Truffa SMS pacco: i segnali e cosa fare se hai cliccato

Una truffa SMS pacco si riconosce da quello che ti chiede: pagare una piccola somma, confermare l'indirizzo, inserire i dati della carta o scaricare un'app tramite un link. Non toccare quel link. Apri tu il sito o l'app ufficiale del corriere e inserisci il numero di spedizione che trovi nella conferma d'ordine. Se hai già inserito i dati della carta, chiama subito la banca per bloccarla e cambia le password.

Questi messaggi usano il nome di Poste Italiane, BRT, GLS o di un generico «corriere». Quasi tutti aspettiamo qualche pacco, quindi a prima vista sembrano plausibili. Lo scopo è ottenere il numero della carta, i tuoi dati o entrambi.

Noi di TrustCamera sviluppiamo un'app fotocamera che assegna un codice di verifica a ogni foto al momento dello scatto: per questo studiamo spesso come i truffatori si fingono qualcun altro. Qui trovi come sono fatti gli SMS veri, i segnali d'allarme, come controllare una spedizione senza link, cosa fare dopo un clic e dove segnalare.

Il corriere ti manda SMS? Come riconoscere quelli veri

Sì, Poste Italiane e i corrieri mandano davvero avvisi via SMS, per esempio quando un pacco è in consegna. Per questo il mittente da solo non basta. Un messaggio vero ti informa sullo stato della spedizione. Quello falso ti chiede soldi, dati della carta, codici o l'installazione di un'app per «sbloccare» la consegna.

Nella sua guida su come difendersi dalle truffe, Poste Italiane scrive che né Poste né le autorità ti chiederanno mai, via e-mail, SMS, chat o telefono, i dati della carta, i codici OTP o le credenziali di accesso. Avverte anche che alcuni SMS falsi possono comparire nelle conversazioni ufficiali di Poste grazie allo spoofing. Rispetto a quelli autentici, hanno spesso toni allarmistici, richieste anomale o link non riconducibili a Poste.

GLS è ancora più netta. Nella sua pagina sulla sicurezza scrive che «in nessun caso» effettua richieste di pagamento con carta di credito via SMS o e-mail. Ai destinatari di messaggi sospetti consiglia di non pagare in nessun caso gli importi richiesti.

Secondo noi conta meno chi scrive e molto di più cosa ti chiede. Un nome si può falsificare, anche dentro la chat dove ricevi gli avvisi veri. Se un SMS ti chiede di pagare o di inserire dati in una pagina aperta dal messaggio, passa sempre dal sito ufficiale.

SMS pacco in giacenza o sospeso: cosa dicono i messaggi falsi

Il testo cambia, lo schema no. Nell'ottobre 2023 la Polizia Postale ha segnalato una campagna di smishing contro chi compra online. Dopo gli SMS veri del corriere arrivava, nella stessa chat, un messaggio falso: il pacco sarebbe arrivato al centro di spedizione, e un link avrebbe mostrato le istruzioni per il ritiro. Poi i truffatori telefonavano alla vittima per convincerla a fare altri pagamenti, con un numero falsificato che sembrava quello di un corriere.

La Polizia Postale consiglia di inserire le credenziali solo su app e siti ufficiali e di non dare dati personali o bancari tramite link ricevuti via SMS o e-mail. Se ti chiama un presunto corriere, verifica le sue richieste contattando direttamente la società di spedizione. I suggerimenti di ricerca di Google mostrano le varianti che girano: «il tuo pacco è stato sospeso», «pacco in giacenza», «pacco non consegnato».

Una giacenza vera funziona in un altro modo. Se la consegna non va a buon fine, il portalettere lascia un avviso di giacenza con le indicazioni per il ritiro. Secondo le FAQ di Poste Italiane, un pacco Poste Delivery Standard resta in giacenza per 10 giorni lavorativi e poi torna al mittente senza oneri aggiuntivi. Puoi verificarlo inserendo tu il codice della spedizione su poste.it.

