Risposta breve
«Il tuo pacco è in giacenza, paga 1,99 € per riprogrammare la consegna» è una delle truffe più diffuse in Europa. Il link porta a una falsa pagina del corriere che raccoglie i dati della carta, e spesso una telefonata o un codice successivi svuotano il conto; su Android può chiederti di installare un’app. DHL, per esempio, dice che gli unici pagamenti che chiede via e-mail o SMS sono dazi e tasse doganali, confermati con un codice monouso inviato al destinatario, e che i suoi link portano solo ai propri siti. Non cliccare: controlla il numero di spedizione sul sito o sull’app del corriere. Segnala il messaggio — in Italia alla Polizia Postale — e se hai inserito la carta, chiama prima la banca.
Come funziona la truffa del pacco
- L’esca: un SMS o un’e-mail dice che un pacco non è stato consegnato, è bloccato in dogana o richiede l’aggiornamento dell’indirizzo. La piccola somma lo fa sembrare innocuo.
- La pagina falsa: una copia del sito del corriere chiede nome, indirizzo e carta, a volte le credenziali dell’home banking.
- Il secondo atto: qualche giorno dopo qualcuno chiama come «la tua banca» per un pagamento sospetto e chiede un codice o un bonifico su un «conto sicuro». Quella chiamata fa parte della stessa truffa.
- La variante app: su Android la pagina chiede di installare un’app di tracciamento. È un malware che può leggere i tuoi SMS, compresi i codici della banca.
Distinguere un messaggio di consegna falso da uno vero
I corrieri pubblicano le proprie regole. La pagina antifrode di DHL è un buon modello: le e-mail ufficiali arrivano solo da domini DHL come @dhl.com, mai da Gmail o altri servizi gratuiti; i link portano solo ai suoi siti; e gli unici pagamenti chiesti via e-mail o SMS sono dazi e tasse doganali, con un codice monouso inviato prima al contatto registrato del destinatario. Altri segnali d’allarme:
- Un link accorciato o un indirizzo che non è il dominio del corriere.
- Un mittente generico come «Consegna», o un numero estero inatteso.
- Urgenza: «solo oggi», «il pacco verrà rispedito».
- Un pacco che non aspettavi, o un corriere che non hai usato.
Il controllo sicuro non passa mai dal link: apri l’app del corriere o digita tu il suo sito e inserisci il numero di spedizione della conferma d’ordine.
Dove segnalarlo in Europa
| Paese | Segnala il messaggio | Se hai perso denaro |
|---|---|---|
| Italia | Portale online della Polizia Postale, commissariatodips.it | Denuncia alla Polizia Postale |
| Regno Unito | Inoltra gratis l’SMS al 7726; l’operatore può bloccare il mittente | Report Fraud: reportfraud.police.uk o 0300 123 2040; in Scozia Police Scotland al 101 |
| Francia | Inoltra l’SMS al 33700 o usa 33700.fr | Denuncia a polizia o gendarmeria |
| Germania | Inoltra le e-mail a phishing@verbraucherzentrale.nrw (Phishing-Radar) | La polizia, per esempio tramite il commissariato online (Onlinewache) |
| Spagna | Linea 017 di INCIBE, o WhatsApp 900 116 117, tutti i giorni 8:00–23:00 | Denuncia alla Policía Nacional o alla Guardia Civil |
| Austria | Modulo di segnalazione di Watchlist Internet | Denuncia alla polizia |
| Qualsiasi Paese | Il corriere citato nell’SMS: DHL riceve le segnalazioni a phishing@dhl.com | Prima la banca, poi la polizia |
Per altri Paesi vedi dove segnalare le frodi online, Paese per Paese.
Se hai cliccato o pagato
- Hai inserito la carta: chiama la banca al numero sulla carta, bloccala e contesta i pagamenti. Subito, non dopo il prossimo addebito.
- Hai inserito le credenziali dell’home banking: chiama la banca, poi cambia la password da un dispositivo di fiducia.
- Hai dato a qualcuno un codice ricevuto via SMS: avvisa subito la banca; quel codice può aver autorizzato un pagamento o un nuovo dispositivo.
- Hai installato un’app: modalità aereo, disinstallala, salva le foto e valuta un ripristino di fabbrica; cambia le password importanti da un altro dispositivo.
- Hai solo aperto la pagina: chiudila. Senza dati inseriti né installazioni il rischio è basso, ma aspettati altri SMS e chiamate.
Poi segnala il messaggio come sopra. Se i truffatori sono arrivati alla tua e-mail o ai tuoi social, vedi recupero account hackerati.
Ferma il prossimo
- Traccia i pacchi solo nell’app del corriere o nella pagina dell’ordine del negozio.
- Attiva il filtro antispam per gli SMS sul telefono.
- Non pagare mai una «tassa di riconsegna» tramite un link in un messaggio.
- Considera la chiamata della «tua banca» dopo un SMS del pacco come parte della truffa: riattacca e chiama il numero sulla carta.
- Avvisa la famiglia: anziani e adolescenti sono bersagli frequenti. Da leggere: segnalare il phishing, truffe con i QR code, mai condividere un codice di verifica.
Domande frequenti
Ho solo aperto il link. Sono in pericolo?
Di solito no, se non hai inserito dati né installato nulla. Chiudi la pagina e aspettati messaggi o chiamate successive, che fanno parte della stessa truffa.
Come hanno avuto il mio numero?
Questi SMS partono verso liste enormi, spesso da vecchi data breach o da numeri generati. Un SMS da solo non significa che il telefono sia hackerato.
La banca mi rimborserà?
Se un pagamento è stato fatto senza la tua autorizzazione, le regole UE obbligano la banca a rimborsare, salvo frode o colpa grave da parte tua. Se l’hai autorizzato tu con un codice è più difficile; vedi cosa fare dopo un bonifico a un truffatore.
DHL chiede mai pagamenti via SMS?
DHL dice che gli unici pagamenti chiesti via e-mail o SMS sono dazi e tasse doganali, con un codice monouso inviato al contatto registrato del destinatario. Controlla ogni richiesta nel tracciamento ufficiale.
Fonti: NCSC (Regno Unito) — segnalare un SMS truffa al 7726, 33700 — segnalare SMS e chiamate indesiderate (Francia), INCIBE — linea di assistenza 017 (Spagna), Verbraucherzentrale NRW — Phishing-Radar (Germania), DHL — consapevolezza sulle frodi