SMS truffa? Come controllarlo con l'IA sul tuo telefono

“Gentile cliente, risulta una multa non pagata. Salda oggi per evitare la maggiorazione.” E sotto, un link. Magari stai davvero aspettando una comunicazione, magari no, ma il pollice è già lì, sospeso sullo schermo. È esattamente il momento su cui contano quelli che scrivono questi messaggi.

C’è una mossa migliore che richiede un minuto e non prevede di toccare niente: far leggere il messaggio a un’IA prima di cliccare. Google l’ha messa dentro “Cerchia e cerca” (Circle to Search, su Android) e dentro Google Lens, che funziona anche su iPhone. ChatGPT, Gemini e Claude fanno una cosa simile se ci incolli il testo. Tutto gratis.

E non sei il solo a farlo. Nel suo rapporto di ottobre 2025 sugli usi malevoli dell’IA, OpenAI scriveva di vedere prove che la gente usa ChatGPT “milioni di volte al mese” per riconoscere ed evitare truffe online. Quindi la domanda non è se funzioni come idea, ma come usarla bene, senza regalare dati e senza fidarsi troppo.

In questa guida trovi quello che serve davvero in Italia: quale strada scegliere sul tuo telefono, cosa incollare (e cosa no), quattro esempi svolti con le truffe che girano da noi, i punti in cui l’IA sbaglia e a chi segnalare, cioè Polizia Postale e CERT-AgID, perché le istruzioni americane del tipo “inoltra al 7726” qui non servono.

Una precisazione onesta sui test. Non ho un armadio di telefoni di prova, quindi i passaggi per Cerchia e cerca e Lens vengono dalla documentazione di Google e da prove pubblicate da altri, che ho linkato. Gli esempi con i chatbot li ho fatti io: quattro SMS inventati, il prompt di questo articolo, Claude. Le risposte qui sotto sono accorciate. Un confronto diretto fra i tre chatbot non l’ho fatto.

Perché se ne parla proprio adesso

I numeri italiani più solidi arrivano dal CERT-AgID, il centro che monitora le minacce per la pubblica amministrazione. Nel suo Report 2025, pubblicato a febbraio 2026, ha censito 3.620 campagne malevole e condiviso 51.530 indicatori di compromissione. Ma attenzione, perché il quadro sugli SMS è più sfumato di come lo si racconta di solito:

Fonte: CERT-AgID, Report 2025, pagina 10 del documento. Dati sulle campagne rilevate dal CERT-AgID, non sul totale degli SMS truffa in circolazione.

• Lo smishing cala, ma si fa più cattivo. Il numero di campagne via SMS è sceso di circa il 23% rispetto al 2024. Però la quota di quelle che servono a diffondere malware è salita da circa il 28% a circa il 45%. Tradotto: meno messaggi, più spesso pensati per infettare il telefono, non solo per rubarti le credenziali. Le campagne rivolte ai dispositivi Android risultano in aumento di circa il 55%, con infezioni spesso innescate proprio dallo smishing.
• L’esca è quasi sempre un ente pubblico o un servizio che conosci. Fra i temi di phishing a nome di enti pubblici, INPS è il più ricorrente (59 campagne), poi Autostrade per l’Italia (8), poi INAIL (1). Il phishing a tema PagoPA, con falsi solleciti di pagamento per presunte sanzioni stradali, conta 328 campagne. In totale phishing e smishing hanno coinvolto 153 brand.
• L’IA ha tolto l’errore di battitura. Il vecchio consiglio di “guardare se ci sono errori” vale meno di una volta. Lo dice anche il CERT-AgID, che parla di uso diffuso dell’IA per creare campagne di phishing e smishing, e lo dice Altroconsumo nella sua guida sulle truffe con l’IA: restano urgenza, pressione, richieste di soldi o dati, inviti a passare su canali non ufficiali.

E c’è la notizia di questi giorni. Il 16 ottobre SmartWorld ha raccontato che “Cerchia e cerca” (il nome italiano di Circle to Search) può analizzare un messaggio sospetto e dire se ha le caratteristiche di una truffa. Attenzione però alla cronologia: non è una funzione nuova. Google l’ha annunciata il 2 dicembre 2025. A ottobre ne hanno semplicemente riparlato tutti, e quindi se ne riparla anche qui.

