È un SMS truffa? Come riconoscere i falsi messaggi di banca, pacchi, pedaggi e multe

Se un SMS ti chiede di aprire un link, chiamare un numero o dare un codice per pagare, sbloccare o ricevere qualcosa, consideralo una truffa finché non l’hai controllato tu. Non usare il link né il numero del messaggio. Apri l’app della tua banca, il sito del corriere o il sito ufficiale dell’ente che viene nominato, e controlla lì. La Federal Trade Commission (FTC), l’autorità statunitense per la tutela dei consumatori, dà lo stesso consiglio: usa un numero di telefono o un sito che sai essere quello vero.

Chiunque può cascarci. Questi messaggi copiano loghi e modi di scrivere, e alcuni compaiono perfino nella stessa conversazione degli SMS veri della tua banca o del tuo corriere. Questa truffa si chiama phishing via SMS (smishing): il phishing è un messaggio falso che imita una banca o un’azienda per farsi dare dati o soldi.

Quali sono i segnali che un SMS è una truffa?

Il National Cyber Security Centre (NCSC), l’agenzia britannica per la sicurezza informatica, elenca i trucchi dei truffatori, tra cui questi: si spacciano per qualcuno di ufficiale, ti mettono fretta, fanno leva sulla paura o sulla speranza e mandano messaggi che non ti aspettavi. In un SMS di solito si presentano così:

Vuole qualcosa subito. Paga oggi, evita una sanzione, sblocca la carta entro mezzanotte. La Polizia Postale avverte che i falsi SMS sulle multe chiedono di pagare entro termini brevissimi.
Chiede un codice, un PIN, una password o i dati della carta. Nessuna banca ti chiede di inserire o comunicare i tuoi dati personali o bancari via SMS, email o telefono, ricorda la Polizia Postale.
Ti manda a un link o a un numero di telefono. Tra i segnali la Polizia Postale indica i link sospetti o abbreviati. In Italia i numeri che iniziano con 892 o 893 sono a pagamento, con tariffe maggiorate.
Arriva da un numero straniero sconosciuto ma dice di essere un’azienda del tuo paese: è un altro segnale della stessa lista della Polizia Postale.
Non te lo aspettavi. Nessun pacco in arrivo, nessun viaggio in autostrada la settimana scorsa, nessun rimborso in sospeso.

Il nome che compare in cima al messaggio non prova niente. Nexi, società italiana delle carte di pagamento, spiega nella sua pagina sulla sicurezza che un SMS falso può sembrare inviato dalla tua banca o da Nexi e comparire nella stessa lista dei messaggi ufficiali. La sua regola: se chi scrive vuole un codice monouso, una password o altre informazioni segrete, è un truffatore.

Nessun segnale da solo dimostra qualcosa, e un SMS falso può anche non averne nessuno: a togliere ogni dubbio è il controllo che fai tu.

Quali sono gli SMS truffa più diffusi?

Gli esempi qui sotto li abbiamo scritti noi per mostrare lo schema: non contengono link o numeri funzionanti.

“Pagamento in attesa” o “carta bloccata”: falsi SMS di banche e carte

Sicurezza carta: un pagamento di 1.249,00 € è in attesa della tua autorizzazione. Non sei stato tu? Chiama subito il [numero di cellulare] per bloccarlo.

Un SMS avvisa di un pagamento sospetto, di un conto bloccato o di un nuovo dispositivo collegato al tuo account. La Polizia Postale descrive una versione in due tempi: prima l’SMS, poi la telefonata di un finto impiegato della banca, o perfino di un finto agente di polizia, che si offre di “mettere in sicurezza” i tuoi risparmi. In un’altra versione il finto impiegato propone di spostare i soldi su un “conto sicuro”. Negli Stati Uniti la FTC ha detto nel giugno 2023 che l’SMS truffa più segnalato sembrava un avviso antifrode della banca e chiedeva di chiamare un numero, o di rispondere “sì” o “no”, a proposito di un grosso acquisto mai fatto.

Nexi, il cui nome compare in alcuni di questi SMS (la sua pagina sulla sicurezza descrive falsi messaggi con mittenti che sembrano Nexi), dice che non chiede mai i dati della carta, i PIN o i codici per telefono, email o SMS, e che non ti chiede mai di fare un’operazione con la carta. Nexi non ha niente a che fare con questi messaggi. Controlla la carta nell’app della tua banca o chiama il numero stampato sul retro della carta.

