Il messaggio è arrivato dentro la conversazione della banca.

Il difetto sta nel sistema, non in te

SMS, telefonate ed email nascono tutti negli stessi anni e condividono la stessa idea: chi manda dichiara chi è, e nessuno lo verifica. Non è una falla nascosta, è il progetto originario di reti costruite quando i partecipanti erano pochi e si fidavano l’uno dell’altro.

Per gli SMS il campo del mittente è addirittura testuale: chi spedisce può scrivere «Banca», «INPS», «Poste». È una funzione legittima — è così che gli enti mandano gli avvisi — e non è riservata a chi ha diritto a quel nome. Le piattaforme di invio massivo sono servizi commerciali, accessibili a chiunque, e i controlli su chi può usare quale nome variano moltissimo da un operatore all’altro e da un paese all’altro.

Da qui viene l’effetto che manda in pezzi qualunque prudenza: il telefono raggruppa i messaggi per etichetta del mittente, non per provenienza. Se il messaggio falso porta lo stesso nome dei messaggi veri della tua banca, si mette in fila sotto quelli, nella stessa conversazione, accanto al codice di conferma che avevi ricevuto la settimana prima. Nessuna app fa la distinzione, perché l’informazione per farla non le arriva.

I quattro canali, e quanto reggono

1. L’SMS

   Il più facile da falsificare e il più pericoloso, per via del raggruppamento nella conversazione autentica. Nessuna verifica è disponibile a chi riceve. È il canale su cui viaggiano i finti pedaggi, i pacchi in giacenza, le finte multe, gli avvisi di accesso sospetto.

2. La telefonata

   Il numero che compare sul display è un dato dichiarato da chi chiama. In Italia dal 2025 gli operatori bloccano le chiamate provenienti dall’estero che si presentano con un numero italiano falsificato: dal 19 agosto per i numeri fissi e dal 19 novembre per i mobili. È un argine reale, che ha tagliato una quota enorme di chiamate. Non è una copertura totale: restano i numeri esteri autentici, le numerazioni italiane usate davvero e le chiamate che arrivano attraverso applicazioni di messaggistica.

3. L’email

   Il nome del mittente è testo libero: è normale vedere «Assistenza clienti» al posto di un indirizzo. Esistono controlli tecnici che verificano se chi ha spedito era autorizzato a farlo per quel dominio, e funzionano abbastanza bene, ma non sono visibili a chi legge e non impediscono il trucco più usato, che non è falsificare il dominio: è registrarne uno che gli somiglia.

4. La PEC

   Gode della fama migliore e la merita solo in parte. Certifica che un messaggio è stato inviato e consegnato, con data e ora opponibili. Non certifica che il contenuto sia vero, né che il titolare della casella sia l’ente il cui nome compare a schermo: il nome visualizzato resta testo libero, e una casella nuova con un nome istituzionale si ottiene in poco tempo.

Il furgone che manda SMS

Vale la pena conoscere una variante che salta anche l’operatore telefonico. Un apparecchio installato in un veicolo si comporta come una cella telefonica: i telefoni nel raggio di poche centinaia di metri vi si agganciano e ricevono direttamente il messaggio. Non c’è nessuna rete che lo trasporti, quindi non c’è nessun filtro dell’operatore che possa fermarlo, nessun elenco di mittenti bloccati e nessuna traccia lato gestore.

Il furgone si mette dove c’è gente: una via centrale, una stazione, un mercato. Il messaggio è quello di sempre — un pacco in giacenza, un pedaggio, un avviso della banca — e chi lo riceve non ha alcun modo di distinguerlo. Se qualcuno intorno a te riceve nello stesso momento lo stesso identico avviso, quella è l’unica spia possibile.

La ragione per cui te ne parlo non è allarmarti: è che questa variante mostra dove sta il punto. Puoi difenderti da un messaggio senza sapere da dove viene, e infatti tutte le regole di questa pagina funzionano identiche contro un SMS spedito da un furgone e contro uno spedito da un’altra parte del mondo. Nessuna di esse ti chiede di stabilire chi sia il mittente, cosa che non sei in condizione di fare.