L'SMS di «consegna pacco» è una truffa?

Come appare

Un esempio reale, anonimizzato.

      [Poste Italiane] Il suo pacco non può essere consegnato a causa di informazioni dell'indirizzo incomplete. Confermi il suo indirizzo entro 24 ore per evitare la restituzione al mittente: poste-consegna[.]top/conferma
    

Le varianti usano Poste Italiane, BRT, SDA, GLS, DHL, UPS, FedEx, TNT, InPost. La struttura è sempre la stessa: urgenza, una piccola tariffa o «conferma», un link che non ha mai visto prima.

Segnali d'allarme

Come riconoscerlo in cinque secondi.

Non stava aspettando alcun pacco, o il messaggio arriva nello stesso giorno per una «consegna di ieri». I truffatori inviano questi SMS a milioni di numeri sperando che alcuni destinatari abbiano per caso un ordine in corso.
Il link non è il vero dominio del corriere. Le vere Poste sono poste.it. Il vero DHL è dhl.it. Il vero BRT è brt.it. I link delle truffe sembrano poste-consegna.top, dhl-pagamento.com, brt-it.help, o usano un servizio di accorciamento.
La tariffa è sospettosamente piccola. 1,99 €, 2,49 €, 3,50 €. La cifra è troppo bassa per sembrare un obiettivo di frode. Il vero scopo sono i dati della sua carta.
La grammatica è leggermente sbagliata. «Il suo pacco non può essere consegna». «Per favore di confermare». «Ci scusiamo ma per inconveniente». I corrieri inviano milioni di SMS al giorno e hanno redattori professionisti.
Scadenza urgente. «Entro 24 ore», «o il pacco torna al mittente». I corrieri veri ritentano la consegna, lasciano un avviso e le scrivono via email. Non chiedono mai un'azione entro poche ore per SMS.
Il mittente è un numero lungo, un codice corto casuale o un gateway email. Gli SMS dei corrieri veri arrivano da codici corti registrati. Se il mittente è un numero normale di un paese strano, è una truffa.

Cosa fare

Faccia questo invece.

Se sta aspettando davvero un pacco, apra lei stesso l'app o il sito ufficiale del corriere digitando l'URL. Usi il numero di tracking dalla conferma d'ordine originale. Mai il link nell'SMS.
Inoltri l'SMS. In Italia, può segnalarlo al suo operatore mobile. La maggior parte degli operatori instrada questi messaggi a un team antifrode.
Cancelli il messaggio dopo averlo inoltrato. Blocchi il mittente se il suo telefono lo permette.
Se ha già cliccato sul link ma non ha inserito nulla, probabilmente sta bene. Chiuda la scheda. Esegua la scansione antimalware del telefono se ne ha una (raro su iPhone).
Se ha inserito i dati della carta, chiami ora il servizio antifrode della sua banca (numero sul retro della carta) e faccia bloccare la carta ed emetterne una nuova. Cambi poi la password di qualsiasi account dove ha usato le stesse credenziali.

Cosa non fare

Mai fare questo.

Non clicchi sul link «per vedere cosa dice». Alcune pagine di truffa raccolgono dati al caricamento (IP, browser, a volte di più). La maggior parte chiede i dati della carta nella schermata successiva.
Non chiami nessun numero del messaggio. I truffatori gestiscono call center falsi come backup se il link viene bloccato.
Non risponda con «numero sbagliato», «STOP» o altro. Rispondere conferma che il suo numero è attivo e finisce in una lista di «risponditori» rivenduta ad altri network di truffe.
Non paghi alcuna tariffa, per quanto piccola. I veri dazi doganali in Italia, Svizzera ed Europa vengono riscossi dal corriere alla consegna, all'ufficio postale al ritiro, o mostrati al checkout dell'ordine, mai per SMS a sorpresa.

Domande rapide

FAQ.

Sto davvero aspettando un pacco proprio adesso. Come posso essere sicuro?

Apra la sua email di conferma ordine o l'app del venditore (Amazon, eBay, il sito del marchio). Prenda da lì il numero di tracking. Poi digiti lei stesso l'URL ufficiale del corriere nel browser (poste.it, dhl.it, brt.it, ecc.) e incolli il numero di tracking. Se la pagina di tracking reale mostra che il pacco si muove normalmente, l'SMS era una truffa. Se mostra un problema di consegna, il corriere glielo dirà nella sua app, senza tariffe a sorpresa.

Ho cliccato sul link ma non ho inserito nulla. Sono nei guai?

Quasi sempre no. I telefoni moderni isolano il browser, quindi visitare solo una pagina di truffa non installa nulla. La truffa ha bisogno della sua carta o password per monetizzarla. Chiuda la scheda. Su Android può eseguire Play Protect (Impostazioni → Sicurezza → Google Play Protect → Scansiona). Su iPhone basta chiudere Safari e cancellare la cronologia.

Come hanno preso il mio numero?

Non specificamente. I truffatori comprano liste di numeri da fughe di dati passate (LinkedIn, Facebook, operatori mobili, centinaia di altre) o generano numeri in massa. L'SMS è inviato a milioni di persone alla volta. Lei non è un bersaglio personale, ed è per questo che il messaggio è così generico.

Ha ricevuto un altro messaggio?

Verifica il tuo testo esatto. Ci vogliono 5 secondi.

Gratuito, senza registrazione, niente viene salvato. Funziona per SMS, email, WhatsApp, link e screenshot in 10 lingue.

Verifica il mio messaggio →

Altre guide alle truffe

L'SMS di consegna pacco è una truffa?