Le tue strade: tre modi e un filtro

Tre modi per far leggere un SMS a un’IA, più uno che lavora da solo. Il percorso che vale per tutti:

Strada 1: Cerchia e cerca (Android)

I passaggi, come li descrive il post di Google del 2 dicembre 2025: tieni premuto il tasto Home o la barra di navigazione del telefono Android, poi cerchia il testo sospetto. Google dice che i suoi sistemi usano l’IA e informazioni dal web per valutare se il messaggio è probabilmente una truffa, e mostrano una panoramica con consigli e prossimi passi.

Fonte: News from Google, “Use Circle to Search and Google Lens to spot scam messages” (2 dicembre 2025). L’articolo è in inglese, la funzione no.

Cosa aspettarti: una breve panoramica IA che elenca cosa non torna e cosa fare dopo, per esempio non aprire il link e contattare l’azienda per vie ufficiali. Se emergono segnali di allarme, il consiglio è di eliminare il messaggio e bloccare il numero.

Due dettagli, ma importanti. Primo: Google precisa che la valutazione compare solo “quando i nostri sistemi hanno alta fiducia nella qualità della risposta”. Se cerchi e non esce niente, quindi, non è un via libera: significa solo che Google non si pronuncia. Secondo: non è disponibile su tutti i telefoni Android, perché serve hardware compatibile, e SmartWorld ricorda che il supporto potrebbe non arrivare su tutti i dispositivi contemporaneamente. Funziona su qualsiasi app, WhatsApp compreso, perché cerchi quello che vedi sullo schermo. Lo avvii tu: non scansiona i messaggi in arrivo.

Strada 2: Google Lens (iPhone e Android senza Cerchia e cerca)

La stessa verifica c’è in Lens, nell’app Google su Android e su iOS, in tre mosse: fai uno screenshot del messaggio, apri Lens nell’app Google, tocca lo screenshot. Su iPhone questa è la strada di Google, quindi serve l’app installata.

Vantaggio: lavori su un’immagine, non ti avvicini nemmeno al link.

Strada 3: incollare il testo in ChatGPT, Gemini o Claude

Va su qualsiasi telefono e ti permette di fare domande di approfondimento (“E se non conosco il numero del mittente?”), cosa che la panoramica di Google, una risposta e basta, non permette. Il prompt lo trovi nella sezione dopo. Il rovescio della medaglia: scegli tu cosa condividere, e il testo finisce a un’azienda con regole sui dati tutte sue (ne parliamo sotto, GDPR compreso).

Il filtro che c’è già

Nessuna di queste strade sostituisce quello che il telefono fa da solo:

• Google Messaggi ha un rilevamento truffe integrato. L’annuncio di Google di maggio 2025 descrive un rilevamento in tempo reale che cerca schemi sospetti mentre la conversazione procede, anche quando parte in modo innocuo, elaborato sul dispositivo; si può disattivare nelle impostazioni della protezione antispam. Le notizie di ottobre 2026 parlano di un livello ulteriore con analisi nel cloud su alcuni telefoni recenti: la fonte primaria non sono riuscito a controllarla, quindi guarda nelle impostazioni del tuo telefono cosa è attivo davvero.
• iPhone (iOS 26): nelle impostazioni dei Messaggi c’è il filtro per i mittenti sconosciuti, che li sposta in una cartella separata. Apple stessa chiarisce che è uno smistamento, non un bollino di autenticità.
• WhatsApp ha lanciato “Scam Alert”, un avviso basato sull’IA che compare nella chat quando il modello giudica un messaggio probabilmente truffaldino, visibile solo a te. Per quanto riporta SmartWorld è una beta limitata e opzionale.

I filtri lavorano senza che tu faccia niente. Il controllo con l’IA serve per quello che passa.

