Gli strumenti di IA oggi scrivono SMS truffa grammaticalmente perfette e personalizzate con dati reali ottenuti da fughe di dati, quindi gli 'errori di ortografia' non sono più un segnale d'allarme affidabile. Controlla invece il numero del mittente, non toccare il link, nota se il messaggio crea urgenza o chiede una risposta, e verifica qualsiasi cosa reale tramite l'app o il sito ufficiale dell'azienda — mai tramite l'SMS stesso.
Fino a qualche anno fa riconoscere un SMS truffa era semplice: grammatica scorretta, un link formattato in modo strano, un mittente che chiaramente non parlava italiano come lingua madre. Gli strumenti di scrittura basati sull'IA hanno silenziosamente chiuso quell'epoca. Gli SMS truffa di oggi — chiamati "smishing", abbreviazione di SMS phishing — possono essere grammaticalmente perfetti, personalizzati con il tuo vero nome o un ordine recente reale, e calibrati per sembrare esattamente la tua banca, un corriere o persino un familiare.
La buona notizia: i trucchi di fondo non sono cambiati, anche se la scrittura è migliorata. Questi sei controlli individuano la maggior parte degli SMS truffa perfezionati dall'IA in meno di un minuto.
Guarda chi ha davvero inviato il messaggio
Un SMS che dichiara di provenire dalla tua banca, da un corriere o da un ente pubblico dovrebbe arrivare da un numero breve o da un numero che riconosci da messaggi legittimi ricevuti in passato — non da un lungo numero casuale, un numero internazionale, o un mittente che sembra un indirizzo e-mail.
Tocca il mittente per vedere il numero completo se il telefono non lo mostra già. Se un messaggio che dichiara di provenire da "Poste Italiane" o dalla "tua banca" arriva invece da un numero che sembra un normale numero di cellulare a dieci cifre, anziché dal solito numero breve dell'azienda, questo è già di per sé un segnale d'allarme forte.
Non toccare il link — vai tu stesso alla fonte
Questa è l'abitudine più efficace contro lo smishing. Invece di toccare qualsiasi link in un SMS, apri una nuova scheda del browser (o l'app dell'azienda stessa) e digita tu l'indirizzo, oppure usa un segnalibro di cui ti fidi già.
Se l'SMS afferma che c'è un pacco in attesa, un pedaggio non pagato o un'attività sul conto da controllare, la stessa informazione — se reale — sarà lì quando accedi direttamente. Se non compare nulla, l'SMS era falso.
Riconosci i pretesti perfezionati dall'IA
L'IA ha reso gli SMS truffa naturali nel suono, ma gli scenari stessi restano familiari una volta che sai cosa cercare: un pacco non consegnato che richiede una piccola "spesa doganale", un pedaggio non pagato con la minaccia di una sanzione, un allarme antifrode della banca che chiede di "verificare" la carta, una convocazione in tribunale mancata o una multa stradale, oppure un'offerta di lavoro che arriva via SMS dal nulla.
Ciò che è cambiato è la personalizzazione — gli strumenti di IA possono estrarre il tuo nome, la tua città o persino un acquisto recente reale da dati trapelati in violazioni precedenti, e inserirli nel messaggio, rendendolo molto più mirato e credibile di un invio generico di massa.
Nota l'urgenza e qualsiasi richiesta di rispondere o pagare
Gli SMS truffa sono costruiti per farti agire prima che tu possa pensare: "ultimo avviso", "il tuo account sarà sospeso oggi", "rispondi entro 2 ore". Le notifiche reali di banche, corrieri ed enti pubblici quasi mai richiedono un'azione entro poche ore via SMS.
Considera come segnale d'allarme anche qualsiasi richiesta di rispondere con una parola (anche solo "S" o "N"), di cliccare per "confermare", o di pagare una piccola somma con carta. Rispondere in qualsiasi modo — anche per disiscriversi — può confermare al truffatore che il tuo numero è attivo.
Verifica in modo indipendente, sempre allo stesso modo
Se un SMS afferma qualcosa di urgente riguardo alla tua banca, a una consegna o a una questione con un ente pubblico, non usare nessun link, numero di telefono o codice QR presente nel messaggio. Apri l'app ufficiale dell'azienda, o un indirizzo web che digiti tu stesso, e controlla lì il tuo account. Per qualsiasi cosa che si presenti come un avviso governativo, usa direttamente il sito ufficiale dell'ente.
Anche chiamare il numero stampato sulla tua carta bancaria o su una bolletta precedente funziona — mai un numero fornito all'interno dell'SMS sospetto stesso.
Attiva il rilevamento integrato degli SMS truffa del tuo telefono
I telefoni più recenti possono intercettare tutto questo automaticamente. Google Messages ora include per Android una funzione di rilevamento IA degli SMS truffa direttamente sul dispositivo, che segnala in tempo reale schemi sospetti — lanciata negli Stati Uniti, nel Regno Unito e in Canada, si è da allora estesa a oltre 20 paesi e diverse lingue (il supporto per l'italiano non è al momento confermato da Google), e tutta l'analisi avviene sul telefono stesso, senza essere inviata altrove. Gli utenti iPhone possono filtrare i messaggi da mittenti sconosciuti in un elenco separato nelle Impostazioni, in modo che i mittenti non riconosciuti non finiscano direttamente nella casella principale.
Dopo aver controllato un messaggio, segnalalo: in Italia non esiste un codice breve unico come il 7726 statunitense. Con Vodafone puoi inoltrare l'SMS sospetto gratuitamente al 40214; con TIM e WindTre — i cui strumenti anti-spam (Stop Spam, Please don't call) coprono solo le chiamate, non gli SMS — usa il filtro spam del telefono e l'assistenza clienti. Poi blocca il mittente ed elimina il messaggio.
A cosa fare attenzione
L'IA ha imparato anche a imitare le persone che conosci. I truffatori usano sempre più spesso l'IA per scrivere un SMS o un messaggio vocale che suona come tuo figlio adulto, tuo nipote o un collega che chiede aiuto urgente — spesso denaro da inviare rapidamente. Se un messaggio da un numero "conosciuto" ti sembra strano, o chiede denaro o carte regalo, richiama quella persona a un numero che hai già salvato, non a uno fornito nel messaggio.
Non fidarti solo dell'ID chiamante o del nome del mittente. Entrambi possono essere falsificati (una tecnica chiamata "spoofing") per mostrare il nome di un'azienda reale o persino il nome di un contatto reale. Considera il nome del mittente un indizio, non una prova.
Cosa provare dopo
Gli SMS truffa sono spesso solo un tassello di una strategia più ampia che usa anche e-mail scritte dall'IA e voci clonate. Come riconoscere le e-mail di phishing create dall'IA affronta le stesse tattiche applicate alla tua casella di posta, e come riconoscere una voce IA in una telefonata vale la pena leggerlo se un "SMS da un parente" si trasforma in una telefonata che non suona del tutto giusta.
Fonti
- FCC Proposes First AI-Generated Robocall & Robotext Rules — Federal Communications Commission (proposta statunitense, riportata come contesto)
- Regolamento (UE) 2024/1689 (AI Act) — Art. 50, obblighi di trasparenza — Unione Europea
- Staying One Step Ahead: Strengthening Android's Lead in Scam Protection — Google
- Come fermare gli SMS indesiderati e proteggersi dalle truffe — McAfee
- Come bloccare i messaggi di spam — Vodafone
- Segnala Online — Autorità Garante della Concorrenza e del Mercato (AGCM)
- Commissariato di P.S. Online — Segnala Online — Polizia Postale e delle Comunicazioni
