Link di smishing: cosa fare subito dopo il clic, guida aggiornata al 7 novembre 2026

Informazioni verificate il 7 novembre 2026 alle 14:23, ora italiana CET (UTC+01:00).

Se hai cliccato su un link di smishing, chiudi la pagina e interrompi ogni interazione. Il solo clic non significa necessariamente che ti abbiano rubato denaro o password: il rischio dipende anche da ciò che è successo dopo, per esempio se hai inserito dati, autorizzato un pagamento o installato un'app.

Se hai comunicato credenziali bancarie, dati della carta o un codice di sicurezza, contatta subito la banca tramite un numero ufficiale già noto o presente sul sito digitato da te. Chiedi di proteggere gli strumenti coinvolti e segnala eventuali operazioni sospette. La Banca d'Italia raccomanda di avvertire immediatamente l'istituto finanziario in caso di uso non autorizzato di uno strumento di pagamento.

Destaques

• Chiudi la pagina, non inserire altri dati e non richiamare i numeri indicati nel messaggio.
• Se hai fornito dati bancari o codici, contatta subito la banca attraverso un canale ufficiale.
• Se hai inserito una password, cambiala da un dispositivo affidabile e proteggi anche gli account che la riutilizzano.
• Se hai installato un'app sospetta, interrompi la connessione e cerca assistenza prima di usare il telefono per operazioni sensibili.

Cosa fare subito dopo aver cliccato su un link sospetto?

1. Chiudi la pagina. Non compilare moduli, non concedere permessi, non scaricare file e non approvare richieste di accesso o pagamento.
2. Ricostruisci le tue azioni. Hai soltanto aperto il sito oppure hai digitato informazioni, scaricato un file o installato qualcosa? Questa distinzione aiuta a stabilire le priorità.
3. Verifica tramite un canale indipendente. Apri l'app ufficiale già installata oppure digita tu l'indirizzo dell'organizzazione. Per telefonare, usa un recapito verificato, ad esempio quello sul retro della carta.
4. Conserva le prove. Fai uno screenshot del messaggio e annota l'ora, il mittente visualizzato e ciò che hai fatto. Non riaprire il link per raccogliere informazioni.

Un SMS fraudolento può apparire nella stessa conversazione di comunicazioni autentiche: il mittente visualizzato, da solo, non prova che il messaggio sia legittimo. La Polizia di Stato descrive questo tipo di falsificazione nelle truffe che imitano le banche.

È pericoloso aver soltanto aperto il link?

Aprire una pagina non equivale automaticamente a consegnare una password o autorizzare un pagamento. Tuttavia, una pagina malevola può tentare di avviare un download o sfruttare vulnerabilità del dispositivo: dal solo clic non è possibile escludere ogni rischio.

Se non hai inserito dati e non risulta alcun download o installazione, chiudi la pagina, controlla se il browser segnala file scaricati e aggiorna sistema operativo e browser. Elimina senza aprirlo l'eventuale file sospetto. Osserva eventuali richieste di accesso inattese e verifica gli account interessati attraverso i loro canali ufficiali. Non è necessario presumere che il conto sia stato svuotato solo perché la pagina si è aperta.

Cosa fare se hai inserito password o codici?

Da un dispositivo che ritieni affidabile, accedi direttamente al servizio coinvolto e cambia la password. Se la stessa password è stata usata altrove, cambiala anche su quegli account, iniziando dalla posta elettronica: chi controlla la casella potrebbe tentare di reimpostare altri accessi. Scegli password diverse e attiva la verifica in due passaggi dove disponibile.

Controlla le sessioni attive e disconosci quelle che non riconosci, seguendo le istruzioni del servizio. Verifica anche indirizzo email e numero di recupero associati all'account. Se hai comunicato un codice monouso o approvato una richiesta di accesso, avvisa immediatamente il fornitore: cambiare la password può non bastare a interrompere una sessione già aperta.