Quale scegliere? Su Android con Cerchia e cerca: usa quella, è la più veloce e ti tiene lontano dal link. Su iPhone: Lens se hai l’app Google, altrimenti un chatbot. Con messaggi lunghi, strani o personali (il classico “numero sbagliato” che poi si mette a chiacchierare), il chatbot ti dà di più, perché puoi insistere con le domande.

Come chiedere in sicurezza: cosa incollare e cosa no

Tre regole prima di incollare o fotografare qualsiasi cosa:

1. Non cliccare il link, nemmeno “solo per vedere”. Quando incolli il testo in un chatbot, scrivi il link con le parentesi quadre intorno ai punti (per esempio inps-aggiorna-dati[.]com), così non puoi toccarlo per sbaglio. L’IA lo legge lo stesso.
2. Togli i dati personali. Ritaglia lo screenshot o riscrivi il testo a mano, in modo che nome, indirizzo, codice fiscale, IBAN e codici non ci siano. Uno screenshot mostra anche il numero del mittente e a volte il tuo nome o i tuoi contatti. All’IA non servono.
3. Non chiedere “è sicuro?”, chiedi “cosa vuole da me questo messaggio?”. F-Secure ha messo alla prova alcuni assistenti IA (più avanti i dettagli) e ha visto che la stessa domanda può avere risposte diverse in esecuzioni diverse. Un “sembra tutto ok” secco non è qualcosa su cui fare affidamento.

Ecco il prompt che ho usato. L’ho lasciato in inglese di proposito, perché i prompt in inglese di solito funzionano meglio. Metti come prima riga “Rispondi in italiano.” e il resto va bene così. Copialo e cambia l’ultima riga.

I got this text message and I have NOT clicked or replied. Help me
assess it. Any link has [.] in place of dots on purpose. Answer in
this format:

1. MY READ: likely scam / suspicious / probably legitimate / can't tell,
   with one sentence on why.
2. RED FLAGS: what in the text looks off (type of sender, urgency,
   a request for money, a login, a code or personal details, a link
   that doesn't match the brand, odd wording).
3. WHAT I CAN'T TELL FROM THE TEXT ALONE: for example, whether the
   account or package it mentions is real.
4. SAFE NEXT STEP: what to do using an official app, a website I type
   in myself, or a phone number I already have. Never use anything
   from the text.

Don't tell me a message is "safe". If you see no red flags, say "no
red flags in the text" and still give the safe next step.

TEXT:
[paste the message here]

Quattro esempi, uno per uno

I messaggi sono inventati, ma costruiti sugli schemi che CERT-AgID e la stampa specializzata segnalano. Sotto ognuno trovi cosa ha risposto l’IA, in sintesi, e cosa fare dopo.

Esempio 1: la finta multa

“Polizia: risulta una multa non pagata di 17,00 € per infrazione sul GRA. Salda oggi, altrimenti sale a 291,00 € con decurtazione punti: poliziadistato-pagamenti[.]info/multa”

La valutazione dell’IA: molto probabile truffa. Il dominio non è quello della Polizia di Stato, c’è una scadenza “oggi”, la cifra che sale in modo spaventoso e una richiesta di pagamento con link. Se hai davvero preso una multa, l’IA non può saperlo.

Cosa fai: non tocchi niente. Le multe vere non arrivano come SMS con un link per pagare: controlla sul sito o sull’app ufficiale, o sull’area personale pagoPA/SEND. Secondo Punto Informatico, che racconta una campagna di questo tipo segnalata al CERT-AgID, la pagina falsa serve a rubare dati personali e della carta. È lo stesso schema delle 328 campagne PagoPA a tema sanzioni stradali che il report CERT-AgID conta nel 2025. Poi segnali e cancelli (vedi sotto).

Esempio 2: l’INPS che “aggiorna i dati”

“INPS: per continuare a ricevere il pagamento devi aggiornare i tuoi dati entro 24 ore. Accedi qui: inps-aggiorna-dati[.]com”

L’IA: sospetto, rischio alto. Gli enti pubblici non minacciano la sospensione di un pagamento per SMS, il dominio non è inps.it e la richiesta riguarda credenziali e documenti. L’IA non può sapere se hai una pratica aperta con l’INPS.

