PosteInfo: l'SMS che imita Poste Italiane, come riconoscerlo

Cos'è «PosteInfo», e perché i truffatori lo usano

«PosteInfo» è il nome del canale istituzionale con cui Poste Italiane manda SMS ai propri clienti: notifiche di spedizione, avvisi sul conto o sulla carta, codici di conferma. Lo conferma il Vademecum Antifrode che Poste Italiane e PostePay pubblicano insieme, che lo nomina due volte parlando di «un SMS [...] apparentemente proveniente dal canale istituzionale di Poste Italiane (es. PosteInfo)». Le pagine HTML di sicurezza di poste.it, invece, questo nome non lo citano mai: è lì che nasce il dubbio, ma la fonte che conta è il PDF ufficiale, non la pagina web.

Ed è proprio perché è un nome vero e riconoscibile che i truffatori lo copiano: lo stesso Vademecum spiega che il mittente di questi SMS fraudolenti viene falsificato per sembrare «un nominativo apparentemente riconducibile a Poste Italiane». Vedere scritto «PosteInfo» non è quindi una prova di niente, né a favore né contro: lo stesso nome lo usano sia Poste Italiane sia chi la imita.

Quello che invece è confermato, da un bollettino ufficiale dell'Agenzia per la Cybersicurezza Nazionale (ACN/CSIRT Italia) del 13 luglio 2023, è che «Posteinfo» è il mittente usato in una campagna di smishing — phishing fatto via SMS — reale e diffusa in tutta Italia: un SMS avvisava di una mancata consegna e portava a una pagina finta che chiedeva i dati della carta per pagare 26 centesimi di una commissione di riconsegna. Il pacco non esisteva: serviva solo a rubare i dati della carta.

La ragione per cui funziona è tecnica, non di furbizia del truffatore: il nome che un telefono mostra come mittente di un SMS si può falsificare (si chiama SMS spoofing), e chi riceve il messaggio non ha modo di controllarlo da solo. Quindi anche se «PosteInfo» è davvero il canale di Poste Italiane, vederlo scritto come mittente non è mai una prova che il messaggio sia legittimo: è esattamente il nome che chi ti truffa vuole farti vedere.

I segnali per riconoscere l'SMS falso

Non serve indovinare se il mittente sia vero: bastano pochi segnali, e in genere nell'SMS falso ne trovi più di uno insieme.

1. Il link non porta a poste.it. Guarda l'indirizzo con attenzione — sul telefono basta tenerlo premuto qualche secondo senza aprirlo: se vedi un dominio diverso (varianti come «poste-verifica.xyz» o indirizzi abbreviati con bit.ly/tinyurl), è già una truffa.
2. Ti chiede dati che Poste Italiane non chiede mai per SMS. Credenziali, PIN, codice OTP, numero della carta o il codice di sicurezza sul retro. Nessuna comunicazione legittima di Poste Italiane chiede questi dati per SMS, email, chat o telefono.
3. C'è una fretta finta. «La tua carta sta per essere bloccata», «hai 24 ore per confermare», «accesso sospetto, verifica subito». Serve a farti cliccare senza pensarci: né la banca né le Poste bloccano un conto in poche ore per un SMS non confermato.
4. Ti chiede un piccolo pagamento per un motivo plausibile. È lo schema confermato dal bollettino ACN del 2023: pochi centesimi per «sbloccare» una consegna. La cifra bassa serve a far sembrare innocuo l'inserimento della carta — ma è lì che i dati vengono rubati, non un vero pagamento di pochi centesimi.
5. Dopo l'SMS, arriva una telefonata. Un secondo schema, confermato dalla Polizia Postale: dopo l'SMS qualcuno chiama spacciandosi per operatore di banca, di Poste Italiane o di polizia, dice che ci sono «movimenti sospetti» e convince la vittima ad andare in banca o alla posta per trasferire soldi su un «conto sicuro» — che è il conto del truffatore.

Cosa non fare mai

Una lista corta, perché conta di più ricordarsene bene che ricordarsene tutta.