Se le credenziali riguardano la banca, contattala prima possibile. Non comunicare nuovi codici a chi ti chiama sostenendo di dover mettere il conto al sicuro. Come ricorda la Banca d'Italia nella sua guida alle truffe, anche il numero di una chiamata o il mittente di un messaggio possono essere falsificati.

Cosa fare se hai inserito i dati della carta o autorizzato un pagamento?

Chiama subito l'emittente della carta o la banca usando un recapito verificato. Spiega quali dati hai inserito, se hai comunicato codici e se hai autorizzato operazioni. Chiedi il blocco della carta o delle funzionalità compromesse e segui le istruzioni per la sostituzione. Se hai disposto un bonifico, chiedi immediatamente se è possibile intervenire sull'ordine: il recupero non è garantito.

Controlla movimenti e notifiche, segnala senza ritardo quelli che non riconosci e conserva le comunicazioni con l'istituto. Presenta una denuncia alla Polizia o ai Carabinieri, portando le informazioni disponibili. La Banca d'Italia indica anche la possibilità di presentare un reclamo all'intermediario e, se la risposta non soddisfa il cliente, di rivolgersi all'Arbitro Bancario Finanziario. L'eventuale rimborso dipende dalle circostanze e dalla valutazione del caso: non è automatico.

Cosa fare se hai scaricato o installato un'app sospetta?

Se hai solo scaricato un file, non aprirlo e cancellalo. Se invece hai installato un'app o le hai concesso permessi, interrompi la connessione a Internet, per esempio attivando la modalità aereo e disattivando il Wi-Fi. Evita di usare il dispositivo per accedere a banca, posta o altri servizi sensibili finché non è stato controllato.

Da un altro dispositivo affidabile, contatta la banca se sul telefono erano presenti app finanziarie e cambia le password potenzialmente esposte. Rivolgiti all'assistenza ufficiale del produttore o a un tecnico qualificato per verificare l'app, i permessi e le opzioni di ripristino. Un ripristino completo può essere necessario in alcuni casi, ma prima chiedi come conservare in sicurezza i dati utili e le prove. Il CERT-AGID descrive, per esempio, campagne SMS che diffondono app malevole: il comportamento concreto varia a seconda della minaccia.

Come segnalare lo smishing e proteggersi nei giorni successivi?

Segnala il messaggio all'organizzazione impersonata attraverso i suoi recapiti ufficiali e, se c'è stata una frode o un tentativo, rivolgiti alla Polizia postale o a un ufficio di Polizia o dei Carabinieri. Conserva screenshot, eventuali ricevute, importi, orari e riferimenti delle operazioni. Dopo aver salvato ciò che serve, elimina il messaggio e blocca il mittente.

Nei giorni successivi controlla movimenti bancari, avvisi di accesso e richieste di recupero account. Se ricevi una chiamata inattesa che promette un rimborso o chiede di trasferire denaro su un conto «sicuro», interrompila e richiama tu l'ente attraverso un numero verificato. Una nuova richiesta potrebbe essere collegata alla prima truffa, ma la sua provenienza va verificata caso per caso.

FAQ

Devo bloccare la carta se ho solo aperto il link?

Non necessariamente. Se non hai inserito dati né autorizzato operazioni, il clic da solo non dimostra che la carta sia compromessa. Se hai dubbi su ciò che è accaduto, contatta l'emittente e descrivi l'accaduto.

Un sito con HTTPS è sicuramente autentico?

No. Anche un sito fraudolento può usare HTTPS. Raggiungi il servizio digitando l'indirizzo ufficiale o usando l'app già installata, senza affidarti al link ricevuto.

Posso recuperare il denaro sottratto?

Puoi segnalare subito l'operazione alla banca e chiedere informazioni sui rimedi disponibili. L'esito dipende dal tipo di operazione e dalle circostanze; conserva denuncia, estratti conto e comunicazioni per l'eventuale reclamo.