Cosa fai: non clicchi e non richiami. Entra nel sito dell’INPS digitando l’indirizzo a mano, o nell’app ufficiale, e controlla lì. Altroconsumo ricorda che l’INPS non invia SMS con link e non chiede dati personali o bancari per telefono. È anche il tema più usato in assoluto fra gli enti pubblici imitati, con 59 campagne nel 2025 secondo il CERT-AgID, che già a settembre 2025 segnalava il ritorno dello smishing a tema INPS con richiesta di copia dei documenti e selfie.

Esempio 3: “Ciao mamma”

“Ciao mamma, ho rotto il telefono, questo è il mio nuovo numero. Mi puoi aiutare un attimo?”

L’IA: non posso valutarlo così, cautela. Nel messaggio non c’è un link né una richiesta di soldi, quindi dal solo testo non si ricava niente. Ha però ricordato che questo schema è un classico, in cui prima si costruisce fiducia e poi si chiede denaro.

Cosa fai: chiami la persona sul numero vecchio che hai in rubrica, oppure la raggiungi per un altro canale. Non rispondi al numero nuovo prima di aver verificato e non fai bonifici. Se ti interessa il tema delle voci clonate, abbiamo scritto sulla truffa della voce clonata con l’IA.

Questo è il caso in cui l’IA è più debole, e infatti l’ha detto lei per prima. Niente in questo primo messaggio rivela la truffa. Se un messaggio è vero non lo capisci dal testo: lo capisci richiamando la persona che conosci davvero.

Esempio 4: un messaggio vero

“Il tuo codice di verifica è 482915. Non condividerlo con nessuno. Scade tra 10 minuti.”

L’IA: probabilmente legittimo, con un’avvertenza. È la forma tipica di un codice monouso. La sua aggiunta: se non stavi cercando di accedere a niente, qualcuno potrebbe provare a entrare nel tuo account. Non dare il codice a nessuno, nemmeno a chi chiama dicendo di essere dell’assistenza, e cambia la password.

Perché questo esempio? Perché il controllo con l’IA non serve solo a stanare le truffe: ti toglie anche l’ansia per i messaggi veri. E ti fa vedere il tipo di falso allarme con cui devi fare i conti. F-Secure ha trovato che circa una domanda innocua su cinque faceva comunque scattare un avviso di truffa. Se quindi l’IA brontola su un messaggio vero, verifica dall’app ufficiale e non lasciarlo perdere.

Confronto: gli strumenti uno accanto all’altro

Le truffe che incontri più spesso in Italia

Quali messaggi girano lo vedi dalle segnalazioni del CERT-AgID e dalla stampa specializzata. L’ordine qui sotto è una mia sintesi di queste fonti, non una statistica ufficiale:

Le prime due hanno un link e una storia che l’IA può esaminare. Le ultime due, nel primo messaggio, spesso non contengono niente di sbagliato. Ecco perché “l’IA dice che sembra ok” non deve mai essere l’ultimo passo, soprattutto con gli SMS di sconosciuti che ancora non chiedono niente.

Quanto è affidabile la risposta dell’IA?

Sinceramente? Un numero di accuratezza pulito per “ChatGPT, Gemini e Claude controllano gli SMS truffa” non esiste. Quello che ho trovato riguarda compiti vicini e va nella stessa direzione: un secondo parere utile, non una sentenza.

