Truffa pacco via SMS: come riconoscerla e cosa fare

SMS del corriere vero o truffa: come riconoscerlo

Un falso di solito ha più di uno di questi segnali:

• Non aspetti niente. Nessun ordine, nessuno che ti debba spedire qualcosa? Allora il pacco «sospeso» non esiste. Anche un numero di spedizione nel messaggio non prova nulla: la Posta svizzera cita come esempio di truffa un falso numero d'invio, 34632900-371.
• Ti chiede soldi per consegnare. GLS scrive che «in nessun caso» chiede pagamenti con carta di credito via SMS o e-mail. InPost ti dice di diffidare di chi chiede un pagamento per sbloccare un pacco. DHL scrive che gli unici pagamenti che chiede per e-mail o SMS sono dazi e tasse.
• Ti mette fretta. La Posta svizzera dice che la sua comunicazione ufficiale non ti mette sotto pressione con minacce o scadenze urgenti, e tra gli esempi di falsi cita il «termine di 24 ore». UPS porta come esempio di falso «Il tuo codice cliente verrà sospeso entro 24 ore».
• Il link non è del corriere. Link accorciati che iniziano con https://bit.ly/ (DHL), indirizzi che imitano quello vero come post.ch.paysget.info (la Posta) o unitedparcelservices.com al posto di ups.com (UPS), estensioni nuove come .shop, su cui oggi FedEx mette in guardia.
• Il mittente non torna. Negli SMS falsi, dice DHL, al posto del numero del mittente compare un nome generico come «Consegna», oppure il numero ha il prefisso di un altro Paese (per esempio +235). Le e-mail vere di DHL non arrivano mai da Gmail, Yahoo o altri servizi gratuiti. BRT mette in guardia anche da un indirizzo del mittente che differisce «anche lievemente» da quello vero.
• Ti chiede di rispondere, chiamare o inquadrare qualcosa. Mandare un codice via SMS al 41414 o chiamare un numero 0901 sono trucchi che la Posta svizzera ha già visto. Poste Italiane ti dice di non inquadrare i QR code ricevuti via SMS o e-mail. E l'italiano zoppicante è un indizio: GLS e BRT citano gli errori di grammatica, DHL ricorda che i suoi messaggi sono scritti in un italiano corretto.

Un mittente conosciuto, però, non prova niente. Poste Italiane avverte che alcuni SMS e messaggi WhatsApp falsi possono comparire perfino nelle sue conversazioni ufficiali, con una tecnica chiamata spoofing.

In Italia il nome che compare come mittente di un SMS aziendale (l'alias) lo registrano solo fornitori autorizzati, e le regole dell'AGCOM prevedono il blocco degli SMS di chi non è autorizzato in Italia. Su Android, con i messaggi RCS e un operatore che li supporta, GLS mostra una spunta blu accanto al suo logo nelle informazioni di contatto. Prendili come indizi, non come una garanzia: un falso può comunque finire nella conversazione vera.

Come leggere un link prima di toccarlo

I link truffa spesso cominciano con il nome di un corriere. Quello che conta è la fine dell'indirizzo, subito prima della prima / singola: lì c'è il vero proprietario. L'esempio inventato usa Royal Mail, la posta britannica, ma con brt.it o poste.it il trucco è identico:

Anche se il link sembra giusto, non usarlo: scrivi tu l'indirizzo del corriere.

Poste, BRT, GLS e DHL mandano davvero SMS?

Sì, quasi tutti, ed è per questo che i falsi funzionano. Ecco cosa dice ogni corriere dei propri messaggi e cosa non fa mai:

I corrieri veri mandano anche dei link, quindi un link da solo non dice niente. E qualche richiesta di pagamento vera esiste: quasi sempre per dazi e IVA su un pacco da fuori UE (in Ticino, dall'estero). UPS lo riassume così: solo pochi pacchi richiedono denaro per la consegna, cioè contrassegno, dazi o tasse, e il modo più sicuro per saperlo è seguire il pacco sul suo sito.

Pacco sospeso o mancata consegna: cosa dicono gli SMS truffa

Tornano sempre gli stessi copioni. Questi sono quelli citati dai corrieri nelle loro pagine di avviso:

