L’email che ti chiede di verificare la carta è quasi sempre la trappola
Tre giorni fa un lettore mi ha inoltrato un’email impeccabile. Logo Poste Italiane, layout fedele, testo in italiano correttissimo, link a una pagina “ufficiale”. Lo invitava a verificare la Postepay perché “sospettata di transazioni anomale verso un cassiere online”. Cliccando il link finiva su una pagina di login che imitava quella di Poste. Se avesse inserito le credenziali avrebbe consegnato tutto in mano ai truffatori. Le campagne di phishing che usano il brand Poste Italiane come esca, e che agganciano il tema dei pagamenti verso cassieri online, sono una delle minacce più diffuse oggi in Italia.
Il dato di Banca d’Italia sulla riduzione della frode e-commerce in Italia nel secondo semestre 2024 mostra che il sistema regolato sta funzionando: la quota di transazioni fraudolente sui pagamenti online italiani è in calo. Ma il decremento si riferisce alle frodi che colpiscono direttamente l’autorizzazione di pagamento; le frodi che prima sottraggono credenziali tramite phishing e poi le usano per accedere a strumenti finanziari sono una categoria diversa, e restano molto attive. Vediamo cosa è il phishing in questo specifico contesto, come riconoscerlo e come reagire.
Cos’è il phishing Poste Italiane in ambito gioco
Il phishing è una tecnica di frode informatica che cerca di indurre la vittima a consegnare volontariamente credenziali sensibili (login, password, codici OTP, dati carta) attraverso comunicazioni che imitano un’organizzazione legittima. La variante “Poste Italiane” è una delle più diffuse in Italia perché Poste è un brand con altissima riconoscibilità e fiducia, e perché molti italiani hanno la Postepay come strumento principale di pagamento online.
La variante “casinò online” combina l’esca Poste con un tema specifico del gioco a distanza. Le email tipo dicono: “Abbiamo rilevato transazioni anomale dalla tua Postepay verso un cassiere online”, “La tua carta è stata sospettata di gioco non autorizzato”, “Verifica la tua Postepay per evitare il blocco sui pagamenti gioco”. Sono testi che generano ansia e urgenza, e che spingono la vittima a cliccare per “risolvere” il problema rapidamente.
Il dato sul fenomeno generale è significativo. Le rilevazioni Banca d’Italia mostrano che le frodi sui pagamenti online in Italia stanno calando in valore assoluto grazie al consolidamento del 3D Secure e della SCA imposta da PSD2, ma la frequenza dei tentativi di phishing rimane alta. La frode che riesce è meno frequente, ma quella tentata è altrettanto presente nelle caselle email degli italiani.
Pattern tipici delle email truffa
Le email di phishing che impersonano Poste Italiane hanno alcuni pattern ricorrenti che, una volta identificati, le rendono molto più facili da riconoscere. Primo pattern: l’indirizzo del mittente. Le email autentiche di Poste arrivano da domini ufficiali (poste.it, postepay.it, poste-italiane.it in alcune categorie). Le email di phishing arrivano da domini che imitano questi (poste-italiane-italia.com, poste.it-verifica.com, poste-pay.eu) ma non sono mai i domini ufficiali. La verifica del dominio del mittente è il primo controllo da fare.
Secondo pattern: i link verso cui indirizzano. Le email autentiche di Poste portano sempre a sottodomini ufficiali (es. www.poste.it, www.postepay.it). Le email di phishing portano a domini che imitano gli ufficiali ma sono diversi. Posizionando il cursore sul link senza cliccare, la maggior parte dei client email mostra l’URL effettivo di destinazione: se non corrisponde ai domini ufficiali Poste, è phishing.
Terzo pattern: i toni di urgenza. “Verifica entro 24 ore o la carta sarà bloccata”, “Azione richiesta immediatamente per evitare la sospensione”, “Conferma ora i tuoi dati per non perdere l’accesso”. L’urgenza serve a impedire la riflessione critica e a generare un click istintivo. Le comunicazioni legittime di Poste, anche quando trattano questioni delicate come blocchi cautelativi, danno sempre tempi ragionevoli per la risposta e indicano canali di verifica diretti.
Quarto pattern: la richiesta di credenziali via email. Poste, come qualunque istituto finanziario serio, non chiede mai via email l’inserimento di password, PIN, codici OTP, CVV della carta o credenziali complete. Qualunque comunicazione che richieda questo tipo di dati va trattata come phishing fino a prova contraria.