• Il benchmark ASK di F-Secure (pubblicato il 13 agosto 2026): 35 scenari di truffa, ognuno a quattro livelli di segnali visibili, per 840 risposte valutate di ChatGPT e Gemini, con Claude come giudice. Entrambi hanno segnalato le truffe in oltre il 95% dei casi in media, circa il 95% quando la truffa era descritta per intero. Però misurava se l’assistente avvisa di sua iniziativa mentre ti aiuta in un compito, non se classifica bene un SMS che carichi tu. In più, circa una domanda innocua su cinque faceva scattare comunque un avviso. Su un finto “lavoro da casa” (rispedire pacchi), la stessa domanda a ChatGPT ha preso 0, 4 e 4 (sulla scala di avviso da 0 a 4 del test) in tre prove identiche: in una su tre, nessuna cautela. E con una truffa dei buoni regalo travestita da faccenda domestica, tutte le prove di entrambi gli assistenti hanno dato consigli su come grattare le carte.
• Uno studio del 2024 sullo spear phishing con l’IA (Heiding e colleghi, arXiv 2412.00586) ha messo alla prova Claude 3.5 Sonnet su 381 email, 363 di phishing e 18 legittime. Ha individuato il 97,25% di quelle di phishing, senza falsi positivi, ma solo l'81% in certe email di phishing tradizionali. Gli autori hanno visto anche che i modelli vanno meglio se chiedi se un’email è sospetta invece di chiederne lo scopo: è uno dei motivi per cui il prompt qui sopra chiede i segnali d’allarme. Incoraggiante, ma sono email, non SMS, e 18 messaggi legittimi sono troppo pochi per fidarsi del dato sui falsi allarmi.
• La riserva di Google: la valutazione compare solo con alta fiducia e Google non pubblica alcun dato di accuratezza.

Le quattro raccomandazioni di F-Secure sono regole sensate per tutti: dare all’IA il contesto di perché chiedi, ma mai dati sensibili come password o numeri di documento; non prendere l’assenza di un avviso come prova di sicurezza; chiedere direttamente “potrebbe essere una truffa?”; e, se ci sono soldi, fretta o segretezza, coinvolgere una persona di fiducia. Nelle loro parole: l’IA è un secondo parere, non l’ultima parola.

Dopo la risposta dell’IA: cosa fare in Italia

Qualunque cosa dica l’IA, sono questi i passi che ti proteggono davvero:

1. Non cliccare, non rispondere, non richiamare. Verifica solo da canali ufficiali: l’app o il sito che digiti tu.
2. Segnala. Alla Polizia Postale, che raccoglie le segnalazioni online sul portale del Commissariato di PS online (commissariatodips.it): di solito si indica data e ora, mittente, testo e URL, senza aprire il link. Puoi inviare l’allerta anche al CERT-AgID, scrivendo a malware@cert-agid.gov.it con il testo completo e l’indirizzo del link. E, se c’è un ente imitato (banca, Autostrade, INPS, Poste), avvisa anche loro.
3. Il 7726 qui non c’è. Nelle guide americane leggi sempre “inoltra al 7726”: è un numero degli Stati Uniti. In Italia valgono i canali sopra.
4. Blocca e cancella. Blocca il numero e cancella il messaggio.

Se hai già cliccato o risposto. Calma, ma muoviti in fretta. Non inserire altro. Se hai scritto una password, cambiala dal sito o dall’app ufficiale. Se hai dato i dati della carta o del conto, chiama subito la banca o l’emittente della carta al numero ufficiale e blocca la carta. Se hai pagato, conserva gli screenshot dei messaggi, perché serviranno per la denuncia alla Polizia Postale. E tieni presente il dato del CERT-AgID: gli SMS che distribuiscono malware sono ormai circa il 45% delle campagne, quindi se hai toccato un link e il telefono si comporta in modo strano (app che non hai installato, batteria che si scarica in fretta, SMS inviati da soli), fallo controllare e valuta un ripristino.

Privacy: che fine fa il testo che incolli

Se usi un chatbot, valgono le stesse impostazioni di addestramento di qualsiasi altra chat. In breve, secondo le pagine di aiuto dei fornitori (aggiornamento al 20 ottobre 2026):

• ChatGPT: i contenuti degli account gratuiti possono servire a migliorare i modelli, a meno che tu non disattivi “Migliora il modello per tutti” nei controlli dei dati. Una chat temporanea non viene usata per questo, ma può restare fino a 30 giorni per motivi di sicurezza.
• Gemini: l’attività salvata può servire a migliorare i servizi di Google e alcune chat vengono riviste da persone. Disattiva “Salva attività” oppure usa una chat temporanea, che non è usata per l’addestramento ed è conservata per 72 ore.
• Claude: le chat possono servire a migliorare Claude se lo consenti. Nelle impostazioni sulla privacy puoi disattivarlo, oppure usare una chat in incognito, non usata per l’addestramento e conservata per impostazione predefinita 30 giorni.

