Hai cliccato su un SMS truffa? Cosa fare subito, passo passo
In sintesi. Chi ha cliccato sul link di un SMS truffa (smishing) deve chiudere la pagina e non inserire altri dati. Secondo Polizia Postale, Garante Privacy e Banca d’Italia, chi ha inserito password o dati della carta deve chiamare la banca da un numero ufficiale, bloccare carte e home banking, cambiare le password, sporgere denuncia e contestare gli addebiti entro 13 mesi.
I punti chiave
- Chi ha cliccato su un SMS truffa deve chiamare la banca solo da un numero ufficiale, come quello sul retro della carta, e mai dai contatti presenti nell’SMS.
- Secondo la Banca d’Italia, un addebito non autorizzato va contestato appena lo si scopre e comunque entro 13 mesi dalla data dell’addebito.
- Secondo le regole in vigore a ottobre 2026, la banca deve riaccreditare un addebito non autorizzato entro la fine della giornata lavorativa successiva alla segnalazione, salvo fondato sospetto di frode del cliente.
- Secondo il report CERT-AgID 2025, il rischio di installare malware tramite file .apk scaricati dal link di un SMS truffa riguarda soprattutto gli smartphone Android.
- La segnalazione online alla Polizia Postale sul Commissariato di PS Online si aggiunge alla denuncia formale e non la sostituisce, come precisa il CERT-AgID.
Se hai cliccato sul link di un SMS truffa, chiudi la pagina e non inserire altri dati. Se hai scritto password, dati della carta o codici, chiama subito la banca da un numero ufficiale (non quello dell’SMS), fai bloccare carte e home banking, cambia le password e sporgi denuncia alla Polizia Postale. Poi fai una scansione del telefono e disinstalla le app scaricate dal link.
Se trovi addebiti che non hai fatto, contestali alla banca appena te ne accorgi, e comunque entro 13 mesi dalla data dell’addebito.
Perché un solo clic può essere un problema
Questa truffa si chiama smishing, cioè phishing via SMS. Secondo il Garante Privacy, il link può portare a un modulo dove la vittima inserisce dati personali, bancari o della carta di credito. Lo stesso link può anche installare sullo smartphone programmi che rubano i dati salvati o che accedono alle app di internet banking e delle carte.
Un esempio segnalato dalla Polizia Postale: un SMS, apparentemente del «sistema IoSicuro», avvisava di un movimento sul conto. Il link apriva una copia del sito della banca che chiedeva le credenziali dell’home banking e il numero di telefono, che finivano al truffatore. Il CERT-AgID ha descritto finti SMS dell’INPS con siti che imitano quello ufficiale, loghi compresi.
Cosa tenere a portata di mano
- Il numero ufficiale della banca o di chi ha emesso la carta: quello sul retro della carta, nell’app o della tua agenzia.
- Un antivirus affidabile per la scansione del telefono.
- Lo screenshot dell’SMS e, se ci sono, i dettagli degli addebiti sospetti: data, importo e caratteristiche dell’operazione.
- Un documento d’identità per la denuncia.
Cosa fare subito, nell’ordine giusto
- Chiudi la pagina aperta dal link e non inserire altri dati.
- Non rispondere all’SMS, nemmeno per chiedere di non ricevere più messaggi: una risposta può confermare al truffatore che il numero è attivo.
- Se hai inserito credenziali, codici o dati della carta, chiama la banca o l’emittente della carta usando i canali ufficiali.
- Chiedi il blocco dei mezzi di pagamento e controlla con l’operatore le ultime operazioni.
- Cambia subito la password che hai inserito nel sito falso e quelle uguali usate altrove.
- Attiva l’autenticazione a più fattori sugli account coinvolti.
- Se hai scaricato un’app dal link, disinstallala.
- Fai una scansione antivirus del telefono.
- Sporgi denuncia alla Polizia Postale e fai la segnalazione online.
- Se trovi addebiti non tuoi, avvia il disconoscimento con la banca.
Ho solo cliccato senza inserire nulla: rischio qualcosa?