La cifra richiesta è spesso piccola, e proprio per questo pagare sembra innocuo. Secondo noi la tassa è solo l'esca. Al truffatore servono il numero della carta, il nome e l'indirizzo, che può riutilizzare molto dopo che ti sei dimenticato della finta spesa di spedizione.

La pagina dietro il link copia quella vera, a volte in modo convincente. La nostra guida su come capire se un sito è affidabile mostra i controlli che smascherano una pagina falsa, dall'indirizzo web ai metodi di pagamento. Il controllo più semplice resta un altro: non arrivarci mai da un SMS.

Come riconoscere una truffa SMS pacco: sei segnali d'allarme

Per giudicare un SMS sulla consegna non serve aprire il link. Questi segnali smascherano quasi tutti i falsi, e ne basta uno per fermarti:

• Non aspetti un pacco da quel corriere: non hai ordinato nulla, oppure il negozio ti ha indicato un altro corriere.
• C'è un link che ti chiede di agire: pagare, confermare o «sbloccare» la consegna.
• Ti chiede soldi: spese di giacenza, spedizione da integrare, dazi.
• Ti chiede dati: indirizzo, numero della carta, codice OTP, credenziali.
• Ti mette fretta: il pacco tornerebbe al mittente se non agisci subito.
• Ti fa installare un'app: un file da scaricare per «seguire la spedizione».

Attenzione anche a quello che succede dopo. Nella campagna descritta dalla Polizia Postale l'SMS era solo il primo passo, e la vera pressione arrivava con la telefonata. Un operatore che ti chiama per farti pagare una consegna, o per farti dettare un codice ricevuto via SMS, è un altro segnale chiaro. Riattacca e richiama tu il corriere ai recapiti del suo sito ufficiale.

Dazi e spese di importazione: quando il pagamento è vero

La truffa SMS del pacco «bloccato in dogana» funziona perché ha un fondo di verità. Per le merci che arrivano da Paesi extra UE si pagano oneri doganali, cioè dazio e in alcuni casi IVA. Nelle sue FAQ su dazi e sdoganamento Poste Italiane spiega come si pagano.

Possono essere già pagati al momento dell'acquisto (modalità PDDP, se il venditore la usa); altrimenti li paghi online prima della consegna, con il servizio Gestione delle spese di importazione nell'App Poste Italiane o su poste.it. In alternativa li paghi al postino alla consegna.

Dal 1° luglio 2026, scrive Poste, per alcune vendite a distanza di merci importate con un valore fino a 150 euro può applicarsi un dazio forfettario di 3 euro per articolo. Una richiesta di pochi euro per un ordine da un negozio extra UE può quindi essere vera. Anche in quel caso il link dell'SMS non ti serve: controlli e paghi dall'app o dal sito ufficiale, dopo aver inserito tu il numero di spedizione.

Se invece ti chiedono dazi per un pacco che, secondo il negozio, parte dall'Italia o da un altro Paese UE, per noi è un forte segnale di truffa. Lo stesso vale se l'importo va pagato con una ricarica, un bonifico istantaneo o in una pagina che non appartiene al corriere.

Come controllare una spedizione senza aprire il link

Qualunque cosa dica il messaggio, puoi controllare il pacco senza usarlo. Bastano un paio di minuti e il metodo funziona con ogni variante della truffa:

1. Non toccare il link: nemmeno per «dare solo un'occhiata». Non rispondere e non chiamare i numeri indicati.
2. Trova il tuo numero di spedizione: è nella conferma di spedizione del negozio o nel tuo account sul sito dove hai comprato.
3. Digita tu l'indirizzo: scrivi poste.it, brt.it o gls-italy.com nella barra del browser, oppure apri l'app ufficiale del corriere, e cerca la spedizione.
4. Confronta: se il tracciamento ufficiale non mostra importi da pagare, problemi di indirizzo o consegne fallite, considera l'SMS falso.
5. Se qualcuno ti chiama: riattacca e contatta tu il corriere ai recapiti del sito ufficiale.