Per un SMS truffa la soluzione pratica è semplice: ritaglia o riscrivi in modo che nome, numero e dati del conto non compaiano in quello che condividi. Il messaggio truffaldino è la parte che vuoi far controllare e non ha bisogno della tua identità. Sul GDPR: i fornitori di IA possono essere titolari o responsabili del trattamento a seconda del caso, quindi la regola prudente è non caricare dati sensibili (codice fiscale, IBAN, numeri di carta, codici monouso). Se vuoi capire meglio come usare questi strumenti senza regalare dati, nel corso Fondamenti di IA trovi le basi, e in Prompt efficaci con ChatGPT come impostare le domande.

Cosa significa per te

Se hai un Android. Hai già la strada più veloce. Prima cosa da fare: prova Cerchia e cerca oggi su un SMS qualsiasi, anche innocuo, così sai già com’è il risultato quando ne arriva uno che spaventa. Controlla anche che la protezione antispam di Google Messaggi sia attiva.

Se hai un iPhone. Installa l’app Google, se non ce l’hai, e prova una volta il percorso screenshot più Lens. Attiva il filtro per i mittenti sconosciuti nei Messaggi se ti va bene la cartella in più. Per le domande di approfondimento usa un chatbot.

Se aiuti genitori o nonni. Probabilmente sei tu quello a cui chiedono “guarda un po’, è vero?”. Prima cosa da fare: accordatevi su una regola sola, cioè che ti inoltrano ogni messaggio strano senza toccarlo e che lo controlli tu per vie ufficiali. Mostra anche il “Ciao mamma”. Chi truffa lavora su fretta e segretezza, e l’abitudine di far vedere un messaggio a qualcuno protegge più di qualsiasi strumento.

Se hai una partita IVA o una piccola attività. Aspetti di continuo consegne, fatture e richieste dei clienti, ed è lì che gli SMS truffa si nascondono meglio. Prima cosa da fare: scrivi una regola di tre righe (non toccare, verificare dall’app ufficiale o da un numero noto, segnalare) e appendila dove la vede tutto il team. Se ti arrivano richieste di pagamento per email, la nostra guida per contabili e agenti immobiliari (in inglese) tratta la versione email dello stesso problema.

Se vendi online. I falsi messaggi di “pagamento ricevuto, conferma qui” e quelli dei corrieri prendono di mira chi vende. Prima cosa da fare: non confermare mai un pagamento tramite un link in un SMS. Apri tu l’app della banca o della piattaforma.

Se cerchi lavoro. Le proposte non richieste arrivate per messaggio, con paga alta e nessun compito concreto, sono un segnale d’allarme classico. Prima cosa da fare: candidati solo dalla pagina carriere dell’azienda e non mandare mai soldi per “completare incarichi”.

Se ricevi spesso messaggi da “numero sbagliato”. Non rispondere, blocca il numero. È lo schema in cui l’IA è più debole, e dove un innocuo “ciao” può trasformarsi in un errore costoso.

Problemi tipici e cosa fare

Hai cerchiato e non è uscito niente. Google mostra la valutazione solo con alta fiducia. Nessuna risposta non vuol dire né sicuro né pericoloso. Trattalo come sconosciuto, verifica per vie ufficiali o chiedi anche a un chatbot.

Il tuo Android non ha Cerchia e cerca. Non tutti i telefoni ce l’hanno, serve hardware compatibile. Usa Google Lens dall’app Google con uno screenshot, come fanno gli utenti iPhone.

L’IA dice “sembra ok” ma hai un brutto presentimento. Fidati dell’istinto e verifica dall’app ufficiale o da un numero che avevi già. I risultati di F-Secure mostrano che un chatbot può rispondere con prudenza una volta e con leggerezza un’altra, con lo stesso input.

L’IA ha segnato come truffa un messaggio vero. Succede con codici monouso veri, avvisi di consegna a cui ti sei iscritto e promemoria di appuntamenti, perché contengono link, codici e urgenza. Controlla dall’app ufficiale, non ignorarlo.