Il Garante Privacy avverte che il link può servire anche a installare programmi malevoli sul telefono, senza che tu scriva niente. Per questo la Polizia Postale consiglia una scansione antivirus del dispositivo se pensi di aver aperto link o allegati sospetti.
A ottobre 2026 nessuna fonte ufficiale stima quanto sia alto il rischio con il solo clic. Il consiglio pratico resta lo stesso: chiudi la pagina, controlla se sul telefono sono comparse app che non hai installato tu e fai la scansione.
Ho inserito i dati della banca nel sito falso: cosa faccio?
Secondo la Polizia Postale servono tre cose: avvisare la banca (o chi gestisce il sito originale), cambiare la password che ti è stata probabilmente rubata e sporgere denuncia.
Per chiamare la banca non usare mai numeri o link presenti nell’SMS. Usa i recapiti che già conosci: il numero sul retro della carta, l’app ufficiale, la tua agenzia. Chiedi il blocco delle carte e dell’accesso all’home banking e fatti dire se ci sono operazioni in corso.
Ho scaricato un’app dal link: Android e iPhone sono uguali?
No. Secondo il report CERT-AgID 2025, molte campagne di smishing servono a diffondere trojan bancari e spyware per smartphone. Il rischio di installare un malware tramite file .apk scaricati dal link riguarda soprattutto Android.
Se hai installato un’app dal link:
- Disinstallala subito.
- Fai una scansione con un antivirus affidabile.
- Se possibile, salva i dati importanti.
- Valuta il ripristino del telefono alle impostazioni di fabbrica.
Per iPhone, a ottobre 2026, non sono state trovate indicazioni ufficiali specifiche. In questo caso valgono le regole generali: cambiare le password inserite, avvisare la banca e controllare il conto.
Come segnalare l’SMS truffa e sporgere denuncia
La segnalazione online alla Polizia Postale si fa sul Commissariato di PS Online, nella sezione Segnalazioni, voce «Segnala online» (commissariatodips.it/segnalazioni/segnala-online/). Il CERT-AgID precisa che la segnalazione si aggiunge alla denuncia formale, non la sostituisce.
Se hai perso soldi o hai dato credenziali, la denuncia formale è il passo da fare. Porta con te lo screenshot dell’SMS e l’elenco delle operazioni sospette.
Come contestare un addebito e chiedere il rimborso
Usa la procedura di disconoscimento prevista dalla tua banca. Indica data, importo e caratteristiche di ogni operazione che non hai fatto. Conserva copia della richiesta, il numero di pratica e tutte le comunicazioni ricevute.
La Banca d’Italia chiarisce che l’operazione va contestata il prima possibile. I 13 mesi sono un termine massimo, non un tempo a disposizione: il cliente deve avvisare non appena scopre l’operazione non autorizzata.
| Situazione | Cosa prevedono le regole (a ottobre 2026) |
|---|---|
| Termine per contestare | Subito, e comunque entro 13 mesi dalla data dell’addebito, secondo il contratto |
| Tempi del riaccredito | Regola generale: entro la fine della giornata lavorativa successiva alla segnalazione |
| Pagamento senza autenticazione forte (SCA) | Se dici di non averlo autorizzato, il rimborso è dovuto |
| Pagamento con autenticazione forte (SCA) | Secondo l’associazione di consumatori ADICU, per la Banca d’Italia la banca che rifiuta il rimborso deve dimostrare dolo o colpa grave del cliente |
| Eccezione | Fondato sospetto di frode da parte del cliente: la banca può sospendere il rimborso, fare verifiche e segnalarlo alla Banca d’Italia |
La denuncia serve anche se ti hanno rubato soldi? Sì, ma non sostituisce il disconoscimento verso la banca. Secondo ADICU, la Banca d’Italia chiarisce che la denuncia alle forze dell’ordine non è necessariamente una condizione per avere il rimborso: le due cose vanno fatte in parallelo.
Già nel giugno 2024 la Banca d’Italia aveva richiamato le banche al rispetto delle regole sui disconoscimenti, per problemi nei rifiuti di rimborso, nei tempi delle pratiche e nelle informazioni date ai clienti. Se la banca rifiuta il rimborso, conviene rivolgersi a un’associazione di consumatori o a un legale per valutare il proprio caso.
