Il consiglio degli esperti di sicurezza è chiaro: davanti a un SMS sospetto non bisogna rispondere, nemmeno con un semplice “STOP”. Anche quella risposta, infatti, può diventare un segnale utile per chi organizza campagne di smishing.
Il primo errore, spesso fatto in buona fede, è pensare che rispondere a un SMS truffa serva a chiudere la questione. Non è così. Gli specialisti di cybersicurezza e le autorità che seguono le frodi digitali lo ripetono da tempo: qualunque risposta dice ai truffatori una cosa molto semplice, e molto preziosa. Quel numero di telefono è attivo, viene letto da una persona reale e può quindi essere usato ancora.
Sembra un dettaglio da poco. Invece pesa. Nelle campagne di smishing, i criminali inviano migliaia di messaggi a liste di numeri trovati online, comprati illegalmente o creati in automatico. Molti sono vecchi, sbagliati, inattivi. Quando qualcuno risponde, anche solo con un “chi siete?” o con “STOP”, quel contatto viene messo da parte. Finisce tra quelli considerati più interessanti, perché dall’altra parte qualcuno ha reagito.
Il sistema è simile a quello dello spam via email. Chi risponde conferma presenza, attenzione e, in certi casi, disponibilità a interagire. Da lì possono arrivare altri messaggi fraudolenti, telefonate di finti operatori bancari o tentativi più mirati, magari costruiti usando nome, zona geografica o riferimenti a servizi che la vittima usa davvero. Non rispondere è già una difesa. Semplice, ma efficace.
Il falso comando “STOP” usato dai truffatori per profilare le vittime
Il comando “STOP” funziona nei servizi regolari. Per esempio quando si cancella l’iscrizione a messaggi commerciali autorizzati o a notifiche richieste dall’utente. Il problema nasce quando lo stesso trucco viene copiato dai truffatori, che infilano nei loro SMS sospetti frasi come “Rispondi STOP per non ricevere più messaggi” oppure “Invia STOP per annullare l’avviso”.
A prima vista sembra una via d’uscita. In realtà può essere una trappola. Chi gestisce la frode non ha alcun obbligo di cancellare il contatto. Anzi, usa quella risposta per capire che dall’altra parte c’è una persona che legge, valuta e reagisce. È una forma di profilazione della vittima, semplice ma utile: non serve rubare subito un codice, basta capire chi potrebbe cadere nel passaggio successivo.
Secondo le ricostruzioni delle società di sicurezza informatica, in alcuni casi i numeri che rispondono vengono inseriti in campagne diverse, più insistenti o più credibili. Prima il falso pacco in consegna. Poi l’avviso della banca. Infine la telefonata di un presunto addetto antifrode. Passaggi separati, ma collegati. E il primo segnale può essere proprio quel messaggio mandato per liberarsi del fastidio.
Link, urgenze e mittenti mascherati: i segnali tipici dello smishing
Gli SMS truffa hanno quasi sempre alcuni segnali ricorrenti. Il più comune è l’urgenza: “conto bloccato”, “pagamento respinto”, “spedizione sospesa”, “accesso non autorizzato”. Il messaggio chiede di agire subito, prima che l’utente abbia il tempo di controllare. È lì che la truffa prova a colpire.
Un altro campanello d’allarme è il link sospetto, spesso accorciato o molto simile a quello di un sito vero, ma con lettere cambiate, domini strani o parole aggiunte. Può sembrare l’indirizzo di una banca, di un corriere, di un servizio pubblico. Ma non lo è. Anche il mittente può essere mascherato: alcuni messaggi finiscono nella stessa conversazione di comunicazioni autentiche, usando tecniche che rendono più difficile capire da dove arrivi davvero il testo.
Poi ci sono gli errori. Non sempre, ma spesso: frasi rigide, traduzioni innaturali, punteggiatura strana, richieste fuori procedura. Nessuna banca, nessun operatore telefonico e nessun ente serio chiede via SMS password, codici OTP, PIN o dati della carta. Se il messaggio spinge a farlo, il sospetto deve scattare subito. Anche se il tono è gentile. Anche se il logo, nella pagina aperta dal link, sembra familiare.
Cosa fare davvero: blocco, segnalazione e verifica sui canali ufficiali
La prima regola davanti a un SMS sospetto è non rispondere e non cliccare. Il messaggio va lasciato lì il tempo necessario per valutarlo, poi si può procedere con il blocco del mittente usando le funzioni del telefono. Su molti smartphone è possibile anche segnalare il testo come spam o messaggio indesiderato, aiutando così a limitare la diffusione di campagne simili.
Quando il messaggio sembra arrivare da una banca, da un corriere o da un servizio usato davvero, la verifica va fatta solo attraverso i canali ufficiali: app già installata, sito digitato a mano nel browser, numero del servizio clienti preso da documenti affidabili. Mai dal link ricevuto. Mai dal numero indicato nel messaggio. È una differenza semplice, ma spesso decisiva.
Se per errore sono stati inseriti dati personali o bancari, bisogna muoversi subito: contattare la banca, bloccare carte o credenziali, cambiare password e segnalare l’accaduto alla Polizia Postale attraverso i canali dedicati. Conservare lo screenshot del messaggio può essere utile, così come annotare ora di ricezione, numero del mittente e pagina aperta. Sembrano piccoli dettagli. Ma nelle indagini sulle truffe via SMS spesso sono proprio quelli a ricostruire il percorso della frode.
