 2026 hanno subito una frode digitale, con danni complessivi superiori agli 880 milioni di euro. Tra le tecniche più diffuse in questa estate c'è quella del falso SMS del corriere: un messaggio apparentemente inviato da BRT, GLS, InPost o Poste Italiane che ti invita a cliccare su un link per "sbloccare" una consegna ferma al magazzino. In realtà, è una trappola che può svuotarti il conto corrente in meno di un'ora.
Come funziona la truffa: il meccanismo dello smishing
La tecnica si chiama smishing — phishing via SMS — e nel 2026 ha raggiunto livelli di sofisticazione senza precedenti. I criminali inviano un messaggio che sembra provenire da un corriere reale: il testo cita numeri di tracking credibili, usa grafica e loghi identici a quelli ufficiali, e nella maggior parte dei casi il falso SMS compare nella stessa conversazione dei messaggi autentici che hai già ricevuto in precedenza dallo stesso mittente. Questo perché i truffatori usano tecniche di SMS spoofing che mascherano il numero di provenienza con quello legittimo del corriere.
Il messaggio tipico avverte che il pacco è "bloccato al centro di spedizione" oppure che c'è un problema con l'indirizzo di consegna. Cliccando sul link, vieni reindirizzato su un sito clone — identico nell'aspetto al sito originale del corriere — dove ti viene chiesto di inserire i tuoi dati personali e le coordinate bancarie per pagare una piccola spesa di gestione, di solito 1,99 o 2,50 euro.
Quella cifra irrisoria è il vero amo. Nel momento in cui inserisci i dati della carta, i truffatori ottengono tutto il necessario per effettuare acquisti non autorizzati, ricariche di carte prepagate o bonifici, spesso in pochi minuti e verso conti esteri difficili da tracciare.
Perché è così difficile riconoscerla
Secondo la Polizia Postale — che ha emesso diversi avvisi nel corso del 2026 tramite il portale del Commissariato di Pubblica Sicurezza Online — la difficoltà principale sta proprio nell'SMS spoofing: il falso messaggio e quello autentico del corriere appaiono nella stessa chat del telefono. Chi aspetta davvero un pacco non ha motivo di dubitare, e questo rende il tasso di clic significativamente più alto rispetto ad altri tipi di phishing.
Gli SMS fraudolenti costituiscono il 28,4% di tutte le truffe segnalate in Italia nel primo semestre 2026. Il danno medio per vittima oscilla tra i 1.500 e i 3.000 euro: non si tratta solo di piccoli importi sottratti con pretesti da pochi centesimi, ma di accessi completi ai conti correnti che vengono poi rapidamente svuotati prima che la vittima si accorga di quanto accaduto.
Non è un fenomeno che colpisce soltanto chi è meno esperto di tecnologia: al contrario, chi fa acquisti online frequentemente — e quindi attende davvero pacchi in modo regolare — è esposto a un rischio maggiore proprio perché il contesto è credibile e le difese psicologiche si abbassano.
L'angolo legale: cosa prevede la legge italiana
Dal punto di vista giuridico, cadere in una truffa via SMS non significa essere senza tutela. Lo smishing è punito in Italia dall'art. 640-ter del Codice Penale (frode informatica), con pene che vanno da 1 a 5 anni di reclusione e multa fino a 1.032 euro per il responsabile del reato. Quando la frode viene commessa da un'organizzazione criminale strutturata — come quasi sempre accade in questi casi — le pene sono ulteriormente aggravate.
Per la vittima, le strade legali sono principalmente tre.
La prima è la denuncia alla Polizia Postale, che costituisce il passo obbligatorio. Senza denuncia non è possibile avviare alcuna procedura di rimborso né azione legale successiva. La denuncia può essere depositata allo sportello fisico del Commissariato di Polizia Postale più vicino, oppure online tramite il portale ufficiale in meno di dieci minuti.
La seconda strada è la richiesta di rimborso alla banca. In base al Regolamento Europeo sui Servizi di Pagamento (PSD2), se hai subito una transazione non autorizzata, l'istituto di credito è tenuto a rimborsarti entro un giorno lavorativo dalla contestazione, salvo riesca a dimostrare una tua grave negligenza. Il concetto di negligenza è interpretato in modo restrittivo dalla giurisprudenza: se hai inserito i dati su un sito che sembrava autentico, senza evidenti segnali tecnici di allarme, difficilmente la banca può opporsi con successo.
