Il cellulare vibra sulla scrivania. È un messaggio breve, quasi amichevole: un pacco in giacenza, un pedaggio autostradale di pochi euro non pagato, o l’allerta di un accesso sospetto al conto corrente.
Pochi caratteri, un link blu e quella fretta che è diventata la firma digitale del nostro tempo. Non è più il phishing grossolano di un tempo, fatto di traduzioni zoppicanti e loghi sgranati. Nel 2026, lo smishing (phishing via SMS) è diventato una questione di precisione chirurgica e volumi industriali.
Gli analisti della cibersicurezza osservano un cambiamento di paradigma: la truffa non è più un “prodotto artigianale”, ma un servizio scalabile. Grazie alla democratizzazione dell’intelligenza artificiale generativa, i criminali possono ora lanciare campagne che si adattano in tempo reale al profilo della vittima. Se nel 2023 la creazione di un’esca credibile richiedeva ore, oggi un agente AI può generare migliaia di varianti testuali in pochi minuti, scansionando database pubblici per personalizzare il tono di voce.
I numeri di un’aggressione silenziosa
Secondo il Global State of Scams Report 2026, le perdite globali dovute alle frodi online hanno superato la soglia psicologica di 1 trilione di dollari. In Italia, i dati della Polizia Postale riferiti all’anno precedente confermano una pressione costante: oltre 51.000 casi di cybercrime trattati, con un danno economico che per il solo comparto finanziario sfiora i 270 milioni di euro. Ma la statistica più inquietante è un’altra: il 35% degli incidenti informatici nel nostro Paese è ormai riconducibile a tecniche di social engineering, dove lo smishing recita la parte del leone.
Un dettaglio laterale, apparentemente insignificante, racconta bene l’evoluzione del fenomeno: l’aumento dei messaggi inviati durante i fine settimana o nei giorni festivi. I truffatori hanno capito che la guardia dell’utente si abbassa quando la mente è lontana dall’ufficio e il supporto clienti delle banche è meno reattivo. Colpiscono quando siamo più vulnerabili, non quando siamo più distratti.
L’errore comune è pensare allo smishing come a un problema tecnologico. In realtà, è un bug del sistema operativo umano. L’intuizione non ortodossa che sta emergendo tra gli psicologi del digitale è che l’eccessiva alfabetizzazione informatica sta paradossalmente aiutando i truffatori. Essendo abituati a ricevere codici OTP e notifiche push per ogni minima operazione, abbiamo normalizzato l’interazione con l’SMS transazionale. Il criminale non deve più convincerci a fare qualcosa di strano, deve solo inserirsi in un flusso di azioni che compiamo già venti volte al giorno.
Le nuove frontiere del 2026 includono il cosiddetto “salto di piattaforma”: l’attacco inizia via SMS, si sposta su WhatsApp con un bot che simula un operatore umano e termina su un sito clone perfetto. In questo labirinto di specchi, la difesa non può più essere solo reattiva. La sfida della cybersecurity oggi non è più solo blindare i server, ma ricostruire la catena della fiducia tra mittente e destinatario in un mondo dove la nostra identità digitale è costantemente in vendita per pochi centesimi sul dark web.