Se il tracciamento non trova ancora il numero, può darsi che il negozio non abbia ancora consegnato il pacco al corriere. In quel caso chiedi al negozio, usando i contatti del suo sito e non quelli dell'SMS. Se invece il pacco vero arriva rovinato, la nostra guida pacco danneggiato, cosa fare spiega come documentare il danno e chiedere il rimborso. Anche Poste consiglia di scrivere sempre www.poste.it direttamente nella barra del browser, invece di seguire link ricevuti via e-mail, SMS o social.

SMS truffa: cosa fare se hai cliccato il link

Cosa fare dipende da quanto sei andato avanti. Secondo noi aprire e leggere l'SMS di solito non è un problema. Il rischio nasce da quello che inserisci nella pagina falsa o che installi sul telefono.

Se vedi addebiti che non hai autorizzato, la Banca d'Italia spiega che devi avvisare la banca appena te ne accorgi e contestare l'operazione il prima possibile, e comunque entro 13 mesi dall'addebito. La legge prevede che il rimborso arrivi subito, al più tardi entro la fine della giornata operativa successiva. La banca può però rifiutarlo se dimostra dolo o colpa grave del cliente, per esempio credenziali cedute con leggerezza.

Secondo la Banca d'Italia, la sola presenza dell'autenticazione forte non basta per negare il rimborso in automatico. La denuncia non è un obbligo per avviare la pratica, ma la banca può chiederla in un secondo momento. Se la risposta non ti convince, puoi presentare reclamo alla banca, inviare un esposto alla Banca d'Italia e fare ricorso all'Arbitro Bancario Finanziario (ABF). Se hai pagato su una pagina falsa, la guida su come segnalare un sito truffa spiega i passi successivi.

Android: se il link ti ha fatto installare un'app

Nel 2021 il CERT-AgID, il centro per la sicurezza informatica dell'Agenzia per l'Italia Digitale, ha descritto Flu Bot. Era un malware per Android diffuso con SMS a nome di corrieri come DHL e UPS: il link portava a una finta pagina del corriere che invitava a scaricare un'app. Secondo il CERT-AgID nessun corriere ti chiederà mai di scaricare un file e di installarlo. Chi aveva solo aperto il link, o scaricato il file senza installarlo, non era infetto.

Chi invece aveva installato l'app e le aveva concesso i permessi doveva rimuoverla, bloccare la carta se aveva inserito i dati e cambiare le password di home banking, e-mail, PEC, SPID e social. Il CERT-AgID consigliava anche di controllare i movimenti del conto, chiedere all'operatore l'elenco degli SMS inviati e avvisare i contatti. Come misura estrema citava il ripristino ai valori di fabbrica, che però cancella tutti i dati. Secondo noi questi passi valgono per qualsiasi app installata da un link in un SMS.

SMS truffa: come segnalare e quando fare denuncia

Segnala l'SMS anche se non hai cliccato. Il modo più utile è avvisare chi viene imitato. Poste Italiane raccoglie le segnalazioni all'indirizzo [email protected], con i dettagli della comunicazione sospetta, e GLS all'indirizzo [email protected], come indicano le pagine citate sopra. Fai uno screenshot che mostri mittente, data e testo, poi blocca il numero e segnalalo come spam nell'app dei messaggi, se lo prevede.

Per i siti truffa c'è il servizio Segnalazioni sul portale della Polizia Postale, commissariatodips.it. La pagina chiarisce però che non serve per denunce o querele. Se hai perso soldi o hai dato i tuoi dati, presenta denuncia in un ufficio della Polizia di Stato o in una stazione dei Carabinieri. Per le emergenze c'è il 112.

Porta con te gli screenshot dell'SMS, della pagina falsa e del pagamento, insieme all'estratto conto. Come conservare foto e screenshot in modo ordinato lo spiega la nostra guida su cosa conta quando usi una foto come prova. Annota anche data e ora del messaggio e della telefonata, se c'è stata.

Lo stesso trucco su Subito e negli acquisti online

I finti corrieri non sono gli unici a usare link per «sbloccare» una consegna o un pagamento. Su Subito, per esempio, chi vende riceve link falsi per «incassare» il prezzo o per gestire una spedizione che non esiste. La nostra guida alle truffe su Subito ai venditori mostra come funzionano questi link falsi, mentre quella sulle truffe su Subito spiega perché conviene restare nella chat ufficiale.

