Smishing: cos’è, come funziona e come difendersi | Guida 2026

Lo smishing è oggi una delle minacce informatiche più diffuse e sottovalutate in Italia. Il termine nasce dall’unione di “SMS” e “phishing” e indica una truffa che, invece di arrivare via email, ti raggiunge direttamente sul telefono con un messaggio di testo: un SMS che sembra della tua banca, di un corriere o di un circuito di pagamento, e che ti spinge a cliccare un link o a chiamare un numero con urgenza.

In questa guida completa vediamo che cos’è lo smishing, come funziona, quali sono le varianti più diffuse in Italia, perché è così efficace, qual è lo scenario nel 2026 e — soprattutto — come possono difendersi le persone e le aziende.

Indice dei contenuti

1. Che cos’è lo smishing
2. Come funziona un attacco smishing
3. Perché lo smishing è così efficace
4. I tipi di smishing più diffusi in Italia
5. Smishing, phishing e vishing: le differenze
6. Lo scenario in Italia nel 2026
7. Il caso Nexi: quando i truffatori sfruttano un marchio noto
8. Come difendersi dallo smishing
9. Smishing e aziende: un rischio da non sottovalutare
10. Cosa fare se hai già cliccato
11. Domande frequenti

Che cos’è lo smishing

Lo smishing è una forma di phishing che utilizza gli SMS al posto delle email. L’obiettivo è sempre lo stesso: indurre la vittima a consegnare spontaneamente informazioni preziose — credenziali di accesso, dati della carta di credito, codici OTP — oppure a installare software malevolo sul proprio dispositivo.

Il meccanismo fa leva sulla fiducia e sull’urgenza. Il messaggio si presenta come una comunicazione ufficiale di un soggetto credibile — una banca, un circuito di pagamento, un corriere, un ente pubblico — e contiene quasi sempre un invito ad agire subito: confermare i dati, sbloccare un conto, pagare una piccola somma per la consegna di un pacco. Chi abbocca viene indirizzato verso un sito clone, costruito per somigliare in tutto e per tutto a quello autentico, dove inserisce di sua mano i dati che finiscono nelle mani dei criminali.

Come funziona un attacco smishing

Un attacco smishing tipico si svolge in pochi passaggi. Tutto comincia con un SMS che arriva sullo smartphone, spesso da una numerazione mobile comune e talvolta camuffato con tecniche di spoofing, che permettono di far apparire come mittente il nome di un marchio reale — in alcuni casi il messaggio si inserisce persino nella stessa conversazione degli SMS autentici della banca.

Il testo segnala un problema — un pagamento sospetto, un conto bloccato, un pacco in giacenza — e invita a cliccare un link o a chiamare un numero. Chi clicca atterra su un sito clone che imita la grafica dell’originale, dove gli vengono chiesti email, password e dati della carta. In molti casi l’attacco non si ferma qui: la vittima riceve anche una telefonata in cui un finto operatore chiede il codice OTP per “confermare” o “bloccare” l’operazione. È la fase del vishing, e una volta ottenuto quel codice i criminali possono autorizzare pagamenti e bonifici. Lo schema più recente prevede addirittura il “salto di piattaforma”: l’attacco parte da un SMS, prosegue su WhatsApp con un bot che simula un operatore e si conclude su un sito clone.

Perché lo smishing è così efficace

Lo smishing funziona per ragioni psicologiche più che tecniche. Gli SMS hanno un tasso di apertura altissimo, vicino al 98%, molto superiore a quello delle email, e le persone tendono a fidarsi di più di un messaggio sul telefono che di una mail. A questo si aggiunge che siamo ormai abituati a ricevere SMS transazionali — codici OTP, notifiche di pagamento — decine di volte al giorno: il criminale non deve convincerci a fare qualcosa di strano, deve solo inserirsi in un flusso di azioni che compiamo abitualmente.

C’è poi un dettaglio rivelatore: gli esperti hanno osservato un aumento dei messaggi inviati durante i fine settimana e nei giorni festivi, perché i truffatori hanno capito che la guardia dell’utente si abbassa quando la mente è lontana dall’ufficio e il supporto clienti delle banche è meno reattivo.