• Mancata consegna. Falsi SMS ed e-mail su presunte «mancate consegne» (BRT), o un'e-mail che dice che il pacco non si può consegnare e ti chiede di aprire un allegato (DHL).
• Pacco sospeso o trattenuto. Il pacco «non può essere inoltrato» e devi pagare una commissione o confermare i dati, oppure è «trattenuto presso il terminale» (la Posta svizzera).
• Spese doganali. Alcune sono vere: la guida sul pacco fermo in dogana spiega come le chiedono davvero Poste e la Posta.
• Fattura da scaricare. False fatture il cui download installa un programma malevolo (BRT), finti allegati (GLS).
• Un codice da mandare o un numero da chiamare. Codici SMS da inviare al 41414 o numeri a pagamento 0901 (la Posta svizzera).
• WhatsApp al posto dell'SMS. Account falsi che provano a portarti su WhatsApp o Telegram (DHL), finta assistenza InPost che ti scrive su WhatsApp.
• Una telefonata. Poste Italiane descrive un SMS di allarme seguito da una chiamata da un numero che sembra ufficiale: un finto operatore, a volte un finto agente, ti spinge a spostare soldi. Per UPS, chi chiama davvero da UPS sa sempre darti un numero di spedizione da controllare sul suo sito; nel dubbio, chiedi nome, cognome e numero di telefono.
• Un falso corriere alla porta. GLS avverte di finti autisti che si spacciano per sostituti di quello di zona: controlla logo GLS sul furgone, badge e divisa, e diffida di chi ti chiede di restituirgli un pacco già consegnato.
• Una vendita online. Vinted avverte che i truffatori cercano di portarti fuori dalla piattaforma, e ricorda che non serve uscire da Vinted per confermare un pagamento o ricevere un ordine. La Posta svizzera segnala falsi ordini di presa in consegna nei piccoli annunci.

Come controllare un SMS sul pacco senza rischi

Nessuno di questi passi usa il messaggio:

1. 1Chiediti se aspetti qualcosaNessun ordine, nessuno che ti debba spedire qualcosa? Allora trattalo come una truffa.
2. 2Trova il vero codice trackingPrendilo dall'e-mail di spedizione o dall'ordine sul sito del negozio, mai dal messaggio.
3. 3Apri tu il corriereScrivi il suo indirizzo o apri la sua app. Non toccare, inquadrare o chiamare niente del messaggio.
4. 4Cerca una richiesta veraUn importo davvero dovuto compare sul sito o nell'app del corriere.
5. 5Segnalalo, poi cancellaloIn Italia alla Polizia Postale, in Ticino all'UFCS (trovi tutto più sotto).

La Posta svizzera lo dice chiaro: gli invii si verificano solo su posta.ch o nella Post-App ufficiale. Non trovi il codice? Leggi dove si trova il codice tracking. Puoi anche incollarlo in Peek, che chiede al corriere e, se serve, ad altre fonti: vedi le ultime scansioni senza avvicinarti al link. Da Peek non si paga niente: quello che è davvero dovuto lo paghi al corriere, sul suo sito o nella sua app.

Se il corriere è passato davvero e non ti ha trovato, come funzionano avviso, giacenza e nuova consegna lo trovi in mancata consegna pacco.

Ho cliccato sul link di un SMS truffa: cosa fare

Dipende da cosa hai fatto sulla pagina:

1. 1Chiudi la paginaNon scrivere altro e non rispondere al messaggio, nemmeno «STOP».
2. 2Chiama la bancaUsa il numero sulla carta o nell'app della banca e chiedi di bloccare la carta.
3. 3Cambia le passwordSu tutti i siti dove usi quella che hai inserito.
4. 4Non fidarti di chi ti chiamaUn finto operatore della banca, di Poste o della polizia? Riattacca e richiama tu un numero che hai trovato da solo.
5. 5Sporgi denunciaAlla polizia, se hai perso soldi o dati.

Hai solo aperto il link? «Non inserite alcun dato e chiudete la pagina», dice la Posta svizzera. Poi segnala il messaggio. Non rispondere: sull'iPhone, dopo una risposta non puoi più segnalarlo come indesiderato.

Hai inserito i dati della carta o pagato? Chiama subito la banca o la società che ha emesso la carta. La Polizia Postale ricorda che ogni emittente ha un numero gratuito per bloccarla subito. La Posta svizzera aggiunge: cambia subito le password e blocca i mezzi di pagamento coinvolti. E non spostare mai soldi «per metterli al sicuro», come chiedono i finti operatori: Poste Italiane ricorda che i bonifici istantanei sono irrevocabili.

Anche una commissione minuscola non è innocua: DPD Germania avverte che questi moduli per la carta possono iscriverti di nascosto a pagamenti successivi. Controlla gli estratti conto anche nelle settimane dopo.

Per la denuncia in Italia devi andare di persona in un ufficio di polizia: la denuncia online della Polizia di Stato oggi è solo una sperimentazione nel Lazio, e la segnalazione alla Polizia Postale non la sostituisce. GLS stessa, se hai pagato, consiglia di sporgere denuncia. In Ticino la denuncia va alla polizia cantonale.

Dove segnalare un SMS truffa sul pacco

Segnala il messaggio anche se non hai cliccato, poi cancellalo.

Sull'iPhone, sotto un messaggio di un mittente sconosciuto compare Segnala come indesiderato: toccalo, poi tocca Elimina e segnala come indesiderato (se per gli SMS l'opzione non compare, chiedi al tuo operatore). In Google Messaggi su Android apri la conversazione, tocca Altre opzioni, poi Dettagli e Blocca e segnala spam.