Truffa del pacco trattenuto: come riconoscere l'SMS

La truffa del pacco trattenuto è un SMS che dice «il tuo pacco è stato trattenuto» in un centro di spedizione e chiede di seguire un collegamento per sbloccarlo, pagando una piccola cifra con la carta. Si riconosce da una cosa: un corriere non chiede soldi con un collegamento dentro un SMS. Se un pacco è fermo davvero, lo dice il tracciamento che apri tu.

Il testo esatto del messaggio, con i segni per riconoscerlo e cosa fare caso per caso, è nella nostra scheda sul pacco trattenuto al centro di spedizione. Qui rispondiamo alle domande che vengono subito dopo: perché proprio quella parola, quando un pacco viene trattenuto per davvero, e perché a volte il messaggio falso compare in mezzo a quelli veri.

«Il tuo pacco è stato trattenuto»: perché proprio questa parola?

Perché è credibile. Un pacco può essere fermato davvero, e una delle ragioni è la dogana.

Chi compra da un negozio fuori dall'Unione Europea paga le tasse di importazione. Poste Italiane lo spiega nelle sue domande frequenti sulla dogana: dal 1° luglio 2021 tutti gli invii commerciali che arrivano da paesi fuori dall'Unione pagano l'IVA, qualunque sia il loro valore, e dal 1° luglio 2026, con la riforma del Codice doganale europeo, anche il dazio. Prima, per le spedizioni di poco valore, il dazio non si pagava.

Quindi oggi capita più spesso di ricevere una richiesta vera di pagare qualcosa per un pacco, magari per la prima volta. I truffatori lo sanno, e scelgono le parole che somigliano a quelle vere: trattenuto, bloccato, in giacenza. La parola giusta è il loro travestimento.

Quando un pacco è trattenuto davvero, come si paga?

Restando sull'esempio di Poste Italiane, le domande frequenti sulla dogana descrivono tre modi di pagare, e nessuno dei tre passa da un collegamento ricevuto per SMS.

1. Pagato già al momento dell'acquisto. Alcuni negozi fanno pagare tasse e dazio insieme alla merce: alla consegna non si paga niente.
2. Pagato online prima della consegna. Con il servizio che Poste chiama Gestione delle spese di importazione, gli importi si pagano dall'App Poste Italiane o dal sito poste.it quando il pacco arriva nei suoi centri internazionali.
3. Pagato alla consegna, direttamente a chi porta il pacco.

Il punto è che, in tutti e tre i casi, ci arrivi tu: apri l'app che hai già sul telefono, oppure scrivi l'indirizzo del sito nella barra in alto, oppure paghi alla porta. Lo stesso vale per gli altri corrieri, che hanno il loro sito e la loro app.

Se aspetti un pacco da fuori Europa e ti arriva un avviso, la verifica è sempre la stessa. Cerca nell'email del negozio il codice della spedizione, apri tu il sito o l'app del corriere e inseriscilo nella ricerca: se ci sono spese da pagare, le trovi lì. Se invece non hai comprato niente fuori dall'Unione Europea, nessuna dogana ti sta aspettando.

Se l'SMS arriva nella chat del corriere vero, è vero?

No, e questo è il punto che inganna di più. Il messaggio falso può comparire nella stessa conversazione in cui ci sono gli SMS veri del corriere o di Poste, sotto lo stesso nome.

Lo hanno scritto tutte e due. La Polizia Postale, in un avviso del 24 ottobre 2023, racconta di una campagna in cui il messaggio truffa arrivava dopo gli SMS mandati davvero dal corriere, e si vedeva nella stessa chat, «rendendo credibile il mittente». Poste Italiane, nella sua pagina su come difendersi dalle truffe, avverte che alcuni SMS falsi possono apparire nelle conversazioni ufficiali di Poste con una tecnica chiamata spoofing.

Spoofing vuol dire falsificare il mittente: chi manda il messaggio fa comparire il nome o il numero di qualcun altro. Per questo il mittente, da solo, non prova niente. Quello che conta è cosa chiede il messaggio: se chiede di pagare o di scrivere i dati della carta passando da un collegamento, non va seguito, chiunque sembri averlo mandato.

Poste aggiunge che i messaggi falsi, rispetto a quelli autentici, hanno spesso toni allarmistici, richieste strane e collegamenti che non portano ai suoi siti. Sono gli stessi segni che si vedono nel messaggio del pacco trattenuto.

Dopo l'SMS può arrivare una telefonata

C'è un passaggio che pochi si aspettano. Nella campagna descritta dalla Polizia Postale, dopo il messaggio arrivava anche una chiamata: dall'altra parte qualcuno si presentava come addetto alla consegna e cercava di convincere la persona a fare altri pagamenti.

Anche il numero che compare sullo schermo può essere falsificato, con la stessa tecnica dello spoofing. Quindi una telefonata che sembra arrivare dal corriere non conferma il messaggio: è spesso la seconda metà della stessa truffa.

Il consiglio della Polizia Postale è semplice: se ricevi la chiamata di un presunto corriere, verifica le sue richieste contattando tu la società di spedizione, con il numero o il sito che trovi da solo. Si può chiudere la telefonata con una frase cortese, «richiamo io», e nessun corriere serio se la prende.

Truffa del pacco postale: cosa dice Poste Italiane

Molti cercano «truffa pacco postale» perché il messaggio usa il nome di Poste, che consegna davvero tantissimi pacchi. Sulla sua pagina dedicata alla sicurezza, Poste Italiane dà tre indicazioni che valgono anche qui.

Scrivere sempre l'indirizzo a mano. Per entrare nei servizi di Poste, il consiglio è digitare www.poste.it nella barra del browser, evitando i collegamenti ricevuti per email, SMS o sui social. Oppure usare l'App Poste Italiane già installata.

Non seguire il messaggio. Davanti a un SMS sospetto: non cliccare il collegamento, non chiamare i numeri indicati, non fare quello che chiede.

Segnalare i dubbi. Poste mette a disposizione l'indirizzo email antiphishing@posteitaliane.it, a cui si possono mandare i dettagli della comunicazione sospetta.

Esiste anche una versione del messaggio che parla di un indirizzo sbagliato invece che di un pacco trattenuto: l'abbiamo raccolta nella scheda sul finto SMS di Poste per l'indirizzo non valido.

Cosa fare se hai già cliccato o pagato

Aprire la pagina, da sola, di solito non fa danni: si chiude senza scrivere niente. Se invece hai inserito i dati della carta, il tempo conta. Si chiama la banca al numero stampato sul retro della carta, si chiede di bloccarla e di controllare i movimenti, e se un addebito è già partito si chiede di disconoscerlo. Poi si fa la segnalazione alla Polizia Postale sul sito commissariatodips.it.

I passi delle prime ore, in ordine e con calma, sono in sono caduto in una truffa: cosa fare. E vale la pena ripeterlo: non è una questione di ingenuità. Questi messaggi arrivano a moltissimi numeri insieme e sono scritti da chi lo fa di mestiere, con le parole giuste e, a volte, nella chat giusta.

Per allenare l'occhio senza rischi c'è il simulatore, dove questo genere di messaggio si esamina dentro un finto telefono, senza registrarsi. Nel corso sulle truffe digitali una lezione intera è dedicata ai finti avvisi di consegna.