I tipi di smishing più diffusi in Italia

Lo smishing assume forme diverse a seconda del marchio o del pretesto sfruttato. Ecco le varianti che colpiscono più spesso gli utenti italiani.

Smishing dei corrieri (pacco in giacenza). È forse la più diffusa: un SMS avvisa di un pacco trattenuto presso il centro di spedizione, spacciandosi per GLS, BRT, Poste, Amazon o DHL, e chiede una piccola somma per la “riconsegna”. Una variante è quella del messaggio “il tuo pacco sta arrivando, seguilo qui“.

Smishing bancario. Il messaggio finge un alert della banca: accesso anomalo, conto bloccato, operazione sospetta. Tra i casi più noti, la truffa del Gruppo ISP (Intesa Sanpaolo) e quella ai danni del marchio Banca MPS.

Smishing su carte e pagamenti. Sfrutta i circuiti di pagamento, come nella truffa della ricarica PostePay, dove la vittima viene indotta a cedere credenziali e OTP della propria carta.

Smishing a tema consegne e spedizioni. Le campagne spam a tema consegne esplodono nei periodi di shopping intenso, sfruttando l’attesa di un pacco per abbassare la diffidenza.

A questi si aggiungono le varianti che imitano enti pubblici (INPS, Agenzia delle Entrate, PagoPA) e quelle a tema premi, vincite o rimborsi.

Smishing, phishing e vishing: le differenze

Sono tre facce della stessa medaglia — l’inganno per sottrarre dati — ma usano canali diversi. Il phishing sfrutta le email, lo smishing gli SMS, il vishing le telefonate. Spesso vengono combinati nello stesso attacco: un SMS apre la truffa, una telefonata la chiude. Il fenomeno è in continua evoluzione anche grazie all’intelligenza artificiale, che rende i messaggi sempre più credibili, e a modelli criminali come il phishing-as-a-service, che mettono kit di attacco pronti all’uso nelle mani di chiunque.

Lo scenario in Italia nel 2026

I numeri raccontano un fenomeno in piena espansione. Secondo i dati di Polizia Postale e associazioni dei consumatori, le false email (phishing) rappresentano il 38,1% delle truffe segnalate, seguite a ruota dagli SMS fraudolenti (smishing) con il 28,4%: il canale SMS è ormai il secondo vettore di truffa in Italia.

La sofisticazione è cresciuta di pari passo. Il CERT-AgID, l’organismo tecnico della Presidenza del Consiglio per la sicurezza informatica, ha rilevato 433 campagne malevole attive in Italia nel solo periodo tra febbraio e marzo 2026, e tra i brand più imitati figurano Intesa Sanpaolo, Poste Italiane, BPM, ING e Nexi, oltre a enti pubblici come INPS, Agenzia delle Entrate e PagoPA. A renderle particolarmente insidiose è la qualità tecnica: l’intelligenza artificiale generativa permette oggi di costruire messaggi privi di errori grammaticali, coerenti nel tono con le comunicazioni ufficiali e personalizzati sulla vittima. Sul piano economico, una ricerca Kaspersky stima che in Italia i truffatori sottraggano in media 770 euro a vittima.

Il caso Nexi: quando i truffatori sfruttano un marchio noto

Un esempio concreto è rappresentato dalle campagne che sfruttano il nome di Nexi, uno dei principali circuiti di pagamento italiani. Un chiarimento doveroso: non si tratta di una violazione dei sistemi di Nexi, ma dell’uso indebito del suo marchio per rendere più credibili i messaggi.

All’inizio del 2026 diverse segnalazioni, riportate anche da associazioni dei consumatori, hanno riacceso l’attenzione su una campagna di smishing che utilizza il nome Nexi: le vittime ricevono un SMS che segnala un pagamento sospetto, spesso di importo rilevante, e che invita a contattare con urgenza un numero per bloccare l’operazione. È una truffa combinata smishing e vishing, con numerazioni talvolta camuffate via spoofing per far apparire “Nexi” come mittente. La regola è semplice: nessun istituto serio chiede di comunicare codici di sicurezza o credenziali per telefono dopo un SMS; in presenza di un messaggio sospetto non si chiama il numero indicato e non si clicca sui link, ma si verifica accedendo direttamente all’app o all’area riservata ufficiale.