Casi specifici legati al gioco online
La variante “casinò” del phishing Poste cerca di sfruttare due leve psicologiche specifiche. Prima leva: la preoccupazione per la regolarità delle proprie transazioni di gioco. Alcuni utenti, sapendo di aver giocato, possono sentirsi a disagio all’idea che Poste abbia “rilevato anomalie” ed essere più propensi a verificare rapidamente per chiarire la situazione. La leva sfrutta una forma di senso di colpa o di imbarazzo che il giocatore può percepire anche quando gioca in modo perfettamente regolare su cassieri ADM autorizzati.
Seconda leva: l’idea che la Postepay possa essere “bloccata” per ragioni di gioco. Alcuni utenti sanno che esiste un controllo sulle categorie merceologiche dei pagamenti, e l’idea che la carta possa essere sospesa per attività verso siti non autorizzati è realistica abbastanza da generare apprensione. Il phishing cavalca questa apprensione promettendo che bastano “due click di verifica” per sbloccare tutto.
La realtà operativa è diversa. Poste può effettivamente sospendere temporaneamente una Postepay se rileva pattern di pagamento anomali, soprattutto verso siti non ADM autorizzati. Ma il blocco viene comunicato attraverso canali ufficiali (notifica nell’app, raccomandata postale per blocchi più strutturali, chiamata del servizio antifrode) e mai tramite email con link a pagine esterne.
Come verificare se una comunicazione è autentica
Quando si riceve una comunicazione apparentemente da Poste Italiane riguardante la propria Postepay, e in particolare se la comunicazione tocca il tema dei pagamenti verso cassieri o servizi online, la procedura di verifica corretta è la seguente. Primo passo: non cliccare sui link contenuti nella comunicazione, qualunque essi siano. Anche se sembrano ufficiali, possono nascondere URL diversi da quelli visualizzati.
Secondo passo: aprire un browser e digitare manualmente l’indirizzo ufficiale di Poste (poste.it o postepay.it) o aprire l’app Postepay direttamente dal proprio smartphone. Se c’è un problema reale con la carta o con il conto, viene segnalato in modo evidente all’accesso dell’app o del portale ufficiale.
Terzo passo: in caso di dubbio, chiamare il servizio clienti Poste al numero ufficiale stampato sul retro della propria Postepay o disponibile sul sito ufficiale digitato a mano. Mai usare numeri di telefono presenti nell’email sospetta — possono essere numeri controllati dai truffatori che continuano la simulazione anche al telefono.
Quarto passo: segnalare l’email sospetta all’indirizzo ufficiale di Poste per le segnalazioni di phishing (i canali ufficiali sono indicati sul sito poste.it nella sezione sicurezza). La segnalazione contribuisce all’aggiornamento dei sistemi di filtro e protegge altri utenti.
Cosa fare se hai cliccato
Se hai cliccato su un link sospetto o, peggio, hai inserito credenziali su una pagina di phishing, l’azione tempestiva è cruciale. Primo: cambiare immediatamente la password dell’account Poste tramite l’app o il sito ufficiale. Secondo: contattare il numero antifrode di Poste (disponibile sul sito ufficiale) per segnalare il sospetto compromesso e attivare le procedure di protezione cautelativa sulla carta.
Terzo: monitorare gli estratti conto e le notifiche di pagamento della Postepay nelle 48-72 ore successive. Qualunque transazione non riconosciuta va segnalata immediatamente per chargeback e per blocco preventivo della carta. Quarto: se hai inserito anche dati carta (numero, scadenza, CVV) e non solo le credenziali del portale, richiedere la sostituzione della carta a Poste per generare un nuovo PAN — il vecchio è ormai compromesso anche se al momento non risultano transazioni anomale.
L’attività di vigilanza di ADM nel 2025 — 31.391 controlli sul settore gioco e 1.038 siti illegali bloccati — è la parte istituzionale della tutela. La parte personale del giocatore Postepay è quella della consapevolezza digitale: riconoscere i pattern del phishing, non cliccare impulsivamente, verificare attraverso canali ufficiali. Sono comportamenti semplici che riducono drasticamente l’esposizione al rischio di frode, sia sul fronte del gioco che su quello generale dei pagamenti online quotidiani.