Paghi al supermercato, prendi lo scontrino del POS, lo lasci sul bancone o lo butti nel cestino accanto alla cassa.
Poche ore dopo arriva un SMS dalla tua banca — numero reale, grafica identica alle comunicazioni ufficiali — che segnala un accesso sospetto e chiede di confermare il tuo codice OTP. A quel punto il conto è già a rischio. Questo è lo schema della truffa che la Polizia Postale ha segnalato con crescente frequenza nel 2025: parte da un negozio fisico, non da uno schermo.
Lo scontrino del POS non è un semplice promemoria. Contiene il numero parziale della carta, il codice identificativo del terminale, l’importo esatto della transazione e, in molti casi, il saldo residuo del conto. Bastano questi frammenti per costruire una telefonata credibile: il truffatore sa quanto hai speso, dove, a che ora. Quando chiama fingendosi un operatore antifrode della banca, non sta sparando nel buio — sta usando dati reali per guadagnarsi la fiducia della vittima prima di chiedere il codice temporaneo che apre l’accesso al conto.
La nuova truffa svuota Bancomat: non è online ma fisica
La tecnica si chiama smishing nella variante via SMS, vishing quando avviene per voce. Secondo il Rapporto sulle operazioni fraudolente di Banca d’Italia relativo al secondo semestre del 2024, le frodi da manipolazione del pagatore — quelle in cui è la vittima stessa a eseguire il pagamento, convinta di farlo per un motivo legittimo — sono in crescita su tutti gli strumenti, comprese le carte.
Il tasso di frode sulle operazioni con carte si attesta allo 0,017%, un valore contenuto in proporzione al volume totale, ma che in termini assoluti ha prodotto nel 2024 circa 384.000 operazioni fraudolente per un valore complessivo di 33 milioni di euro. Un dato che tende a passare inosservato: le frodi al punto fisico, cioè quelle generate da un pagamento in negozio, mostrano un’incidenza statisticamente più bassa rispetto all’e-commerce.
Il problema non è il POS in sé, ma quello che succede dopo. Il canale fisico diventa un punto di raccolta di informazioni che alimentano la truffa su un canale digitale. Lo scontrino lasciato sul banco o recuperato dal cestino è il primo anello della catena, non l’ultimo.
I criminali, una volta in possesso della ricevuta, integrano i dati con tecniche OSINT — ricerche sui social, abbinamento del numero di telefono al nome — per rendere la chiamata ancora più personalizzata. In alcuni casi documentati dalla Polizia Postale, il numero visualizzato sul telefono della vittima coincideva con quello ufficiale della banca, grazie alla tecnica di spoofing. Tribunali di Milano e Salerno, in sentenze del 2025, hanno riconosciuto la responsabilità degli istituti di credito nei casi in cui la truffa era abbastanza sofisticata da essere irriconoscibile per un cliente ordinario.
I pagamenti contactless sotto i 50 euro non richiedono PIN. Questo significa che un dispositivo POS illegale, avvicinato alla carta o allo smartphone, può completare una transazione senza nessuna interazione da parte della vittima. Un caso del genere ha portato all’arresto di una donna a Sorrento nel 2025. La notifica SMS in tempo reale resta l’unico strumento che permette di accorgersene prima che il danno si accumuli.
Nel primo semestre del 2025, secondo i dati dell’Osservatorio Cyber di CRIF, sono stati inviati circa 1,2 milioni di alert relativi all’esposizione di dati personali sul web — e tra le combinazioni più frequenti figura il numero di telefono associato all’email nel 41% dei casi. Il numero di cellulare è spesso già noto al truffatore prima ancora di recuperare lo scontrino. La ricevuta serve a contestualizzare, non a identificare.
Banca d’Italia ha reso obbligatoria dal 9 ottobre 2025 la verifica in tempo reale dell’IBAN e dei dati del beneficiario per i bonifici, istantanei e ordinari. Per le operazioni con carta nei negozi fisici, il regime di tutela normativa rimane invariato.
