Smishing 2026: come funziona la truffa SMS bancaria e come difendersi
Lo smishing — la truffa via SMS che imita le comunicazioni delle banche — ha colpito oltre 2,9 milioni di italiani nel 2026, con danni economici complessivi superiori agli 880 milioni di euro, secondo le stime elaborate sulla base dei report della Polizia Postale. Gli SMS fraudolenti rappresentano il 28,4% di tutte le truffe digitali segnalate nel Paese.
Il meccanismo è semplice ma efficace: la vittima riceve un messaggio che simula in tutto e per tutto una comunicazione ufficiale della propria banca, con avvisi di operazioni sospette o blocchi del conto. Il link contenuto nell’SMS rimanda a un sito clone dell’istituto bancario, dove vengono raccolte credenziali e codici OTP. Nel gennaio 2026, la Polizia Postale ha smantellato una centrale italiana specializzata in smishing bancario che operava su scala nazionale.
La tecnica è diventata ancora più insidiosa grazie all’intelligenza artificiale: secondo il CERT-AGID, nel periodo febbraio-marzo 2026 sono state rilevate 433 campagne malevole attive in Italia, molte delle quali utilizzano IA per rendere i messaggi indistinguibili da quelli autentici degli istituti di credito.
Come funziona lo smishing: la dinamica della truffa
Lo smishing sfrutta una vulnerabilità tecnica dei sistemi di messaggistica: i truffatori sono in grado di inserire i propri SMS nella stessa conversazione dei messaggi autentici della banca, mediante una tecnica chiamata SMS spoofing. Questo significa che il messaggio fraudolento appare direttamente nel thread delle comunicazioni ufficiali dell’istituto, senza alcun segnale visivo di allarme per l’utente.
Il messaggio contiene quasi sempre elementi di urgenza: “Il tuo conto è stato bloccato”, “Operazione sospetta rilevata”, “Verifica entro 24 ore”. La pressione psicologica serve a impedire alla vittima di fermarsi a ragionare. Nessuna banca italiana — né Intesa Sanpaolo, né UniCredit, né alcun altro istituto — chiede mai credenziali, codici OTP o numeri di carta via SMS o link esterno.
«Le banche non chiedono mai ai clienti di inserire le proprie credenziali tramite un link ricevuto via SMS. In caso di dubbio, contattare direttamente il numero ufficiale dell’istituto di credito prima di cliccare qualsiasi link.»
— Commissariato di P.S. Online, Polizia Postale e delle Comunicazioni
Come riconoscere un SMS truffa: i segnali da non ignorare
Esistono indicatori ricorrenti che permettono di identificare un tentativo di smishing prima di cadere nella trappola. Il primo è l’urgenza artificiale: il messaggio insiste sul fatto che bisogna agire immediatamente, creando pressione psicologica. Il secondo è la richiesta di dati sensibili attraverso un canale non ufficiale. Il terzo è la presenza di un link abbreviato o con dominio non corrispondente a quello ufficiale della banca.
Segnali di allarme
- Urgenza: “agisci entro 24 ore”
- Link abbreviato o dominio sospetto
- Richiesta di OTP o password via SMS
- Errori grammaticali o stile insolito
Cosa non fare mai
- Cliccare sul link nell’SMS
- Inserire credenziali in pagine raggiunte via SMS
- Comunicare codici OTP al telefono
- Richiamare numeri presenti nel messaggio
Cosa fare se si è vittime di smishing
Chi si accorge di aver inserito le proprie credenziali su un sito fraudolento deve contattare immediatamente la propria banca attraverso i canali ufficiali — il numero sul retro della carta o sul sito ufficiale — per bloccare il conto e richiedere la revoca delle operazioni non autorizzate. I tempi di intervento sono determinanti per limitare i danni.
La denuncia alla Polizia Postale può essere presentata online tramite il Commissariato di P.S. Online oppure presso qualsiasi ufficio della Polizia di Stato o stazione dei Carabinieri. La denuncia è necessaria sia per avviare eventuali indagini sia per supportare la richiesta di rimborso alla banca, che in alcuni casi è obbligata a restituire le somme sottratte ai sensi della normativa europea sui servizi di pagamento (PSD2).
Potrebbe interessarti anche il nostro approfondimento su le nuove truffe deepfake su WhatsApp.
Domande frequenti
Cos’è esattamente lo smishing?
Lo smishing è una variante del phishing che avviene via SMS. I truffatori inviano messaggi che simulano comunicazioni ufficiali di banche o enti pubblici, inducendo la vittima a cliccare su un link e inserire le proprie credenziali su un sito clone. Il termine deriva dall’unione di “SMS” e “phishing”.
La banca è obbligata a rimborsare le somme sottratte con lo smishing?
In molti casi sì, ai sensi della Direttiva europea PSD2 sui servizi di pagamento. Se la vittima non ha autorizzato consapevolmente le operazioni e ha agito con la normale diligenza, la banca può essere tenuta al rimborso. È fondamentale presentare denuncia e comunicarlo all’istituto tempestivamente. Ogni caso viene valutato singolarmente.
Come mai l’SMS truffa appare nella stessa conversazione della mia banca?
I truffatori utilizzano la tecnica dell’SMS spoofing, che consente di falsificare il mittente e far apparire il messaggio fraudolento nel thread delle comunicazioni autentiche della banca. Questa vulnerabilità tecnica è indipendente dalla sicurezza del dispositivo della vittima.
Dove si denuncia uno smishing in Italia?
La denuncia può essere presentata online al Commissariato di P.S. Online, oppure di persona presso la stazione dei Carabinieri o la Questura più vicina. È possibile anche segnalare il numero mittente al proprio gestore telefonico per contribuire al blocco della campagna truffaldina.
Questo articolo è stato scritto dalla redazione di Info Pratica e verificato su fonti ufficiali e attendibili (istituzioni, enti pubblici, studi ed esperti citati nel testo). Scopri come lavoriamo nella pagina Redazione.
