Il falso corriere e il falso servizio clienti: la porta d'accesso al phishing

La truffa del finto fattorino (o smishing parcel) è un phishing che si spaccia per un corriere (La Poste, Colissimo, Chronopost, Mondial Relay) o un grande sito commerciale come Amazon. Tramite SMS o telefono richiede un piccolo “spese di consegna” per raccogliere i tuoi dati bancari e personali. Questi dati vengono poi utilizzati per addebiti fraudolenti e spesso alimentano un secondo attacco: la chiamata di un falso consulente bancario, reso credibile dalle informazioni appena inserite.

Come funziona la truffa, passo dopo passo

1. 1
   Il messaggio esca: "il tuo pacco è in attesa"

   Un SMS o una chiamata annunciano un pacco bloccato: indirizzo incompleto, spese doganali, casella di rilancio piena. Il messaggio viene inviato a decine di migliaia di numeri: statisticamente, molti destinatari si aspettano effettivamente la consegna, rendendo l'esca credibile senza alcun targeting.

2. 2
   Il sito falso: una copia perfetta del corriere

   Il collegamento porta a una replica del sito ufficiale: logo, colori, numero di tracciamento falso. Differisce solo l'indirizzo web, spesso con una lettera o un'estensione (“laposte-suivi.info” invece di laposte.fr). Sui dispositivi mobili, dove l'indirizzo è appena visibile, la differenza passa facilmente inosservata.

3. 3
   Ritiro — € 1,95 che è molto costoso

   Il sito falso richiede una cifra irrisoria: da 1 a 3 euro di “spese di riconsegna”. L'importo è calcolato in modo da non suscitare diffidenza. In realtà, non sono i 2€ che interessano al truffatore: sono il numero completo della carta, la data di scadenza e il crittogramma che avete appena inserito, oltre al vostro nome, indirizzo e numero di telefono.

4. 4
   Sfruttamento: addebiti fraudolenti o rivendita di dati

   Nei giorni successivi la carta viene utilizzata per gli acquisti online oppure i dati vengono rivenduti. Talvolta i truffatori testano la carta con addebiti piccoli e discreti prima di passare ad importi maggiori.

5. 5
   Il rimbalzo: la chiamata al “dipartimento antifrode” della tua banca

   Questo è il passo più pericoloso. Pochi giorni dopo chiama un “consulente bancario”: sono state rilevate transazioni sospette – lui lo sa, è lui che le ha effettuate. Con i tuoi dati personali, è perfettamente credibile e ti guida verso la convalida delle operazioni che svuotano il tuo conto. Il piccolo pacchetto SMS era in fase di preparazione falso consulente bancario.

I 5 segnali d'allarme da conoscere

Un messaggio di consegna legittimo non richiede mai denaro. Tutto il resto viene verificato in trenta secondi.

• Ti viene addebitata una commissione per consegnare o riconsegnare un pacco. Le spese di spedizione vengono pagate al momento dell'ordine, mai successivamente tramite SMS. Già solo questa richiesta è il segno della truffa.

• Il collegamento non rimanda al sito ufficiale. “laposte-relivraison.com”, “chronopost-suivi.net”… I veri domini sono laposte.fr, chronopost.fr, amazon.fr. In caso di dubbi non utilizzare il link: digita tu stesso l'indirizzo ufficiale.

• Non stai aspettando un pacco oppure il messaggio non menziona un corriere specifico o un numero di tracciabilità verificabile. Messaggi generici (“il tuo pacco”, senza riferimento) vengono inviati in massa, alla cieca.

• Un "servizio clienti" ti chiama per un rimborso o per un problema con l'ordine. Amazon e i principali siti commerciali non chiamano quasi mai spontaneamente. Una chiamata che chiede le tue coordinate bancarie “per rimborsarti” è una truffa: un rimborso non richiede mai il tuo crittogramma.

• Poco dopo aver inserito la tua carta da qualche parte, la “tua banca” ti chiama. Questa tempistica non è una coincidenza: è la prevista continuazione della truffa. Riattacca e chiama tu stesso la tua banca al numero sul retro della tua carta.

Cosa fare se sei una vittima?

Se hai inserito la tua carta bancaria su un sito di consegna falso, agisci lo stesso giorno:

1. Presentare immediatamente un'opposizione. Dalla tua banca (numero sul retro della carta) o tramite il server di opposizione interbancario allo 0 892 705 705, disponibile 7 giorni su 7.
2. Monitora i tuoi account e contesta eventuali addebiti sconosciuti. Per i pagamenti con carta non autorizzati, la banca deve in linea di principio rimborsare le transazioni contestate senza indebito ritardo (articolo L.133-18 del Codice monetario e finanziario).
3. Presenta un reclamo dalla polizia o dalla gendarmeria, oppure online per frode con carta bancaria tramite il servizio Perceval (service-public.fr).
4. Segnala l'SMS a 33700 (basta inoltrare il messaggio) e la truffa continua cybermalveillance.gouv.fr.
5. State attenti nelle prossime settimane. I tuoi dati sono ora archiviati presso i truffatori: aspettati chiamate dalla “tua banca” o da altri “servizi clienti”. Non convalidare mai un'operazione richiesta telefonicamente.

Come Kin-Guard rileva questa truffa

The telephone part of this scam – the fake customer service who calls, the fake advisor who “calls back” after the SMS – always goes through an unknown number. Kin-Guard responds for your loved one, identifies the caller and their reason, and recognizes patterns of fake customer service: unexpected refunds, fees to be paid, bank details requested over the phone. La chiamata viene bloccata prima dell'inizio dello scenario e l'utente viene avvisato del tentativo.

Domande frequenti

Articolo scritto da Charlie BART, fondatore di Kin-Guard. Pubblicato il 7 luglio 2026.

Fonti: Cybermalveillance.gouv.fr — Rapporto di attività 2023 · La Poste – Allerta frode · 33700 — Segnalazione di SMS e chiamate fraudolente

Leggi anche