Pacco in giacenza: la truffa SMS del finto corriere

Come funziona la truffa del pacco in giacenza

Ricevi un SMS o un'email firmato con il nome di un corriere — come GLS, BRT o DHL — che ti avvisa che un pacco è in giacenza (fermo, in attesa di essere ritirato o consegnato di nuovo) oppure bloccato in dogana. Ti chiede di pagare pochi euro o pochi centesimi — nell'unico caso con fonte ufficiale, un SMS a nome PosteInfo segnalato dall'ACN, la cifra chiesta era 26 centesimi — o di cliccare un link per «sbloccarlo» o fissare una nuova consegna.

Il link porta a un sito clone — stesso logo, stessa grafica del corriere vero — che chiede i dati della carta per quel piccolo pagamento. Il pacco, quasi sempre, non esiste nemmeno: serve solo a farti inserire i dati della carta su una pagina costruita per rubarli. Nel video qui sotto trovi un esempio vero di SMS di questo tipo, arrivato proprio a nome BRT.

Esempio reale di SMS truffa a nome BRT con lo schema del pacco in giacenza — sul canale Guida in Italiano

I segnali per riconoscere il messaggio falso

Non serve indovinare se il corriere citato sia quello vero: bastano pochi controlli, e di solito li trovi insieme nello stesso messaggio.

1. Il link non porta al sito ufficiale del corriere. Prima di aprirlo, guarda con attenzione l'indirizzo per intero, non solo l'inizio: un dominio anche solo leggermente diverso da quello vero (lettere scambiate, parole aggiunte, un indirizzo abbreviato) è già un segnale sufficiente. Attenzione in particolare al trucco del sottodominio: un indirizzo che comincia con «brt» o il nome di un altro corriere può comunque portare a un sito diverso, se subito dopo non arriva il dominio vero del corriere.
2. Ti chiede di pagare per un pacco che non stai aspettando. Se non hai fatto nessun ordine recente, la storia della giacenza o della dogana non regge da sola.
3. C'è una fretta finta. «Il pacco torna al mittente entro 24 ore», «paga subito per evitare il reso»: la stessa scadenza stretta vista in tutte le altre truffe via SMS.
4. Il messaggio ha errori di italiano o una formattazione strana: maiuscole fuori posto, accenti sbagliati, frasi che sembrano tradotte male. Non c'è sempre, ma quando c'è è un segnale in più.
5. Chiede i dati della carta per un importo piccolo. La cifra bassa — pochi euro o pochi centesimi, come i 26 centesimi del caso PosteInfo segnalato dall'ACN — serve a far sembrare innocuo l'inserimento della carta: è lì che i dati vengono rubati, non un vero pagamento.

Cosa fare se ti arriva un messaggio così

Il passaggio più importante è anche il più semplice: non verificare mai partendo dal link che hai ricevuto.

1. Non cliccare il link e non richiamare numeri scritti nel messaggio.
2. Se stai davvero aspettando un pacco, prendi il numero di tracking dall'email di conferma del negozio dove hai comprato — non dal messaggio sospetto — e inseriscilo tu stesso sul sito o sull'app ufficiale del corriere, digitando l'indirizzo a mano.
3. Se non stai aspettando nessun pacco, il messaggio è quasi certamente falso (può capitare un regalo o un invio da parte di terzi, ma è raro): cancellalo comunque, senza cliccare niente.
4. Se il corriere ha davvero un tuo pacco con un dazio da pagare — Poste Italiane e DHL, per esempio, mandano davvero una notifica con un link di pagamento via SMS, email o app per i dazi doganali, ed è legittimo — il pagamento si fa comunque sempre dai canali ufficiali del corriere stesso (sito o app, dopo aver inserito tu il numero di spedizione), mai cliccando il link ricevuto per SMS o email.

Se hai già cliccato o pagato

Conta la velocità: nelle prime ore si recupera di più, dopo diventa più difficile.

1. Se hai solo cliccato il link, senza inserire niente, chiudi la pagina e non procedere: di solito non hai ancora dato nessun dato ai truffatori.
2. Se hai inserito i dati della carta, bloccala subito dall'app della tua banca — si fa in pochi secondi, e si può sbloccare dopo — e chiama il numero sul retro per farti dare una carta nuova.
3. Se il pagamento è già stato addebitato, contesta l'operazione con la tua banca (si chiama chargeback): più lo fai presto, più aumentano le possibilità di recuperare i soldi.
4. Conserva le prove prima di cancellare il messaggio: screenshot dell'SMS o dell'email, del link, e della pagina dove hai inserito i dati.

Dove segnalare o denunciare

Oltre a bloccare la carta, una truffa di questo tipo si segnala anche al corriere citato e alla Polizia Postale.

1. Segnala il messaggio al corriere citato, tramite i canali ufficiali di assistenza che trovi sul suo sito — mai rispondendo al messaggio ricevuto. Per GLS c'è un indirizzo dedicato, cybersec@gls-italy.com; per gli altri corrieri cerca la pagina «sicurezza» o «segnala una frode» sul sito ufficiale.
2. Per una segnalazione alla Polizia Postale, c'è il modulo su commissariatodips.it: la stessa pagina dice però che non accetta querele o denunce e che non sostituisce il pronto intervento (112 o 113 per le urgenze).
3. Per denunciare davvero, il portale denunceonline.poliziadistato.it (SPID o CIE) invia una pre-denuncia, ma solo in alcune sedi sperimentali (questura di Rieti, questura di Frosinone e alcuni commissariati e reparti collegati, tutti in Lazio): va formalizzata di persona entro 48 ore. Fuori da queste sedi, la denuncia si fa di persona in un ufficio di polizia, portando le prove raccolte.
4. Se hai perso denaro, avvisa anche la tua banca il prima possibile: più tempo passa, meno probabile è recuperarlo.