Hai dato i tuoi dati a un finto sito INPS?
Il CERT-AgID consiglia di controllare, nei mesi successivi, i conti su cui ricevi pensione, stipendio pubblico o altri pagamenti dello Stato. Lo scopo è accorgersi in tempo di accrediti mancati e verificare che l’IBAN non sia stato cambiato a tua insaputa.
Gli errori da evitare
- Rispondere all’SMS: conferma al truffatore che il numero è attivo.
- Verificare usando i contatti del messaggio: numeri e link nell’SMS portano ai truffatori.
- Fidarsi del lucchetto: secondo la Polizia Postale la pagina falsa può essere identica a quella vera e avere una connessione cifrata (https).
- Aspettare prima di contestare un addebito perché «tanto ci sono 13 mesi».
- Tenere password e credenziali salvate sul telefono: il Garante consiglia di non farlo.
Come riconoscere il prossimo SMS truffa
Il Garante Privacy ricorda che istituzioni e banche non chiedono dati personali via SMS o messaggistica, soprattutto PIN, password o codici di autorizzazione. Un messaggio che li chiede è da considerare falso.
Altri segnali indicati dal Garante: toni definitivi o minacciosi, messaggi che mettono fretta o parlano di un rischio imminente, numeri insoliti con poche cifre, mittenti che compaiono con un nome ma hanno il numero nascosto. I truffatori puntano proprio sulla paura per farti reagire d’impulso.
Per il futuro, il Garante suggerisce di controllare spesso il conto e di attivare gli avvisi per ogni movimento: è il modo più rapido per accorgersi di un addebito sospetto e contestarlo subito.
Domande frequenti
Ho cliccato su un link di un SMS truffa ma non ho inserito dati, rischio qualcosa?
Secondo il Garante Privacy, il link di un SMS truffa può installare programmi malevoli sul telefono anche senza che l’utente scriva nulla. La Polizia Postale consiglia di chiudere la pagina, controllare se sono comparse app non installate dall’utente e fare una scansione antivirus del telefono.
Entro quanto tempo posso contestare un addebito dopo un SMS truffa?
Secondo la Banca d’Italia, un addebito non autorizzato va contestato alla banca appena lo si scopre. Il termine massimo è di 13 mesi dalla data dell’addebito, ma non va inteso come un tempo a disposizione per aspettare.
La banca mi rimborsa i soldi rubati con un SMS truffa?
Per un pagamento senza autenticazione forte (SCA) che il cliente dichiara di non aver autorizzato, il rimborso è dovuto. Per un pagamento con autenticazione forte, secondo l’associazione di consumatori ADICU, la Banca d’Italia stabilisce che la banca che rifiuta il rimborso deve dimostrare dolo o colpa grave del cliente.
Serve la denuncia alla Polizia Postale per avere il rimborso dalla banca?
Secondo ADICU, la Banca d’Italia chiarisce che la denuncia alle forze dell’ordine non è necessariamente una condizione per ottenere il rimborso. Denuncia e disconoscimento dell’addebito presso la banca vanno comunque fatti in parallelo.
Come si segnala un SMS truffa alla Polizia Postale?
Un SMS truffa si segnala online sul sito del Commissariato di PS Online, nella sezione Segnalazioni, alla voce «Segnala online». Secondo il CERT-AgID, la segnalazione online non sostituisce la denuncia formale, che va sporta in caso di soldi persi o credenziali fornite.
Fonte: Garante per la protezione dei dati personali · Garante per la protezione dei dati personali (pagina informativa docweb 9873859) · Polizia di Stato – Commissariato di PS Online (Domande e risposte phishing) · Polizia di Stato – Commissariato di PS Online (e-mail fraudolente) · Polizia di Stato – Commissariato di PS Online (campagna smishing IoSicuro) · Polizia di Stato – Commissariato di PS Online (smishing Coronavirus) · CERT-AgID (Agenzia per l’Italia Digitale) · Banca d’Italia – Economia per tutti · Cybersecurity360 · Macitynet · ADICU (associazione consumatori) · Allianz Italia · Forbes Advisor Italia · InSic · Cips Legal
Lascia un commento