Settimana 24: Phishing nelle casette postali – Codici QR contraffatti sugli inviti di ritiro

16.06.2026 - La scorsa settimana l’UFCS ha ricevuto una segnalazione relativa a una sofisticata truffa che combina un documento cartaceo con tecniche di phishing digitale. Gli autori lasciano inviti di ritiro falsificati («avis de passage») a nome della Posta Svizzera nelle cassette postali delle potenziali vittime.

Di norma, i criminali sfruttano oculatamente i vantaggi offerti da Internet: cancellano le tracce, nascondono la propria identità e cercano così di sfuggire all’arresto, facendo di tutto per evitare di essere fisicamente presenti nel Paese delle loro vittime. Ciononostante, l’UFCS riceve continuamente segnalazioni concernenti ciberattacchi riconducibili a mezzi di comunicazione analogici. Ne avevamo già parlato in relazione agli adesivi con codici QR apposti sui parchimetri o all’invio con SMS blaster di presunte tasse di parcheggio. Attualmente la stessa dinamica si sta presentando con gli inviti di ritiro lasciati nelle cassette postali. Dapprima le vittime ricevono nella loro cassetta delle lettere un documento che graficamente assomiglia molto al vero invito di ritiro giallo della Posta Svizzera: i colori e il logo della Posta sono fedelmente riprodotti e le informazioni relative a una presunta mancata consegna di un pacco paiono plausibili. Per pianificare una nuova consegna, ai destinatari viene chiesto di scansionare un codice QR stampato.

Avviso di consegna contraffatto con codice QR lasciato nella cassetta postale.

In questo modo le vittime vengono dirottate nello spazio digitale per approdare su un sito web fittizio, difficilmente distinguibile dal sito ufficiale della Posta. Il messaggio visualizzato fa riferimento a un pacco rimasto bloccato che necessita di una nuova pianificazione di consegna. Per farlo, occorre però inserire informazioni aggiuntive.

La scelta della data per un nuovo «tentativo di consegna» serve a distrarre la vittima dalla vera e propria truffa.

Al malcapitato viene infatti chiesto successivamente di indicare una nuova finestra di consegna. Questo passaggio serve solo a distrarre le vittime dalla vera e propria truffa e a far loro credere che si tratti effettivamente di una nuova consegna. La truffa vera e propria inizia solo ora: è necessario inserire dati personali dettagliati quali nome, data di nascita, indirizzo postale, indirizzo e-mail e, obbligatoriamente, un numero di telefono svizzero.

Vengono richiesti numerosi dati, come ad esempio la data di nascita.

Infine si apre la trappola dei costi. Per la presunta nuova consegna sono richieste spese di gestione, spesso pari a 2.10 franchi. È interessante notare che, durante la procedura di pagamento vera e propria, tale importo viene indicato, in alcuni casi, con una leggera variazione, ovvero 3.99 franchi. L’obiettivo finale è, in definitiva, il furto dei dati della carta di credito, poiché il pagamento può essere effettuato esclusivamente con questo mezzo. Sebbene sulla pagina contraffatta vengano visualizzati metodi di pagamento alternativi come TWINT, questi non funzionano e risultano sempre contrassegnati come «indisponibili».

Alla fine vengono richiesti i dati della carta di credito, che vengono poi utilizzati per effettuare un addebito fraudolento.

Contesto e obiettivo dell’attacco

Un avviso di consegna della Posta gioca sul senso di familiarità, ed è proprio questo che la rende così pericolosa in questo caso. Poiché le persone sono avvezze a questo tipo di notifiche nella loro vita quotidiana, ricorrono inconsciamente a schemi consolidati. Lo scetticismo che molti hanno ormai sviluppato nei confronti delle e-mail o degli SMS non si manifesta quando si va a controllare la cassetta delle lettere. Chi potrebbe infatti sospettare che dietro a un fidato avviso postale si possa nascondere una cibertruffa? Inoltre, un pacco che si presume non possa essere consegnato suscita curiosità e un certo senso di urgenza: nessuno vuole perdersi una consegna. Anche la commissione ammontante a pochi franchi non è una scelta casuale.

I truffatori perseguono con questi attacchi un duplice obiettivo: da una parte raccogliere quanti più dati personali possibili per mettere a segno un furto di identità in un secondo momento, dall’altra ottenere i dati della carta di credito utilizzabili successivamente per un pagamento fraudolento. Per ora l’UFCS ha ricevuto segnalazioni su questa truffa solo dalla Svizzera romanda.

Gli attacchi fisici comportano sempre il rischio che gli autori vengano colti in flagrante dalle autorità di perseguimento penale svizzere. Di conseguenza, tali azioni non vengono solitamente compiute dagli autori stessi, bensì da persone reclutate e all’oscuro di tutto, spesso non consapevoli del contesto criminale delle loro azioni.

Raccomandazioni

La Posta Svizzera di norma non applica alcuna commissione per un secondo tentativo di consegna standard.
Scansionate i codici QR presenti su documenti cartacei inattesi solo con la massima cautela. Verificate in particolare l’indirizzo Internet a cui porta il codice scansionato.
Per gestire gli invii postali o controllare gli inviti di ritiro, visitate sempre direttamente il sito web ufficiale della Posta o utilizzate l’app ufficiale della Posta. Inserite manualmente il numero di spedizione riportato sul tagliando nella sezione «Tracciamento» del sito ufficiale della Posta o nell’app della Posta, invece di scansionare il codice QR. Se il numero non restituisce alcun risultato, potrebbe trattarsi di un tentativo di frode.
Se avete già inserito informazioni personali e dati di pagamento su un sito di questo tipo, contattate immediatamente la vostra banca o il vostro istituto finanziario o la società di carte di credito per far bloccare la carta interessata.
Non è mai necessario indicare la propria data di nascita per poter ricevere un pacco.