Truffa del pacco da consegnare: come riconoscere l’SMS e difenderti

La truffa del pacco da consegnare, detta anche truffa del pacco in giacenza, è una forma di smishing, cioè di phishing via SMS. Un finto corriere ti chiede pochi euro per sbloccare una consegna, ma il suo obiettivo sono i dati della tua carta. Vediamo come funziona, come riconoscerla e cosa fare se hai già cliccato.

Con la crescita degli acquisti online, ricevere notizie su una spedizione è diventato normale. I truffatori sfruttano proprio questa abitudine. Lo schema segue quasi sempre quattro passaggi.

1. L’SMS. Ricevi un messaggio che sembra inviato da un corriere o da un servizio postale. Il testo segnala un problema: pacco in giacenza, indirizzo incompleto, spese di spedizione non pagate.
2. Il link e la scadenza. Il messaggio contiene un collegamento e un termine ravvicinato, per esempio 24 o 48 ore. Scaduto il termine, dice il messaggio, il pacco tornerà al mittente.
3. Il sito clone. Il link apre una pagina che copia logo, colori e impaginazione del corriere. Qui ti viene chiesto di pagare una piccola somma per «sbloccare» la consegna.
4. Il furto dei dati. Per pagare inserisci numero della carta, scadenza e codice CVV. In alcune varianti la pagina chiede anche il codice di conferma ricevuto via SMS o in app. Con questi dati i truffatori possono fare acquisti o addebiti non autorizzati.

La cifra è bassa di proposito. Il vero obiettivo non sono i 2 euro, ma i dati della carta. Un importo piccolo abbassa la percezione del rischio: si pensa che, anche se fosse una truffa, si perderebbe poco. In realtà, una volta ceduti i dati, le operazioni fraudolente successive possono avere importi molto più alti.

La truffa è efficace perché combina elementi che, presi uno per uno, sembrano normali:

• È plausibile: spesso stai davvero aspettando un pacco.
• Crea urgenza: la scadenza ti spinge ad agire senza verificare.
• Il mittente sembra credibile: grazie allo spoofing, cioè la falsificazione del nome o del numero del mittente, l’SMS può comparire accanto ai messaggi autentici di un’azienda.
• Il sito è curato: grafica e testi imitano in modo fedele quelli originali.

Il fenomeno è ampio. Nel 2025 la Polizia Postale ha trattato 27.085 casi di cybercrime economico-finanziario e ha gestito oltre 94 mila segnalazioni su phishing, social network e attacchi informatici.

Per anni uno dei consigli più diffusi è stato controllare che il link iniziasse con «https». Anche un avviso della Polizia Postale del 2021 indicava tra i segnali di truffa il link senza certificato SSL. Oggi molti siti clone usano l’https. Il lucchetto indica solo che la connessione è cifrata, non che il sito appartenga davvero al corriere.

Se hai acquistato da un Paese extra UE, potrebbero essere dovuti dazi o oneri doganali. Anche in questo caso, non pagare dal link dell’SMS. Verifica l’importo accedendo tu stesso al sito o all’app ufficiale del corriere, con il codice di tracciamento ricevuto dal venditore.

1. Non cliccare sui link degli SMS di spedizione. Per controllare lo stato di un pacco digita tu l’indirizzo del corriere o apri la sua app ufficiale.
2. Parti dall’ordine, non dal messaggio. Controlla la spedizione nell’area clienti del negozio in cui hai acquistato.
3. Non inserire i dati della carta su pagine aperte da un link ricevuto via SMS.
4. Non comunicare a nessuno OTP, PIN o CVV. Questi codici servono solo a te, per autorizzare operazioni che hai avviato tu. Per capire meglio come funzionano, leggi la nostra guida al 3D Secure Code.
5. Attiva le notifiche sui movimenti. Con il servizio SMS Alert ti accorgi subito di eventuali addebiti che non riconosci.

Ricorda: Banco BPM non ti chiede mai via SMS, email o telefono di comunicare codici OTP, PIN o credenziali complete.

Il messaggio del pacco è solo una delle scuse usate negli SMS truffa: cambia il pretesto, non il meccanismo. A volte l’SMS è seguito da una telefonata di un finto operatore, come nell’attacco combinato SMS e telefonata.

Non rispondere e non cliccare. Puoi segnalarlo alla Polizia Postale tramite il portale del Commissariato di P.S. Online e poi cancellarlo. Ecco come segnalare un sito di phishing.

Chiudi la pagina e non compilare nessun campo. Non scaricare app o file eventualmente proposti dal sito.

Agisci subito, in quest’ordine:

1. Blocca la carta chiamando il numero dedicato o dall’app. Ecco quando e come bloccare la carta.
2. Contatta la tua banca per segnalare l’accaduto.
3. Controlla i movimenti e individua le operazioni che non riconosci.
4. Presenta denuncia alla Polizia Postale o a un altro ufficio di polizia.
5. Chiedi il disconoscimento delle operazioni non autorizzate.

Il D.Lgs. 27 gennaio 2010, n. 11, che regola i servizi di pagamento, prevede che tu comunichi alla banca senza indugio l’uso non autorizzato della carta. La richiesta di rettifica va comunque presentata entro 13 mesi dalla data di addebito. Il rimborso non è automatico: dipende dalle circostanze del caso e da come sono stati custoditi dati e codici.

L’articolo è di carattere divulgativo aggiornato alla data di pubblicazione. Per conoscere l’offerta della Banca consulta l’area Prodotti.

“Messaggio pubblicitario con finalità promozionale. Per le condizioni contrattuali si rinvia ai fogli informativi e/o alla documentazione contrattuale disponibili sul sito www.bancobpm.it e presso le filiali della Banca. Per l’emissione della carta di debito e della carta di credito la Banca si riserva la valutazione dei requisiti necessari alla concessione e dei massimali di spesa da assegnare alla stessa.”