“Il tuo pacco ti aspetta”: falsi SMS di consegna

Non è stato possibile consegnare il tuo pacco: manca il numero civico. Aggiorna l’indirizzo entro 24 ore: parcel-redelivery[.]example

La Polizia Postale ha descritto un falso SMS del corriere che finisce nella stessa chat dei messaggi veri del corriere, con un link alle “istruzioni per il ritiro”, seguito dalla telefonata di qualcuno che si finge il fattorino e chiede altri pagamenti. Il numero di chi chiama può essere falsificato. Negli Stati Uniti lo US Postal Inspection Service, il servizio ispettivo delle poste, dice che USPS non manda SMS se non li hai chiesti tu con un numero di tracciamento, e che quei messaggi non contengono link.

Segui il pacco con il numero di tracciamento della conferma d’ordine, sul sito o sull’app del negozio o del corriere. Se qualcuno ti chiama per una consegna, la Polizia Postale consiglia di verificare direttamente con la società di spedizioni.

“Pedaggio non pagato” e “multa non pagata”: falsi addebiti stradali

ULTIMO AVVISO: risulta un pedaggio autostradale non pagato di 6,40 € a carico del tuo veicolo. Paga oggi per evitare una sanzione di 48 €: toll-payment-portal[.]example

In Italia la Polizia Postale ha segnalato nel maggio 2026 messaggi WhatsApp da un numero straniero che usano il nome di Autostrade per l’Italia, il gestore autostradale, che non c’entra. Negli Stati Uniti l’FBI ha lanciato l’allarme nell’aprile 2024 su SMS che parlano di pedaggi non pagati, con un importo piccolo, la minaccia di una penale per il ritardo e un link a un falso sito per i pedaggi. La FTC ha detto nel gennaio 2025 che i truffatori si spacciavano per gestori di pedaggi in tutto il paese, e che possono anche raccogliere dati come il numero della patente.

Con le multe lo schema è lo stesso. La Polizia Postale dice che la Polizia di Stato non notifica multe o sanzioni con SMS, app di messaggistica o link inviati al telefono. Le false richieste di pagamento usano anche il nome di pagoPA, il sistema dei pagamenti verso la pubblica amministrazione, e arrivano via email, SMS e app di messaggistica, a volte con un codice QR. Nel Regno Unito il Department for Transport, il ministero dei Trasporti, ha messo in guardia nel luglio 2025 da SMS che chiedono di pagare multe stradali mai inviati dal ministero.

Per sapere cosa devi pagare davvero, entra nel tuo account del gestore dei pedaggi o nel sito ufficiale dell’ente, aprendoli tu.

“Hai diritto a un rimborso”: falsi SMS del Fisco e degli enti previdenziali

Ufficio rimborsi fiscali: ti spetta un rimborso di 328,45 €. Conferma entro stasera la carta su cui ricevere l’accredito: refund-check[.]example

Il 31 agosto 2026 l’Agenzia delle Entrate ha segnalato SMS che promettono un rimborso IRPEF. Il sito falso chiede il codice fiscale, mostra un credito di 328,45 euro e poi chiede il nome dell’intestatario della carta, il numero, la scadenza e il codice di sicurezza (CVV). L’Agenzia dice di non avere niente a che fare con questi messaggi e consiglia di verificare ogni comunicazione dubbia sulla sua pagina “Focus sul phishing”. I falsi SMS a nome dell’INPS, l’istituto che paga pensioni e sussidi, chiedono di “aggiornare i propri dati” per continuare a ricevere le prestazioni, poi una copia del documento d’identità e un selfie con il documento in mano. La Polizia Postale ricorda che gli SMS dell’INPS non contengono mai link.

Nel Regno Unito l’HMRC, il fisco britannico, dice che non manderà mai un avviso di rimborso fiscale né chiederà dati personali o di pagamento via SMS. Negli Stati Uniti l’IRS, il fisco federale, dice che non manda SMS senza il tuo consenso.

“Richiamaci con urgenza”: numeri a pagamento e falsi SMS del CUP

Comunicazione importante sulla sua prenotazione sanitaria. La preghiamo di contattarci al più presto al [numero che inizia con 893].

La Polizia Postale spiega che gli SMS che chiedono di chiamare un numero che inizia con 892 o 893 per “un’importante comunicazione” portano a linee a pagamento. La chiamata può costare uno scatto alla risposta più una tariffa al minuto: resti in attesa della “comunicazione” e alla fine paghi la telefonata. I servizi ufficiali come il CUP (il Centro Unico di Prenotazione delle visite), l’ASL (l’azienda sanitaria locale) e l’INPS non usano numeri a pagamento. Il 2 febbraio 2026 la Regione Lombardia ha segnalato SMS che sembrano arrivare da “uffici CUP” con nomi inventati come “Centro Unico Primario” e chiedono di chiamare un numero 893.

Se aspetti una visita o un esame, chiama il centro di prenotazione al numero pubblicato sul sito ufficiale della tua Regione o della tua azienda sanitaria.