L’SMS arriva da un numero in rubrica. I numeri si possono falsificare e i telefoni possono essere hackerati. Se un contatto conosciuto ti chiede di colpo soldi, un codice o un favore con un link, chiamalo al numero che avevi già.

Il messaggio è in un’altra lingua. I chatbot gestiscono molte lingue, ma non darei per scontata la stessa qualità ovunque. Incolla il testo originale e chiedi un riassunto in italiano di ciò che ti viene chiesto: è un buon primo passo.

Hai fatto uno screenshot e ora è nel backup delle foto. Può finire nel cloud. Cancellalo dopo aver controllato e non condividerlo in pubblico senza aver tolto il numero del mittente.

Hai già toccato il link. Chiudi la pagina senza inserire niente. Se hai scritto una password, cambiala dal sito o dall’app ufficiale. Se hai inserito i dati della carta, chiama l’emittente. Segnala il messaggio alla Polizia Postale.

Cosa non può fare

Non vede chi c’è dietro il numero. L’IA legge le parole, non sa chi le ha mandate. Un messaggio convincente da un contatto hackerato o da un numero clonato può sembrare perfetto.

Con le truffe lente è la più debole. Quelle del “numero sbagliato” e dei falsi rapporti costruiscono fiducia in tanti messaggi prima di chiedere qualcosa. Ogni singolo SMS può sembrare innocuo.

Non è un rilevatore collaudato. Nessuno ha pubblicato un dato di accuratezza di questi strumenti sugli SMS truffa, e i risultati cambiano da una prova all’altra. La funzione di Google non dà alcun giudizio quando non è sicura.

Non ferma il messaggio. Per quello servono filtri, blocchi e strumenti dell’operatore. Il controllo con l’IA aiuta dopo che l’SMS è già sul tuo schermo.

Non recupera i soldi. Se hai già pagato, l’IA non può aiutarti. Contatta subito la banca e presenta denuncia. Per le richieste di pagamento via email, vedi il nostro articolo per contabili: è la versione email dello stesso problema.

Domande frequenti

ChatGPT può dirmi se un SMS è una truffa? Può leggere il messaggio, indicare segnali come urgenza, link strani e richieste di soldi e spiegare cosa ti vuole far fare. Non può verificare che il mittente sia chi dice di essere, e le risposte possono cambiare da una prova all’altra. Usalo come secondo parere.

Come controllo un SMS con Cerchia e cerca? Su un Android che la supporta: tieni premuto il tasto Home o la barra di navigazione e cerchia il testo. Google mostra una panoramica IA con valutazione e consigli, ma solo se si fida abbastanza della risposta.

Come controllo un SMS truffa su iPhone? Fai uno screenshot, apri Lens nell’app Google e tocca lo screenshot. Oppure incolla il testo in ChatGPT, Gemini o Claude. Non toccare mai il link nell’SMS originale.

È sicuro incollare un SMS truffa in un chatbot? Il testo truffaldino in sé va bene, ma togli nome, numero e dati del conto. Scrivi il link con le parentesi attorno ai punti per non toccarlo per sbaglio e guarda le impostazioni di addestramento del fornitore.

In Italia esiste un numero come il 7726? Il 7726 è un numero degli Stati Uniti. In Italia usa la segnalazione alla Polizia Postale (commissariatodips.it), al CERT-AgID e all’ente imitato.

Dove segnalo uno smishing? Alla Polizia Postale sul portale del Commissariato di PS online, indicando mittente, testo e data, senza aprire il link. Per l’allerta tecnica puoi scrivere al CERT-AgID, e avvisare anche la banca o l’ente imitato.

Cosa succede se ho cliccato su un link in un SMS? Chiudi la pagina senza inserire dati. Se hai dato password o dati della carta, cambia le password dal canale ufficiale e chiama l’emittente. Secondo il CERT-AgID una quota crescente dello smishing (circa il 45% nel 2025) serve a diffondere malware, quindi se il telefono si comporta in modo strano fallo controllare.

