Sta circolando in queste settimane una campagna di truffa PostePay phishing particolarmente insidiosa: email contraffatte, apparentemente inviate da Poste Italiane, avvisano i clienti che il loro conto è in procinto di essere sospeso. L’obiettivo dei truffatori è uno solo — rubare le credenziali di accesso all’area personale online — e il meccanismo è costruito per sembrare urgente, ufficiale e convincente. Ecco cosa sappiamo con certezza su questa campagna attiva al 25 ottobre 2026, come riconoscere il messaggio fraudolento e cosa fare se lo si riceve.
Come funziona la truffa: il copione del “Promemoria finale”
Il messaggio fraudolento arriva nella casella di posta elettronica con un oggetto preciso: “Promemoria finale”. Il tono è allarmante per design. L’email afferma che il conto PostePay del destinatario sarà sospeso entro il 25 ottobre se non verrà eseguita una verifica immediata. Al centro del messaggio compare un pulsante blu che invita a cliccare per evitare la sospensione.
Questo è il punto critico. Chi clicca viene reindirizzato a una pagina web che imita graficamente il sito ufficiale di Poste Italiane — colori, loghi, layout — ma che è interamente controllata dai truffatori. Una volta inseriti nome utente e password, le credenziali vengono immediatamente acquisite dai criminali, che possono così accedere all’account reale della vittima.
Si tratta di un meccanismo classico del phishing — termine che deriva dall’inglese fishing, “pescare” — applicato a uno dei circuiti di pagamento più diffusi in Italia. La pericolosità non sta nella sofisticazione tecnica, ma nella capacità di sfruttare la paura: nessuno vuole vedere il proprio conto bloccato, e quella scadenza apparentemente imminente spinge ad agire in fretta, senza ragionare.
I segnali che smascherano l’email falsa
Riconoscere un messaggio di truffa PostePay phishing è possibile, ma richiede attenzione. Esistono alcuni indicatori ricorrenti che distinguono le email fraudolente da quelle legittime.
- L’indirizzo del mittente non è quello ufficiale. Le email di Poste Italiane provengono da domini certificati. Un indirizzo con caratteri insoliti, trattini o estensioni anomale è un segnale d’allarme immediato.
- La presenza di un pulsante che chiede di “verificare” o “confermare” le credenziali. Questo tipo di call-to-action non appartiene alle comunicazioni ufficiali di Poste Italiane.
- Il tono urgente e la minaccia di sospensione imminente. La pressione psicologica è uno strumento fondamentale del phishing: crea panico e spinge a cliccare senza verificare.
- Errori grammaticali o formattazione irregolare. Non sempre presenti, ma frequenti nelle campagne meno curate.
- Link che non rimandano al dominio poste.it. Prima di cliccare qualsiasi link, è possibile passarci sopra con il cursore (senza cliccare) per vedere l’URL reale di destinazione.
Il principio da tenere sempre a mente è uno: Poste Italiane non chiede mai le credenziali di accesso tramite email. Questa regola, confermata dalla stessa azienda, è la difesa più semplice e più efficace contro questo tipo di attacco.
Cosa fare se si riceve il messaggio sospetto
Se un’email sospetta arriva nella casella di posta, la risposta corretta non è né cliccare né ignorarla del tutto. Esistono azioni concrete da compiere.
→ Leggi anche: Attacco hacker ASOS: minaccia di pubblicare dati clienti
Prima di tutto, non cliccare nessun link e non inserire alcun dato. Anche solo aprire la pagina di destinazione — senza inserire nulla — può in alcuni casi esporre il dispositivo a rischi. La prudenza assoluta è la regola.
In secondo luogo, è possibile e auspicabile segnalare il messaggio direttamente a Poste Italiane, inoltrandolo all’indirizzo dedicato: antiphishing@posteitaliane.it. Questa segnalazione aiuta l’azienda a monitorare le campagne attive e a proteggere altri utenti.
Se si ha il sospetto di aver già inserito le proprie credenziali su una pagina fraudolenta, è necessario agire immediatamente: accedere all’area personale di Poste Italiane — direttamente dal sito ufficiale, digitando l’indirizzo nel browser — e cambiare la password senza indugi. In caso di dubbi sull’accesso al conto, è consigliabile contattare il servizio clienti di Poste Italiane per bloccare preventivamente eventuali operazioni sospette.
Perché la truffa PostePay phishing colpisce così spesso
La PostePay è una delle carte prepagate più utilizzate in Italia, con una base di clienti estremamente ampia e trasversale per età e livello di familiarità con gli strumenti digitali. Questa diffusione la rende un bersaglio privilegiato per le campagne di phishing: più è grande il numero di potenziali destinatari, maggiore è la probabilità che qualcuno cada nella trappola.
Le campagne di questo tipo si intensificano spesso in periodi specifici — fine mese, scadenze fiscali, momenti di alta attenzione finanziaria — proprio perché la plausibilità di una comunicazione urgente da parte di un istituto finanziario risulta più alta. L’email con oggetto “Promemoria finale” e la data di sospensione del 25 ottobre segue esattamente questa logica: sfrutta una scadenza reale e ravvicinata per aumentare la pressione sul destinatario.
Per approfondire le tecniche generali di difesa dal phishing e capire come verificare l’autenticità delle comunicazioni digitali, il Commissariato di P.S. Online offre risorse aggiornate e strumenti di segnalazione accessibili a tutti i cittadini.
La consapevolezza resta lo strumento più potente a disposizione di chi usa servizi bancari e di pagamento online: sapere che nessun istituto legittimo chiede le credenziali via email è già, da solo, sufficiente a neutralizzare la grande maggioranza di queste campagne. Chi ha già ricevuto il messaggio e non ha cliccato nulla può stare tranquillo — e fare bene a segnalarlo, perché ogni segnalazione contribuisce a spegnere la campagna più in fretta.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
