Pacco in giacenza: l'SMS che chiede di pagare è una truffa

L'SMS del pacco in giacenza è una truffa, e funziona sempre allo stesso modo: arriva un messaggio che dice che una spedizione a tuo nome è ferma in deposito, e che per liberarla serve un piccolo pagamento. C'è un link. Se lo clicchi, finisci su una pagina che ti chiede i dati della carta.

Non c'è nessun pacco, e non c'è nessun deposito. La cifra minuscola serve solo a farti tirare fuori il numero della carta: è quello che vogliono, non i due euro.

Se hai copiato il messaggio su Google per capire se è vero

Hai fatto la cosa giusta, ed è proprio così che molte persone arrivano qui. Il testo che gira più spesso, con piccole varianti, è questo:

Poste Italiane: il suo pacco è in giacenza. Se non paga le spese di un euro e novantanove entro 24 ore, la spedizione verrà annullata e il pacco restituito al mittente.

La risposta è sì, è la truffa del pacco in giacenza. Lo riconosci da tre cose che non cambiano mai: c'è un collegamento da cliccare, c'è una cifra piccola da pagare con la carta, c'è un tempo che sta per scadere. Basta una delle tre per cancellare il messaggio senza rispondere.

Abbiamo anche le schede dei singoli messaggi, con il testo esatto e le fonti dove sono stati segnalati: quella del finto avviso di Poste per l'indirizzo non valido e quella del pacco trattenuto al centro di spedizione. Tutte le altre sono nell'elenco dei messaggi che sono truffe.

Com'è fatto il messaggio

Cambia il nome del corriere, ma il testo è quasi sempre uno di questi:

Poste Italiane: il suo pacco è in attesa di ritiro presso il deposito. Per procedere alla consegna aggiorni i dati qui: poste-ritiro.com/paga

DHL: la sua spedizione è bloccata per un indirizzo incompleto. Regolarizzi entro 24 ore: dhl-pagamento.net

BRT: pacco in giacenza. Spese di deposito non saldate. Provvedere al pagamento: brt-giacenza.info

Arrivano via SMS, ma anche su WhatsApp e via email. Il nome che compare come mittente non vuol dire niente: si può scrivere quello che si vuole nel campo del mittente, e i truffatori ci mettono «Poste», «BRT», «Amazon Logistica».

I quattro segni che lo smascherano

Sono sempre gli stessi quattro, e bastano da soli.

L'indirizzo del link non è del corriere. È il segno più solido. Poste Italiane usa poste.it, BRT usa brt.it, DHL usa dhl.com. Un messaggio vero rimanda al sito vero. Un indirizzo tipo poste-ritiro.com, poste-italiane-consegna.net o bit.ly/qualcosa non è del corriere, e la somiglianza del nome è esattamente il trucco.

Chiede soldi via link. I corrieri non si fanno pagare così. Le spese di consegna si pagano al negozio quando si ordina, oppure al portalettere sulla porta. Nessuno manda un SMS con un link per farsi dare il numero della carta.

Mette fretta. «Entro 24 ore», «ultima possibilità», «il pacco sarà restituito al mittente». La fretta è l'arma principale di ogni truffa: serve a impedirti di verificare. Un corriere vero non ha nessun motivo di darti un ultimatum.

Non torna con quello che hai ordinato. Se non hai comprato niente, non c'è niente da consegnare, e finisce lì. E se aspetti davvero un pacco, guarda meglio: il messaggio non dice mai cosa contiene, né da quale negozio arriva. È scritto apposta per andare bene con qualsiasi ordine, perché è stato mandato a decine di migliaia di persone insieme.

Perché la cifra è sempre piccola

Un paio di euro, a volte meno. È studiato.

Una cifra grande ti farebbe fermare a ragionare. Una piccola sembra una seccatura burocratica da togliersi di torno, e la si paga senza pensarci. Ma il pagamento non è il vero obiettivo: appena inserisci il numero della carta, la scadenza e il codice sul retro, quei dati vanno ai truffatori. Il prelievo vero arriva dopo, e non è di un paio di euro.

Alcune di queste pagine chiedono anche di confermare un codice ricevuto per SMS. Quel codice è la conferma di un pagamento che stanno facendo loro in quel momento: darlo significa autorizzarlo.