Quali sono gli SMS truffa più comuni in Italia? Secondo i dati del CERT-AgID 2025 dominano i temi di enti e servizi noti: INPS (59 campagne), il phishing a tema PagoPA con false multe (328 campagne), Autostrade per l’Italia (8), oltre a banche e Poste. A queste si aggiungono i messaggi “Ciao mamma”.

Google ha appena lanciato questa funzione? No. Google ha presentato i controlli antitruffa in Cerchia e cerca e in Lens il 2 dicembre 2025. L’attenzione di ottobre 2026 viene dagli articoli che ne ricordano l’esistenza.

Anche Apple ha qualcosa di simile? iOS 26 può spostare i mittenti sconosciuti in una cartella a parte e ha “Segnala come indesiderato”, ma non è lo stesso che far leggere a un’IA un messaggio preciso. Su iPhone, questa lacuna la colma Lens nell’app Google, oppure un chatbot.

In conclusione

Quando un SMS ti mette fretta di pagare, confermare o richiamare, fermati un attimo prima di toccare. Fatti leggere il messaggio dall’IA che hai più a portata di mano: Cerchia e cerca su Android, Lens su iPhone o un chatbot se vuoi fare domande. Nascondi il link, lascia fuori i dati personali e prendi la risposta come un secondo parere. Poi fai le tre cose che ti proteggono davvero: non cliccare e non rispondere, verificare da un’app ufficiale o da un numero che avevi già, e segnalare alla Polizia Postale e, se serve, al CERT-AgID.

Con le truffe più banali, la multa e il pedaggio finti, gli strumenti se la cavano bene. Con quelle silenziose sono i più deboli, per esempio il “numero sbagliato” che vuole diventare tuo amico. Lì la tua regola batte qualsiasi app: se uno sconosciuto ti tira dentro una conversazione, non sei obbligato a starci.

Se vuoi imparare a usare l’IA con testa, Fondamenti di IA è un buon punto di partenza, e Prompt efficaci con ChatGPT ti insegna a fare le domande giuste. Per le PMI c’è anche Alfabetizzazione IA (Art. 4 AI Act).

Nota sull’aggiornamento: questa guida si basa sull’annuncio di Google di dicembre 2025, sulle notizie di ottobre 2026 e sulle pagine di aiuto dei fornitori al 20 ottobre 2026. Funzioni e impostazioni cambiano, quindi guarda i menu attuali del tuo telefono. I dati sulle campagne sono quelli del Report CERT-AgID 2025 e riguardano le campagne che il CERT-AgID ha rilevato.

Fonti

• CERT-AgID, Report 2025 (febbraio 2026)
• SmartWorld, “Circle to Search ora smaschera i messaggi truffa: basta un cerchio sullo schermo” (16 ottobre 2026)
• TuttoAndroid, la nuova funzione di Circle to Search contro le truffe (2 dicembre 2025)
• Altroconsumo, SMS e chiamate INPS: quando è una truffa e come capirlo subito
• Altroconsumo, Truffe con AI: 5 raggiri da riconoscere e prevenire
• Punto Informatico, Smishing: false multe per rubare i dati di pagamento
• Cybersecurity360, Torna lo smishing a tema INPS: così rubano documenti e identità digitali
• Geopop, nuova truffa via SMS per aggiornare il profilo INPS
• SmartWorld, WhatsApp lancia Scam Alert
• News from Google, “Use Circle to Search and Google Lens to spot scam messages” (2 dicembre 2025)
• Google Security Blog, What’s New in Android Security and Privacy in 2025
• Apple Support, Filter and block messages on iPhone
• Commissariato di PS online, Polizia di Stato
• F-Secure, “AI can answer almost anything. But can it spot a scam?” (13 agosto 2026)
• Heiding et al., Evaluating Large Language Models’ Capability to Launch Fully Automated Spear Phishing Campaigns (arXiv 2412.00586)
• OpenAI, “Disrupting malicious uses of AI” (ottobre 2025)
• OpenAI Help, Data controls in ChatGPT
• Google, Gemini Apps Activity e privacy
• Anthropic, I miei dati vengono usati per l’addestramento dei modelli?