La regola vale ovunque. Pagamenti e incassi si controllano nell'app della banca o sulla piattaforma, mai da un link ricevuto in chat o via SMS. Se compri da un negozio che non conosci, controlla il sito prima dell'ordine, non dopo. Così sai già chi spedisce il pacco, con quale corriere e da quale Paese: un SMS che non torna con questi dati si riconosce al volo.

Domande frequenti sulle truffe SMS dei pacchi

Poste Italiane manda SMS sui pacchi?

Sì, Poste Italiane invia anche SMS autentici, quindi il mittente da solo non basta. Nella sua guida contro le truffe Poste avverte che SMS falsi possono comparire perfino nelle sue conversazioni ufficiali grazie allo spoofing. Ricorda inoltre che non ti chiederà mai dati della carta, codici OTP o credenziali via SMS. Controlla il pacco digitando tu poste.it o dall'App Poste Italiane.

Com'è fatto un SMS vero del corriere?

Un avviso vero ti informa sullo stato della spedizione e di solito riporta il numero di tracciamento. Non ti chiede di pagare con la carta tramite un link: GLS, per esempio, scrive che non lo fa in nessun caso. Se un SMS ti mette fretta, parla di pacco sospeso o in giacenza e vuole soldi o dati, trattalo come una truffa e verifica sul sito ufficiale.

Il corriere può chiedermi di pagare i dazi?

Sì, per le spedizioni da Paesi extra UE i dazi sono reali. Poste Italiane permette di pagarli online prima della consegna, dall'App Poste Italiane o su poste.it, oppure al postino. Per alcuni ordini fino a 150 euro, dal 1° luglio 2026 può applicarsi un dazio forfettario di 3 euro per articolo. Paga solo dopo aver inserito tu il numero di spedizione nei canali ufficiali.

Cosa succede se ho cliccato sul link di un SMS falso?

Secondo noi aprire il link di solito non basta a fare danni: contano quello che inserisci e quello che installi. Anche il CERT-AgID, nel caso Flu Bot, considerava non infetto chi aveva solo aperto la pagina. Se hai inserito i dati della carta, chiama subito la banca e falla bloccare. Cambia le password che hai digitato e, se hai installato un'app, rimuovila.

Come segnalo un SMS truffa sul pacco?

Manda uno screenshot con mittente, data e testo al corriere imitato, per esempio ad [email protected] per Poste Italiane o a [email protected] per GLS. Poi blocca il numero e segnalalo come spam nell'app dei messaggi. I siti truffa si possono segnalare alla Polizia Postale. Se hai perso soldi, presenta denuncia alla Polizia di Stato o ai Carabinieri.

Mi è arrivato un pacco che non ho ordinato: è una truffa?

Non per forza, ma conviene essere prudenti. Se qualcuno ti chiede di pagarlo, sappi che l'art. 66-quinquies del Codice del consumo esonera il consumatore dal pagamento in caso di fornitura non richiesta, e il silenzio non vale come consenso. Non inquadrare QR code trovati nel pacco e non dare dati a chi ti contatta per «regolarizzare» la consegna.

Il pacco si controlla sul sito del corriere, mai dal link dell'SMS

Una truffa SMS pacco funziona solo se agisci sul messaggio stesso: tocchi il link, paghi la piccola somma, inserisci la carta. Gli SMS veri esistono, ma Poste non ti chiede dati della carta via SMS, GLS non chiede pagamenti con carta via SMS e, secondo il CERT-AgID, nessun corriere ti fa installare un file. Qualunque cosa dica il messaggio, controlla tu il numero di spedizione su poste.it, sul sito del corriere o su quello del negozio, ed eviti ogni variante del trucco.

Se qualcosa è già andato storto, muoviti in fretta. Chiama la banca per bloccare la carta, cambia le password e rimuovi l'app se ne hai installata una. Poi segnala l'SMS al corriere imitato e presenta denuncia se hai perso soldi.