Cosa fare quando arriva il messaggio

Il metodo è uno solo, e vale per tutti i messaggi di questo tipo: non si verifica mai dal messaggio, si verifica sempre per conto proprio.

1. Non cliccare il link. Nemmeno per curiosità, nemmeno per «vedere di che pacco si tratta».
2. Non chiamare i numeri scritti nel messaggio: portano ai truffatori, non al corriere.
3. Chiediti se hai ordinato qualcosa. Se la risposta è no, hai già finito: cancella il messaggio.
4. Se aspetti davvero un pacco, apri il sito o l'applicazione del negozio dove hai comprato, quello dove hai fatto l'ordine, e guarda lì lo stato della spedizione. È l'unico posto che dice la verità.
5. In alternativa, cerca nella email di conferma dell'ordine il codice di spedizione, e scrivi tu l'indirizzo del corriere nel telefono. Scrivilo, non cliccare il link.
6. Cancella il messaggio. Se vuoi, prima bloccalo e segnalalo (qui sotto c'è come).

Se ti accorgi che il messaggio ti ha messo agitazione, è normale: sono scritti per fare esattamente quello. Aspetta cinque minuti prima di cliccare qualunque cosa. Dopo cinque minuti la fretta è passata e il messaggio si legge per quello che è. È una regola che funziona su ogni truffa, non solo su questa, e nei percorsi è la prima cosa che si impara.

Aspetto davvero un pacco: e se fosse vero?

Capita, e capita spesso: proprio perché tanta gente aspetta consegne, questi messaggi arrivano a bersaglio più di quanto sembri. Ma la regola non cambia. Un avviso vero di giacenza si trova sempre anche dal negozio dove hai comprato o sul sito del corriere raggiunto da te, senza passare dal link.

Se dal negozio risulta tutto in ordine, il messaggio era falso. Se invece c'è davvero un problema di consegna, lo risolvi da lì, in sicurezza, senza aver dato niente a nessuno.

Ho cliccato il link: cosa faccio

Aver solo aperto la pagina non è grave: da sola non fa niente. Chiudila, non compilare nulla, e cancella il messaggio.

Se invece hai inserito i dati della carta, muoviti subito, e in quest'ordine:

1. Blocca la carta. Si fa dall'applicazione della banca, di solito con una voce «Blocca carta», oppure chiamando il numero scritto sul retro della carta stessa, mai un numero preso dal messaggio.
2. Avvisa la banca di quello che è successo e chiedi di controllare i movimenti.
3. Se un addebito è già partito, chiedi il disconoscimento dell'operazione: c'è una procedura apposta, e prima si segnala, meglio va.
4. Denuncia ai Carabinieri, alla Polizia o sul Commissariato di Pubblica Sicurezza Online. Serve anche alla banca per l'istruttoria.

E se è successo, una cosa va detta chiaramente: non è colpa di chi ci è cascato. Questi messaggi sono costruiti da professionisti per assomigliare a comunicazioni vere. Nel 2025 la Polizia Postale ha trattato oltre 27.000 casi di reati informatici a sfondo economico, per un totale di oltre 269 milioni di euro sottratti alle vittime in Italia. Non è una questione di ingenuità: è che vengono spediti a milioni, e ogni tanto arrivano nel momento sbagliato.

Segnalarlo, in due minuti

Segnalare serve: è così che i numeri finiscono nelle liste di blocco degli operatori.

• Su Android: tieni premuto sul messaggio, poi clicca Blocca e, quando compare, Segnala spam.
• Su iPhone: apri il messaggio e clicca Segnala come indesiderato in fondo, poi Elimina e segnala.
• Puoi anche fare una segnalazione al Commissariato di Pubblica Sicurezza Online, il servizio della Polizia Postale, all'indirizzo commissariatodips.it.

In pratica

Se dovessi tenere a mente una frase sola: nessun corriere chiede soldi con un link via SMS.

Tutto il resto discende da lì. Il pacco vero lo trovi dal negozio dove hai comprato, l'avviso vero lo trovi sul sito del corriere che raggiungi tu, e il messaggio con il link si cancella senza rispondere.

Questo schema, con nomi diversi, è lo stesso della finta banca, del finto rimborso e del finto ufficio postale: se impari a riconoscerlo qui, lo riconosci ovunque. È quello che facciamo, un caso alla volta, nel corso sulle truffe digitali.