Come si segnala un SMS truffa?

Se sei in Italia

Segnala il messaggio alla Polizia Postale con il modulo Segnala online (argomento “Phishing”), poi blocca il numero. Il modulo è una segnalazione, non una denuncia. Se hai perso soldi, la Banca d’Italia spiega che puoi denunciare il reato alla Polizia Postale, nei suoi uffici o con gli altri canali che mette a disposizione. Nexi chiede di segnalare gli SMS che usano il suo nome e indica l’indirizzo [email protected] nella sua pagina sulla sicurezza. Per le altre banche, guarda la pagina sulla sicurezza della tua banca.

Se sei nel Regno Unito

Inoltra l’SMS gratis al 7726. La pagina dell’NCSC su come segnalare gli SMS truffa spiega come farlo su iPhone e Android. Gli SMS che fingono di arrivare dall’HMRC si possono inoltrare anche al 60599 (al costo normale del tuo operatore). Se hai perso soldi e vivi in Inghilterra, Galles o Irlanda del Nord, denuncia il fatto a Report Fraud (prima Action Fraud), il servizio della City of London Police che ha sostituito Action Fraud il 4 dicembre 2025, su reportfraud.police.uk o allo 0300 123 2040. In Scozia, secondo l’NCSC, va segnalato a Police Scotland al 101.

Se sei negli Stati Uniti

Inoltra l’SMS al 7726 (SPAM), usa l’opzione dell’app dei messaggi per segnalarlo come indesiderato (“report junk”) e segnalalo alla FTC su ReportFraud.ftc.gov. I falsi SMS di USPS si possono mandare anche a [email protected], con uno screenshot. I falsi SMS dell’IRS vanno a [email protected] con oggetto “Text” e i dati che l’IRS elenca. L’FBI chiede a chi riceve falsi SMS sui pedaggi di presentare una segnalazione su ic3.gov.

Negli altri paesi

La nostra pagina su dove segnalare una truffa elenca i canali ufficiali paese per paese.

Cosa devo fare se l’ho solo ricevuto?

Non aprire il link, non rispondere e non chiamare il numero del messaggio.
Controlla tu quello che dice il messaggio, nell’app o sul sito ufficiale della banca, del corriere o dell’ente che nomina.
Segnalalo come spiegato sopra, poi blocca il numero e cancella l’SMS. La FTC consiglia di segnalarlo prima di cancellarlo.

E se ho cliccato sul link o ho dato i miei dati?

Agisci in base a quello che hai fatto, cominciando dai soldi:

Hai inserito i dati della carta o un codice, o hai autorizzato un pagamento. Blocca subito la carta dall’app della banca o al numero stampato sulla carta, poi racconta alla banca cosa è successo. Per le carte Nexi, Nexi dice di bloccare la carta dall’app Nexi Pay o chiamando il numero indicato nella sua pagina sulla sicurezza.
Hai inserito le credenziali dell’home banking. Chiama la banca al numero che trovi sulla carta o nella sua app, poi cambia la password.
Hai inserito la password di un altro account. Cambiala, e cambiala anche su tutti gli altri account dove usi la stessa, come consiglia l’NCSC. La FTC aggiunge di attivare su quell’account la verifica in due passaggi (autenticazione a due fattori).
Hai solo aperto la pagina. Se l’hai aperta su un computer o hai installato qualcosa che ti chiedeva, l’NCSC consiglia una scansione completa con il tuo programma di sicurezza. Lo US Postal Inspection Service consiglia di avvisare la banca se hai interagito con la pagina, anche senza premere “invia”.
Hai dato a qualcuno l’accesso a distanza al telefono o al computer, per esempio con un’app che ti ha fatto installare. La FTC suggerisce di aggiornare il programma di sicurezza, fare una scansione, eliminare tutto quello che segnala e cambiare le password.

Negli Stati Uniti, se hai dato il tuo Social Security number (il numero di previdenza sociale), la FTC rimanda a IdentityTheft.gov.

E se ho pagato?

Chiama prima di tutto la banca o la società della carta, al numero stampato sulla carta o nella sua app ufficiale, e chiedi di fermare o stornare il pagamento. Poi denuncia il fatto alla polizia. A seconda di come hai pagato:

