Nel bollettino "Settimana Cibernetica" del 9 agosto 2026, l'Agenzia per la Cybersicurezza Nazionale (ACN) ha segnalato una campagna attiva di smishing a tema GLS, condotta via SMS con l'obiettivo di sottrarre dati delle carte di pagamento. Non è una novità assoluta — le truffe che sfruttano il nome dei corrieri circolano da anni — ma la conferma ufficiale ACN e la persistenza della campagna nel tempo la rendono un buon pretesto per spiegare, con taglio pratico, come riconoscerla e come proteggersi, in azienda e a casa.

Come funziona la truffa

Il meccanismo è collaudato e sfrutta un'urgenza plausibile: arriva un SMS che avvisa di un pacco "trattenuto" o "in giacenza" presso il centro di spedizione, a nome di GLS o di altri corrieri come BRT, Poste Italiane, Amazon o DHL. Il messaggio invita a cliccare un link per sbloccare la consegna, spesso dietro pagamento di una piccola somma spacciata per un supplemento di spedizione o un dazio doganale.

Il link porta a un sito clone, costruito per assomigliare a quello ufficiale del corriere, che raccoglie dati anagrafici e — l'obiettivo reale della truffa — i dati completi della carta di pagamento: numero, scadenza, codice di sicurezza e, in molti casi, anche il codice OTP inviato dalla banca per autorizzare l'operazione, che l'utente inserisce convinto di star pagando pochi euro di spedizione.

Un dettaglio che rende la campagna più insidiosa delle versioni più grossolane del passato: i truffatori utilizzano tecniche di SMS spoofing che permettono al messaggio fraudolento di comparire nella stessa conversazione delle notifiche legittime già ricevute dal corriere. L'utente, vedendo il nuovo SMS in coda a messaggi autentici precedenti, abbassa naturalmente la guardia: il contesto visivo suggerisce continuità e affidabilità, anche se il contenuto è completamente falso.

GLS ha confermato pubblicamente di essere a conoscenza della campagna, ricordando che l'azienda non richiede mai pagamenti via SMS e utilizza esclusivamente il dominio ufficiale gls-italy.com, invitando chi riceve messaggi sospetti a non scaricare eventuali allegati e a segnalarli all'indirizzo cybersec@gls-italy.com.

Cosa significa per le aziende italiane e le PMI

Lo smishing a tema corriere colpisce prevalentemente i privati, ma ha ricadute dirette anche sulle aziende, per due motivi concreti. Il primo è la superficie di attacco sui dipendenti: chi ordina materiali o riceve spedizioni per conto dell'azienda usa spesso il proprio cellulare personale, e un clic distratto su un link di smishing può aprire la strada a furto di credenziali riutilizzate anche su sistemi aziendali, o a un dispositivo compromesso che poi si collega alla rete interna. Il secondo riguarda le PMI e gli e-commerce che si vedono il proprio marchio impersonato: se un cliente riceve un SMS fraudolento che cita il proprio ordine reale (informazione spesso trapelata da una violazione precedente del corriere o del negoziante), la fiducia nel brand ne esce danneggiata anche se l'azienda non ha colpe dirette.

Per le aziende che gestiscono grandi volumi di spedizioni — e-commerce, retail, logistica — la campagna è anche un promemoria sulla propria esposizione: se i truffatori conoscono numero di telefono e dettagli di un ordine reale per rendere l'SMS credibile, la fonte di quei dati può essere una fuga di informazioni upstream, propria o di un fornitore, che merita verifica.

Il quadro normativo

Non è un incidente che genera di per sé un obbligo di notifica GDPR per il corriere impersonato, dato che il marchio viene usato senza che ci sia accesso ai sistemi aziendali. Cambia però se un'azienda scopre che i dati usati per rendere credibile l'SMS (numero di cellulare abbinato a un ordine specifico) provengono da una propria violazione: in quel caso si applicano i consueti obblighi di valutazione e, se del caso, notifica al Garante Privacy entro 72 ore. Alle vittime della truffa, la via corretta è la denuncia alla Polizia Postale, competente per i reati informatici e le frodi con furto di dati di pagamento, oltre alla segnalazione alla propria banca per il blocco tempestivo della carta.

Cosa fare subito

Per i singoli utenti:

  • Non cliccare mai sui link ricevuti via SMS per "sbloccare" una spedizione: aprire manualmente l'app o il sito ufficiale del corriere e verificare lo stato del pacco da lì.
  • Ricordare che nessun corriere italiano richiede pagamenti aggiuntivi via SMS per la consegna di un pacco già ordinato.
  • Diffidare anche se l'SMS fraudolento compare nella stessa conversazione di messaggi autentici precedenti: la posizione nella chat non garantisce l'autenticità del mittente.
  • Se si è già inserito un dato di pagamento su un sito sospetto, contattare immediatamente la propria banca per bloccare la carta e sporgere denuncia alla Polizia Postale.
  • Segnalare gli SMS sospetti al corriere citato (per GLS: cybersec@gls-italy.com) e cancellarli senza inoltrarli ad altri.

Per le aziende:

  • Includere lo smishing a tema corriere/consegne nella formazione periodica di sensibilizzazione dei dipendenti, con esempi aggiornati e non solo il classico caso "email dal capo".
  • Verificare se il proprio numero di telefono o quello dei clienti compare in ordini reali che potrebbero essere stati oggetto di fughe di dati pregresse, come base per capire l'origine della credibilità delle campagne di smishing che citano l'azienda.
  • Per gli e-commerce: comunicare proattivamente ai clienti, tramite canali verificati, che l'azienda non richiede mai pagamenti aggiuntivi via SMS, riducendo l'efficacia di eventuali campagne che ne sfruttano il nome.