1. Non cliccare il link dentro l'SMS, anche solo per «vedere cos'è»: la pagina di Poste Italiane su questo punto dice di non inserire nessuna credenziale e di chiudere subito il browser — il solo caricamento della pagina può far vedere al truffatore il tuo indirizzo IP e il tipo di telefono, ma non i tuoi dati se non li hai scritti tu.
2. Non chiamare un numero scritto nell'SMS, e non richiamare un numero da cui sei stato chiamato dopo l'SMS: usa solo il numero che hai già salvato, o quello stampato sul retro della tua carta.
3. Non dare credenziali, PIN, codice OTP o dati della carta per telefono, SMS, email o chat, a nessuno che dice di chiamare da Poste Italiane, dalla tua banca o dalla polizia: nessun operatore vero li chiede così.
4. Non seguire istruzioni per «trasferire soldi su un conto sicuro»: non esiste un conto sicuro dove spostare i tuoi soldi per proteggerli da una truffa — chi te lo chiede è la truffa.

Se hai già cliccato o dato dei dati

Conta la velocità: nelle prime ore si recupera di più, dopo diventa più difficile.

1. Se hai solo cliccato il link, senza inserire niente, di solito non hai ancora dato nessun dato: chiudi la pagina e non procedere, ma resta comunque attento nei giorni seguenti.
2. Se hai dato la password o le credenziali di accesso, cambiale subito, su quel servizio e su tutti gli altri dove usavi la stessa password, e attiva la verifica in due passaggi se non l'avevi già.
3. Se hai dato i dati della carta, bloccala subito dall'app della tua banca o di Postepay — si fa in pochi secondi e si può sbloccare dopo — e chiama il numero sul retro per chiedere una carta nuova.
4. Se hai autorizzato un bonifico, chiama la tua banca immediatamente. Se è un bonifico ordinario, finché non è accreditato dall'altra parte si può chiedere il richiamo; se è un bonifico istantaneo, arriva in pochi secondi ed è irrevocabile — resta da fare la denuncia e chiedere alla banca di attivare il rientro presso la banca di chi ha ricevuto i soldi.
5. Dal 9 ottobre 2025 le banche devono offrire la verifica del beneficiario (nome e IBAN coincidono?) prima di confermare un bonifico: se non l'hanno fatta ed erano obbligate a farla, secondo fonti giuridiche specializzate (non la sola comunicazione di Banca d'Italia) devono rimborsare — fattelo confermare per scritto se lo contesti. Attenzione: protegge solo quando il nome del beneficiario NON corrisponde all'IBAN — in queste truffe il bonifico va spesso su un conto che il truffatore controlla davvero, quindi nome e IBAN coincidono e questa verifica non basta da sola.
6. Se qualcuno ti ha già chiamato come «falso operatore» e ti ha convinto ad andare in banca o alla posta, fermati prima di qualunque operazione e parla con un dipendente vero, di persona, senza il telefono acceso sull'orecchio.

Dove segnalare o denunciare

Esiste un canale ufficiale di Poste Italiane per le segnalazioni, oltre alla Polizia Postale.

1. Inoltra l'SMS o l'email sospetta a antiphishing@posteitaliane.it: è l'indirizzo ufficiale di Poste Italiane per queste segnalazioni, confermato sulle pagine di sicurezza di poste.it. Si può anche telefonare al 06 4526 3322, dal lunedì al sabato dalle 8 alle 20, festivi esclusi.
2. Per una segnalazione alla Polizia Postale, c'è il modulo su commissariatodips.it: la stessa pagina del modulo dice però che non accetta querele o denunce e che non sostituisce il pronto intervento (112 o 113 per le urgenze).
3. Per denunciare davvero, il portale denunceonline.poliziadistato.it (SPID o CIE) permette di inviare una pre-denuncia online, ma solo in alcune sedi sperimentali (questura di Rieti, questura di Frosinone e alcuni commissariati e reparti collegati, tutti in Lazio): va comunque formalizzata di persona entro 48 ore, su appuntamento preso dallo stesso portale. Fuori da queste sedi, o se non vuoi usare il portale, la denuncia si fa di persona in un ufficio di polizia, portando le prove raccolte (screenshot dell'SMS, del link, della pagina).
4. Se hai perso denaro, avvisa anche la tua banca il prima possibile: più tempo passa, meno probabile è recuperarlo.