Il finto SMS del corriere
Un messaggio che dice che il pacco è fermo in dogana e chiede un piccolo pagamento o un tocco su un link. Il messaggio truffaldino più diffuso in assoluto.
Come si presenta
- Un SMS breve: il pacco è fermo in dogana, l'indirizzo era incompleto, la consegna è fallita.
- Contiene un link accorciato (bit.ly, tinyurl) o un dominio che non conosci.
- La cifra richiesta è piccola — 1,99 €, 2,40 €. Abbastanza piccola da non sembrare degna di discussione.
Come riconoscerlo
- Stai davvero aspettando un pacco? Se no, la risposta finisce qui.
- Guarda il dominio del link. L'indirizzo di un corriere finisce con il suo nome; «tracking-spedizione-it.xyz» non è di nessuno.
- I corrieri non incassano spese doganali tramite un link in un SMS. Si paga sul loro sito o in filiale.
- Il messaggio mette fretta: «paga entro 24 ore o il pacco torna indietro». La fretta serve a impedirti di pensare.
Cosa fare
- Non toccare il link. Cancella il messaggio.
- Se aspetti davvero un pacco, digita tu il numero di tracking nell'app del corriere.
- Blocca e segnala il numero — lo stesso messaggio arriva a migliaia di altre persone.
Se è già successo
- Se hai inserito i dati della carta, chiama subito la banca e falla bloccare. Chiama anche alle tre di notte; le banche hanno una linea 24 ore proprio per questo.
- Se è passato un addebito, chiedi alla banca lo storno (chargeback). Le prime 24 ore offrono le possibilità migliori.
- Se hai installato un'app, rimuovila, riavvia il telefono e cambia le password bancarie da un altro dispositivo.
- Non c'è nulla di cui vergognarsi. Questi messaggi arrivano a milioni di persone e sono scritti per convincere. Prima chiami, meglio è.
Domande frequenti
Ho toccato il link ma non ho inserito nulla. Sono a rischio?
Quasi certamente no. Aprire una pagina di solito è innocuo; il rischio comincia quando si digita qualcosa o si scarica un file. Se è stata scaricata un'app, rimuovila e riavvia.
Il mittente era il nome di un corriere vero. Com'è possibile?
Il nome del mittente di un SMS si può impostare a piacere — si chiama spoofing del mittente. Il nome non prova nulla. Guarda il link e ciò che viene chiesto.