Con la carta. Blocca la carta e chiedi il rimborso. Negli Stati Uniti la FTC ricorda che la legge federale ti tutela dall’uso non autorizzato delle carte di credito e di debito.
Con un bonifico. Chiama subito; vale anche per i bonifici istantanei. Nel Regno Unito le regole di rimborso per le truffe coprono i normali bonifici britannici (Faster Payments e CHAPS) fatti dal 7 ottobre 2024, fino a 85.000 sterline. L’autorità chiede di segnalare il prima possibile, ed entro 13 mesi dal pagamento.
In Italia, se la banca dice di no. La Banca d’Italia spiega che puoi mandare alla banca un reclamo scritto, a cui per i servizi di pagamento deve rispondere entro 15 giorni lavorativi, e poi rivolgerti all’Arbitro Bancario Finanziario (ABF), l’organismo che decide le controversie tra clienti e banche.
Con un’app di pagamento. Segnala subito il pagamento all’app e chiedi di annullarlo, consiglia la FTC.
Con una gift card. Contatta la società che ha emesso la carta al numero stampato sopra, spiega che un truffatore ha avuto il numero e il PIN della carta e chiedi il rimborso. Conserva la carta e lo scontrino.
In criptovalute. Contatta l’exchange o il gestore del bancomat di criptovalute, spiega che l’operazione era una frode e chiedi di annullarla. La FTC avverte che i pagamenti in criptovalute non hanno le tutele delle carte.
Con una carta prepagata (come la Postepay in Italia). Se ne parla nella nostra guida ai primi 30 minuti dopo una truffa.

Non possiamo dirti se riavrai i tuoi soldi: decide prima la banca, poi l’arbitro o un giudice. Diffida di chiunque ti contatti senza che tu l’abbia cercato offrendosi di recuperare i soldi in cambio di un anticipo: la Financial Conduct Authority (FCA), l’autorità britannica dei mercati finanziari, descrive queste truffe del recupero e spiega che le denunce di frode fatte alla polizia non possono essere condivise con società private di recupero.

Per continuare

Ho subito una truffa: cosa fare nei primi 30 minuti, se hai già pagato o dato i tuoi dati.
Dove segnalare una truffa, paese per paese, con i canali ufficiali.
Come proteggersi dalle truffe online, la guida completa.
Truffe negli acquisti online, per i negozi falsi e gli SMS di consegna che arrivano dopo un acquisto.

Domande frequenti

Cosa succede se ho cliccato sul link di un SMS truffa?

Chiudi la pagina e non scriverci niente. Se hai inserito una password, cambiala, e cambiala anche su tutti gli altri account dove usi la stessa. Se hai inserito i dati della carta o un codice, blocca subito la carta dall'app della banca o al numero stampato sulla carta. Se hai aperto il link su un computer o hai installato qualcosa che la pagina ti chiedeva, l'NCSC britannico consiglia una scansione completa con il tuo programma di sicurezza.

L'SMS di Nexi sull'autorizzazione di un pagamento è una truffa?

Trattalo come tale. Nexi dice che non chiede mai i dati della carta, i PIN o i codici per telefono, email o SMS, e che non ti chiede mai di fare un'operazione con la carta. Controlla la carta nell'app Nexi Pay e, se hai dato un codice o i dati della carta, bloccala dall'app o al numero che Nexi pubblica sul proprio sito.

Che cos'è la truffa dell'SMS del CUP con il numero 893?

È un SMS che ti chiede di chiamare un numero che inizia con 892 o 893 per una comunicazione importante. Finge di arrivare dal CUP, il centro di prenotazione delle visite, spesso con un nome inventato come 'Centro Unico Primario'. Sono numeri a pagamento: resti in attesa e la chiamata la paghi tu. La Polizia Postale ricorda che i servizi ufficiali come CUP, ASL e INPS non usano numeri a pagamento.

L'SMS sul pedaggio non pagato è una truffa?

Molto spesso sì. La Polizia Postale in Italia, e l'FBI e la FTC negli Stati Uniti, hanno messo in guardia da SMS e messaggi WhatsApp che parlano di un pedaggio non pagato e portano a una falsa pagina di pagamento. Controlla la tua situazione sul sito o sull'app ufficiale del gestore autostradale, che apri tu, mai dal link.

Come si segnala un SMS truffa nel Regno Unito?

Inoltralo gratis al 7726, il servizio gestito dalla maggior parte degli operatori telefonici britannici; l'NCSC spiega come farlo su iPhone e Android. Gli SMS che fingono di arrivare dall'HMRC, il fisco britannico, si possono inoltrare anche al 60599 (al costo normale del tuo operatore). Se hai perso soldi, denuncia il fatto a Report Fraud (prima Action Fraud) in Inghilterra, Galles e Irlanda del Nord, oppure a Police Scotland in Scozia.

L'SMS di USPS è vero?

Lo US Postal Inspection Service dice che USPS, il servizio postale statunitense, non manda SMS se non li hai chiesti tu con un numero di tracciamento, e che quei messaggi non contengono link. Un SMS di USPS con un link, che non hai mai richiesto, è una truffa. Puoi mandarlo a [email protected] e inoltrarlo al 7726.

Argomenti: truffe, SMS truffa, smishing, phishing