"Pacco trattenuto": il falso SMS di Correos e altre truffe sui pacchi

"Correos: il pacco non ha potuto essere consegnato per affrancatura insufficiente. Regolarizza il pagamento (1,68 €) qui." E un link. Questo SMS, inviato a nome di Correos, DHL, UPS, FedEx o Seur a seconda dell'ondata, è una delle campagne di smishing più persistenti in Spagna. Funziona perché quasi tutti comprano online e quasi tutti prima o poi hanno un pacco in viaggio: il messaggio cade in terreno fertile.

L'importo è volutamente irrisorio. L'obiettivo non è mai stato incassare quei due euro: è farti inserire i dati completi della tua carta su un sito falso che imita l'azienda di spedizioni, e a volte anche il codice di conferma che ricevi dopo, per effettuare addebiti maggiori.

Perché funziona anche se non aspetti nessun pacco

I truffatori non sanno se aspetti un ordine. Non ne hanno bisogno:

• Volume. Inviano lo stesso SMS a migliaia di numeri. Con l'e-commerce di oggi, un'alta percentuale di destinatari ha davvero qualcosa in viaggio o lo ha avuto di recente, e il messaggio combacia.
• Importo innocuo. Uno o due euro non fanno scattare nessun allarme. Nessuno "verifica" un pagamento da 1,68 € come ne verificherebbe uno da 300.
• Fretta e zero attriti. "Paga subito e lo ricevi domani" spinge a risolvere tutto lì per lì, dal telefono, senza fermarsi a guardare il mittente o il dominio.
• Travestimento a rotazione. Quando un marchio si brucia (la gente inizia ad avvisare che "quell'SMS di Correos è falso"), la campagna passa a un altro corriere. Lo scheletro è sempre lo stesso del falso SMS di multa della DGT: ente noto + pratica in sospeso + urgenza + link di pagamento.

Come riconoscere l'SMS falso

Nessuno di questi segnali da solo è definitivo, ma insieme sono una diagnosi piuttosto affidabile:

• Chiede di pagare spese tramite link. Le aziende di spedizioni non gestiscono pagamenti doganali o di affrancatura tramite un link in un SMS inatteso. Le vere spese doganali vengono comunicate attraverso canali tracciabili e con la documentazione della spedizione.
• Il link non è il dominio ufficiale. Domini con trattini di troppo ("correos-envios", "dhl-paquete", "seur-seguimiento") o estensioni strane. Sullo schermo del telefono, di fretta, passano; guardali con calma e saltano all'occhio.
• Non cita nessun numero di tracciamento reale. L'SMS falso parla del "tuo pacco" in modo generico perché non sa quale sia. Un avviso legittimo include il codice di tracciamento, e quel codice coincide con quello fornito dal negozio.
• Mittente variabile. A volte un semplice cellulare, a volte un nome che imita l'azienda. Il mittente di un SMS può essere falsificato: non dimostra nulla.
• Errori di stile. Traduzioni goffe, maiuscole strane, urgenza esagerata ("ultimo avviso prima della restituzione del pacco"). Le aziende vere scrivono meglio di così.

Come verificare una spedizione reale

Il metodo è sempre lo stesso, e vale per qualsiasi azienda:

1. Non cliccare sul link dell'SMS. Chiudilo.
2. Apri tu il canale ufficiale: l'app del negozio dove hai comprato, l'e-mail di conferma dell'ordine, o il sito ufficiale del corriere digitando tu l'indirizzo.
3. Inserisci lì il tuo numero di tracciamento. Se c'è un problema reale (dogana, indirizzo incompleto, tentativo di consegna), apparirà nel tracciamento ufficiale. Se non appare nulla, l'SMS era falso.

Questa sequenza (chiudere il messaggio, entrare tu nel canale ufficiale) è la stessa che raccomandiamo per verificare una chiamata o un SMS della tua banca e per verificare una notifica del fisco o della previdenza sociale. È l'abitudine che stronca più truffe alla radice.

Cosa fare se hai già inserito la carta

• Chiama subito la tua banca, racconta l'accaduto e chiedi di bloccare la carta ed emetterne una nuova. È la misura che risolve il problema di colpo.
• Se hai inserito anche un codice di conferma ricevuto via SMS, dillo alla banca: potrebbe esserci un'operazione già autorizzata.
• Tieni d'occhio gli addebiti delle settimane successive e attiva le notifiche dei movimenti nell'app della banca. Gli addebiti fraudolenti non sempre arrivano subito.
• Sporgi denuncia con screenshot dell'SMS e del link. Il numero 017 dell'INCIBE è gratuito se hai bisogno di orientamento.
• Segnala il numero mittente nell'elenco dei numeri spam.

Domande rapide

E se aspetto davvero un pacco e l'SMS coincide? La coincidenza non verifica nulla: con così tanti ordini in circolazione, indovinare per caso è facile. Verifica sempre tramite il canale ufficiale con il tuo codice di tracciamento. Ci vuole un minuto ed elimina ogni dubbio.

Le aziende di spedizioni mandano SMS veri? Sì, alcune inviano avvisi di consegna o di mancata consegna. La differenza è che l'avviso vero non ti chiede di pagare tramite link: ti rimanda alla sua app o al suo sito ufficiale, cita il tuo codice di tracciamento e non ti mette fretta con minacce di restituzione immediata.

Succede lo stesso su WhatsApp o via e-mail? Sì, la stessa esca circola su WhatsApp, via e-mail e persino tramite codici QR su adesivi falsi. Il canale cambia; la difesa no: non pagare mai dal link che ricevi, verifica sempre tu tramite il canale ufficiale.

Se hai ricevuto uno di questi messaggi, segnalalo nell'elenco dei numeri di NoCall: queste campagne riutilizzano le stesse numerazioni per giorni, e la tua segnalazione è l'avviso che la prossima persona vedrà prima di inserire la sua carta.