Un nuovo allarme corre – metaforicamente – lungo le linee ferroviarie italiane: un SMS che promette un indennizzo per un presunto ritardo del treno sta circolando con insistenza, sfruttando – in maniera fraudolente – il marchio Trenitalia per carpire dati personali e bancari. Il messaggio, costruito per sembrare una comunicazione ufficiale, invita a cliccare su un link che rimanda a una pagina web contraffatta, riprodotta con tale accuratezza da ingannare anche gli utenti più attenti. È la nuova campagna di smishing individuata dalla Polizia Postale e dai centri di cybersicurezza nazionali, una frode che utilizza gli SMS come vettore d’inganno e che si inserisce in un trend crescente di attacchi mirati ai passeggeri ferroviari.
Secondo le analisi tecniche, la procedura fraudolenta si sviluppa in più passaggi: dopo aver cliccato sul link, l’utente viene invitato a inserire il proprio numero di telefono per “verificare l’indennizzo”. Subito dopo compare una schermata che mostra un presunto credito da riscuotere, spesso quantificato in 15 euro. A quel punto viene richiesto di compilare un modulo con i dati completi della carta di pagamento e di autorizzare una piccola transazione – in genere 1,50 euro, definita “quota di verifica”. È proprio questo addebito a permettere ai truffatori di sottrarre le credenziali della carta, che possono poi essere utilizzate per operazioni non autorizzate.
Gli esperti sottolineano alcuni segnali che tradiscono l’inganno: errori grammaticali nel testo del messaggio, domini web che non appartengono a Trenitalia, estensioni insolite come “.cfd” e persino la presenza della parola “Italiia” con una doppia “i”. Elementi che, presi insieme, delineano una strategia pensata per sfruttare la fretta e la fiducia degli utenti, soprattutto quando il messaggio appare nella stessa conversazione degli SMS autentici della compagnia ferroviaria.
La Polizia Postale ribadisce che nessuna azienda chiede denaro o il codice CVV per erogare un rimborso: se un indennizzo è dovuto, viene accreditato senza alcuna transazione preliminare. E soprattutto, per restituire denaro non è necessario il codice di sicurezza della carta, che serve esclusivamente a chi intende effettuare pagamenti.
Le raccomandazioni sono chiare: non comunicare mai dati bancari o personali tramite link ricevuti via SMS o e‑mail, non cliccare su collegamenti di origine incerta e verificare eventuali indennizzi esclusivamente attraverso i canali ufficiali della compagnia ferroviaria. In caso di sospetto, è possibile segnalare l’episodio sul portale della Polizia Postale e, se si sono inseriti dati sensibili, contattare immediatamente il proprio istituto bancario per bloccare la carta.