Come difendersi dallo smishing

Per quanto sofisticato, lo smishing si combatte soprattutto con qualche abitudine corretta. La regola d’oro è non cliccare mai sui link contenuti negli SMS e non chiamare i numeri indicati nei messaggi sospetti: in caso di dubbio si verifica sempre accedendo all’app ufficiale o digitando a mano l’indirizzo del sito.

Vale poi la pena ricordare alcuni principi: nessuna banca, ente pubblico o circuito di pagamento chiede codici OTP, password o numeri di carta via SMS. L’urgenza è quasi sempre un segnale d’allarme, costruito apposta per impedirti di ragionare. Conviene fare attenzione ai link, che spesso presentano piccole differenze ortografiche rispetto al dominio ufficiale, scaricare app solo dagli store ufficiali e mantenere aggiornato il sistema operativo del telefono. Infine, attivare ovunque possibile l’autenticazione a più fattori aggiunge una barriera decisiva.

Smishing e aziende: un rischio da non sottovalutare

Lo smishing non riguarda solo i privati. In azienda, lo smartphone di un dipendente è spesso un punto di accesso ai sistemi aziendali — email, gestionali, credenziali — e un SMS fraudolento che compromette quel dispositivo può aprire una breccia molto più grande, soprattutto in regime di smart working o BYOD. Il fenomeno della truffa del CEO, in cui i criminali si fingono dirigenti per autorizzare bonifici, sfrutta esattamente queste leve. E vale la pena ricordare che l’email resta il principale vettore d’attacco in azienda, con lo smishing che ne è la naturale estensione sul canale mobile.

Per le imprese la difesa non può essere lasciata alla sola attenzione del singolo. Serve un approccio strutturato che combini la protezione delle comunicazioni, la sicurezza dei dispositivi mobili attraverso policy centralizzate, la formazione del personale e il monitoraggio continuo. È il tipo di presidio che la difesa dagli attacchi hacker alle aziende richiede di avere già pronto, prima che il danno si verifichi, garantito da un SOC attivo 24 ore su 24.

Cosa fare se hai già cliccato

Se hai solo aperto il link senza inserire nulla, il rischio è limitato: chiudi la pagina e tieni d’occhio il dispositivo. Se invece hai inserito credenziali o dati della carta, agisci subito: contatta la tua banca per bloccare la carta, cambia immediatamente le password coinvolte e attiva l’autenticazione a più fattori dove non l’avevi. Conserva il messaggio come prova e, se vuoi, segnala l’accaduto alla Polizia Postale. Se la compromissione riguarda un dispositivo o un account aziendale, avvisa subito il responsabile IT: la rapidità è ciò che limita il danno.

Domande frequenti

Che differenza c’è tra phishing e smishing?
Il phishing usa le email, lo smishing usa gli SMS. Il meccanismo è identico — indurre a cedere dati o cliccare link malevoli — cambia solo il canale. Quando la truffa sfrutta le telefonate si parla invece di vishing.

Cosa fare se ho ricevuto un SMS sospetto?
Non cliccare sul link e non chiamare il numero indicato. Verifica accedendo direttamente all’app o al sito ufficiale del soggetto che apparentemente ti ha scritto. Se è una truffa, elimina il messaggio.

Gli SMS della mia banca sono sempre falsi?
No. Le banche inviano SMS legittimi, come i codici OTP per autorizzare i pagamenti. Il punto è che un SMS autentico non ti chiede mai di cliccare un link per “confermare” o “sbloccare” inserendo password o dati della carta.

Lo smishing può infettare il telefono con un virus?
Nella maggior parte dei casi lo smishing punta a farti inserire dati su un sito clone, non a installare malware. Tuttavia alcune varianti invitano a scaricare app malevole: per questo conviene installare applicazioni solo dagli store ufficiali.

Come può un’azienda proteggersi dallo smishing?
Con policy di sicurezza per i dispositivi mobili, protezione di email e comunicazioni, formazione dei dipendenti e monitoraggio contin