Smishing: come riconoscere gli SMS fraudolenti, guida aggiornata al 7 novembre 2026

Informazioni verificate il 7 novembre 2026 alle 14:23, ora italiana (CET, UTC+01:00).

Lo smishing è una truffa che usa gli SMS per convincere il destinatario a comunicare dati riservati, effettuare un pagamento o seguire un collegamento fraudolento. Il messaggio può sembrare inviato dalla banca, da un corriere o da un ente pubblico e spesso presenta un problema urgente da risolvere.

Il 5 novembre 2026 la Banca d'Italia ha ricordato che messaggi e telefonate ingannevoli possono essere usati per sottrarre password, PIN e codici temporanei, anche fingendo l'identità di un soggetto conosciuto. Per chi riceve un SMS sospetto, la regola pratica è fermarsi e verificare attraverso un canale ufficiale aperto autonomamente.

Destaques

• Un SMS fraudolento può comparire nella stessa conversazione dei messaggi autentici: il nome del mittente non basta a garantirne l'origine.
• Urgenza, richieste di codici e link inattesi sono segnali da controllare, anche quando il testo è scritto correttamente.
• Per verificare un avviso, apri l'app ufficiale o contatta l'organizzazione usando un recapito cercato indipendentemente.
• Se hai comunicato dati bancari o autorizzato operazioni sospette, contatta subito la banca e segnala l'accaduto alla Polizia Postale.

Che cos'è lo smishing e come funziona?

Il termine unisce «SMS» e «phishing»: indica un tentativo di inganno veicolato tramite messaggio sul telefono. Come spiega la Banca d'Italia nella guida alle truffe nei pagamenti, il meccanismo assomiglia a quello del phishing via email, ma usa i messaggi al posto della posta elettronica.

Il truffatore crea una situazione credibile: un accesso al conto da bloccare, una consegna da sbloccare o una pratica amministrativa da completare. Per risolverla invita a visitare una pagina, chiamare un numero o fornire informazioni. La pagina può imitare quella ufficiale e raccogliere credenziali o dati della carta; una telefonata successiva può servire a ottenere anche un codice temporaneo.

Non tutti gli SMS contenenti link sono fraudolenti. Il punto è verificare la richiesta senza affidarsi ai recapiti e ai collegamenti presenti nel messaggio. Un avviso autentico può essere controllato anche accedendo al servizio con l'app abituale o digitando direttamente l'indirizzo noto.

Come si riconosce un SMS fraudolento?

Nessun singolo dettaglio visibile garantisce da solo che un messaggio sia autentico. Questi indizi, soprattutto se combinati, richiedono prudenza:

• Pressione ad agire subito: il testo minaccia il blocco del conto, la perdita di un rimborso o il mancato recapito di un pacco entro pochi minuti.
• Richiesta di informazioni riservate: viene chiesto di comunicare password, PIN, credenziali bancarie o codici monouso, magari con il pretesto di annullare un'operazione.
• Link o numeri inattesi: il messaggio invita ad aprire un indirizzo sconosciuto o a chiamare un numero fornito nel testo. Anche un indirizzo simile a quello ufficiale può contenere lettere aggiunte o sostituite.
• Richiesta incoerente: si parla di un pacco non atteso o di un servizio che non si utilizza. Anche se si aspetta davvero una consegna, conviene verificare dall'app o dal sito del venditore.
• Errori e formule generiche: possono essere indizi, ma un testo corretto e personalizzato non è una prova di autenticità.

La presenza del lucchetto o di «https» indica che la connessione è cifrata, ma non dimostra che il sito appartenga all'organizzazione dichiarata: anche un sito fraudolento può usare HTTPS. Per questo è più sicuro raggiungere il servizio da un indirizzo già conosciuto che tentare di giudicare un link ricevuto.

Perché un SMS falso appare tra quelli della banca?

Il mittente visualizzato può essere falsificato con una tecnica chiamata spoofing. Il telefono può quindi raggruppare un messaggio ingannevole insieme a comunicazioni precedenti e autentiche. La Polizia di Stato descrive questo espediente nelle frodi che imitano banche e Poste Italiane.

Anche una successiva chiamata può sembrare provenire da un numero legittimo. Se qualcuno chiede codici per «mettere al sicuro» il conto, interrompi la conversazione e contatta la banca tramite il numero indicato nell'app ufficiale, sul sito digitato autonomamente o sulla carta. Non richiamare il numero contenuto nell'SMS sospetto.

Quali sono gli esempi più comuni di smishing?

Le formule cambiano, ma l'obiettivo resta spingere la persona a compiere un'azione senza verificare. Ecco alcuni esempi illustrativi, non messaggi attribuiti a campagne specifiche:

• Falsa banca: «Accesso insolito: chiama subito per bloccare l'operazione». Il numero può condurre a un falso operatore.
• Falso corriere: «Consegna sospesa: aggiorna l'indirizzo e paga una piccola somma». La pagina può chiedere i dati della carta.
• Falso ente pubblico: «Hai diritto a un rimborso: conferma i tuoi dati». Il pretesto può servire a raccogliere informazioni personali o bancarie.

Il CERT-AGID ha descritto anche campagne a tema INPS. La presenza del nome di un ente conosciuto non dimostra che la comunicazione provenga realmente da quell'ente.

Cosa fare quando arriva un SMS sospetto?

1. Non aprire il link, non rispondere e non chiamare il numero indicato nel messaggio.
2. Verifica l'avviso entrando autonomamente nell'app o nel sito ufficiale, oppure usa un recapito ottenuto da una fonte affidabile e indipendente.
3. Non comunicare password, PIN o codici temporanei, neppure a chi sostiene di dover bloccare una frode.
4. Se il messaggio impersona un'organizzazione, avvisala tramite i suoi canali ufficiali. Puoi anche segnalare il tentativo alla Polizia Postale.
5. Dopo aver conservato le informazioni utili per un'eventuale segnalazione, elimina il messaggio e usa le funzioni del telefono per bloccare o segnalare il mittente.

Se invece hai già fornito credenziali o dati di pagamento, contatta immediatamente l'intermediario tramite un canale ufficiale per proteggere il conto e contestare eventuali operazioni. La Banca d'Italia raccomanda di segnalare subito le operazioni fraudolente alla banca; le possibilità di rimborso dipendono dalle circostanze del caso.

Come proteggersi dai prossimi tentativi?

Attiva, se disponibili, le notifiche della banca per accorgerti rapidamente di operazioni inattese. Mantieni aggiornati telefono e applicazioni, usa password diverse per i servizi importanti e attiva l'autenticazione a più fattori dove disponibile. Quest'ultima aggiunge una protezione, ma un codice comunicato a un truffatore può comunque essere utilizzato per autorizzare un'azione: leggine sempre il contesto e non condividerlo.

Le esche possono cambiare con le notizie e con i servizi più usati. Perciò la verifica indipendente resta utile anche quando un nuovo messaggio non assomiglia agli esempi già conosciuti.

FAQ sullo smishing

Smishing e phishing sono la stessa cosa?

Lo smishing è una forma di phishing che usa gli SMS. Il phishing può arrivare anche attraverso altri canali, come l'email.

Un SMS nella conversazione della banca è sempre autentico?

No. Il mittente può essere falsificato e il messaggio può comparire accanto a quelli veri. Verifica attraverso l'app o un contatto ufficiale cercato autonomamente.

Devo rispondere a un SMS sospetto per chiedere chiarimenti?

No. Contatta direttamente l'organizzazione tramite un recapito ufficiale trovato indipendentemente dal messaggio.