La terza opzione è il ricorso all'Arbitro Bancario Finanziario (ABF), un organismo indipendente della Banca d'Italia che risolve le controversie tra banche e clienti in modo completamente gratuito per il consumatore. Il 63% dei ricorsi presentati all'ABF per frodi digitali nel 2025 si è concluso a favore del consumatore. Tempi medi: 3-6 mesi.
Un avvocato specializzato in diritto informatico e bancario può guidarti in tutte e tre le fasi, con particolare attenzione alla più delicata: costruire la documentazione che dimostri alla banca l'assenza di grave negligenza da parte tua.
Caso concreto: 2.340 euro sottratti in quattro ore
Considera la situazione di Marco, 41 anni, impiegato a Torino. Il 18 agosto 2026 attende un pacco ordinato su un e-commerce. Riceve un SMS che appare nella stessa chat di BRT che usa da mesi — esattamente come i messaggi di tracking precedenti. Il testo avvisa che il pacco è fermo al magazzino per un problema di indirizzo: deve confermare i dati pagando 2,50 euro. Marco inserisce i dati della sua carta Visa Debit.
Nelle successive quattro ore, i truffatori effettuano sei transazioni per un totale di 2.340 euro: due acquisti su marketplace esteri, tre ricariche di carte prepagate e un bonifico istantaneo da 900 euro verso un IBAN rumeno.
Scenario A — Marco agisce entro 24 ore: Blocca la carta tramite l'app bancaria nel pomeriggio dello stesso giorno. Deposita denuncia alla Polizia Postale entro sera. Invia richiesta formale di rimborso alla banca allegando il numero di denuncia. In questo caso, il PSD2 obbliga la banca a restituirgli fino a 2.340 euro entro un giorno lavorativo, salvo contestazione fondata su negligenza grave. Se la banca nega, Marco può rivolgersi all'ABF gratuitamente — con buone probabilità di successo, poiché nessun segnale tecnico evidente segnalava la falsità dell'SMS.
Scenario B — Marco aspetta due mesi prima di reagire: Entro 13 mesi dalla transazione il diritto al rimborso resta tecnicamente attivo, ma la banca contesta l'inerzia come indice di acquiescenza. Senza denuncia tempestiva, l'ABF considera più difficile provare la buona fede. I costi legali per un contenzioso ordinario salgono a 1.500-3.000 euro, e il recupero dell'intero importo diventa incerto.
La differenza tra i due scenari è solo la velocità di reazione: con un costo di assistenza legale di 300-900 euro per la gestione della pratica rimborso, il recupero di 2.340 euro è economicamente conveniente se si agisce subito.
Cosa fare subito se hai ricevuto un SMS sospetto
Se hai ricevuto un SMS sospetto dal "corriere" ma non hai ancora cliccato: ignoralo. Verifica lo stato della spedizione direttamente sul sito ufficiale del corriere digitando manualmente l'URL nel browser — mai tramite il link nell'SMS.
Se invece hai già cliccato e inserito i tuoi dati, segui questi passi nell'ordine:
- Blocca la carta subito, tramite la tua app bancaria o il numero verde dell'istituto
- Cambia le password di tutti i servizi collegati alla mail o ai dati inseriti
- Sporgi denuncia alla Polizia Postale entro 24 ore — online su commissariatodips.it o fisicamente allo sportello
- Contatta la banca per iscritto allegando numero e data della denuncia, richiedendo il rimborso ai sensi del PSD2
- Consulta un avvocato se la banca oppone resistenza o se l'importo sottratto supera i 500 euro
Truffe analoghe con meccanismi di phishing simili colpiscono anche altri servizi: se vuoi approfondire come riconoscere i tentativi di smishing legati a comunicazioni bancarie, leggi anche il nostro articolo sulle truffe phishing legate alle operazioni bancarie.
Per assistenza legale specializzata nella gestione della denuncia, nel ricorso bancario o nel contatto con l'ABF, un avvocato esperto in diritto informatico su Expert Zoom può guidarti in ogni fase, anche da remoto.
Nota: questo articolo ha scopo informativo e non sostituisce una consulenza legale professionale. In caso di frode, rivolgiti sempre a un avvocato abilitato per una valutazione personalizzata della tua situazione.
