Il rimborso che si prende i soldi: la campagna di smishing a tema Trenitalia

L'aggancio è un fatto vero

Il messaggio dice che il vostro treno è arrivato in ritardo e che avete diritto a un indennizzo.

Funziona per un motivo semplice: è plausibile. I treni ritardano, il diritto all'indennizzo esiste davvero, e in Italia moltissime persone in luglio un treno lo hanno preso. Chi riceve l'SMS non deve essere ingenuo per abboccare: deve solo aver viaggiato di recente e non ricordare bene se quel rimborso l'aveva già chiesto.

Il CSIRT Italia lo descrive così nell'alert AL01/260723: «Questo CSIRT ha recentemente rilevato una campagna di smishing a tema Trenitalia, perpetrata via SMS, volta a carpire i dati relativi alla carta di pagamento della potenziale vittima».

Smishing è semplicemente il phishing che viaggia via SMS. Il canale cambia parecchie cose: un messaggio di testo non ha mittente verificabile, non passa da un filtro aziendale, arriva su un telefono personale — e lì i link si aprono con il pollice, mentre si cammina.

La catena, passo per passo

La cosa più istruttiva di questa campagna è la gradualità. Non c'è un unico modulo che chiede tutto: c'è una scala di richieste, ognuna piccola rispetto alla precedente.

1. 01
   Il numero di telefono

   «Verifica il tuo indennizzo» — un dato che si dà senza pensarci
2. 02
   I dati della carta

   pagina «Trasferimento su carta»: serve per ricevere il rimborso
3. 03
   Il codice OTP

   l'ultimo passaggio, quello che autorizza davvero qualcosa

Si comincia con una landing page con i loghi Trenitalia e un pulsante Verifica il tuo indennizzo, che chiede il numero di telefono. Poi appare una schermata con un credito fittizio, e un secondo pulsante: Richiedi il tuo indennizzo. Segue una pagina intitolata Trasferimento su carta, dove vengono chiesti i dati completi della carta di pagamento.

Qui compare il dettaglio che il CSIRT riporta testualmente e che vale la pena rileggere: viene richiesto «un piccolo importo, definito "Quota di verifica", che servirebbe a coprire dei fantomatici costi bancari e di gestione pratica, oltre che a confermare la validità della carta».

Una piccola somma da pagare per ricevere un rimborso più grande. È lo stesso impianto delle truffe che promettono di recuperare soldi già persi: la vittima non sta comprando niente, sta pagando la commissione di un'operazione che nella sua testa è già in suo favore.

L'ultimo passo è quello decisivo. Sempre il CSIRT: «Infine, la vittima viene poi indirizzata verso un'ultima pagina nella quale si richiede l'inserimento del codice OTP ricevuto via SMS». E poi compare un messaggio di verifica scaduta per timeout — che serve a spiegare perché non arriva nessun rimborso, e a far chiudere la pagina senza sospetti immediati.

Perché il codice usa e getta è il punto di rottura

Vale la pena essere precisi, perché è l'unico passaggio in cui la vittima autorizza attivamente qualcosa.

I dati della carta, da soli, oggi non bastano quasi mai: sui pagamenti online europei c'è un secondo fattore, ed è proprio quel codice che la banca manda via SMS. Il codice non conferma l'identità di chi lo digita su una pagina: conferma la specifica operazione che la banca sta chiedendo di autorizzare in quel momento.

Se l'operazione l'ha avviata qualcun altro con i dati appena rubati, il codice che state inserendo autorizza il pagamento di quella persona. Il messaggio della banca in genere lo scrive, importo compreso. È la riga che nessuno legge, perché si sta guardando il numero.

Da qui la regola pratica, che vale ben oltre questo caso: il codice OTP si legge, non si copia. Se il testo del messaggio non descrive l'operazione che state facendo voi, quel codice non va inserito da nessuna parte.

Gli indicatori pubblicati

Il CSIRT Italia pubblica quattro indicatori di compromissione: i domini trenitalia.ink e trenitaly.cloud, più i due URL corrispondenti. Sono nomi che imitano il marchio con due tecniche classiche: un'estensione insolita al posto di quella attesa, e una singola lettera cambiata.

Nessuna delle due tecniche richiede competenza: richiedono che chi guarda l'indirizzo si fermi al pezzo che riconosce. Su uno schermo di telefono, dove la barra degli indirizzi è corta e spesso parzialmente nascosta, è esattamente quello che succede.

Il contesto, senza gonfiarlo

La campagna non nasce il 23 luglio. CERT-AGID, il gruppo di risposta agli incidenti dell'Agenzia per l'Italia digitale, la rileva già nella settimana 4-10 luglio 2026, scrivendo che «l'obiettivo degli attaccanti è impossessarsi del numero di telefono e dei dettagli della carta di credito degli utenti». L'8 luglio la Polizia Postale pubblica un avviso dedicato, aprendo con l'osservazione che «molti lettori ci segnalano» il messaggio. Il 23 luglio arriva l'alert formale del CSIRT, con gli indicatori. La voce viene poi ripresa nella Settimana Cibernetica pubblicata da ACN il 26 luglio.

Per dare un'idea del volume in cui questa campagna si inserisce — e va letto per quello che è, cioè contesto generale e non misura di questa specifica campagna — le sintesi settimanali di CERT-AGID riportano 130 campagne malevole nella settimana 4-10 luglio (98 con obiettivi italiani) e 140 nella settimana 25-31 luglio (94 con obiettivi italiani), con 1.560 indicatori diffusi in quest'ultima.

Cosa fare

Non seguite il link dell'SMS. Se pensate di avere diritto a un indennizzo, apritevi da soli l'app o il sito del vettore e cercatelo lì. Un rimborso vero non scade in dieci minuti.

Nessun rimborso legittimo si paga in anticipo. La «quota di verifica» è il segnale più forte di tutta la catena, ed è quello che si riconosce anche senza sapere niente di informatica: chi vi deve dei soldi non vi chiede prima i vostri.

Leggete il testo del messaggio con il codice. Non solo il numero: la banca scrive che cosa state autorizzando e per quale importo. Se non corrisponde, il codice non va inserito.

Se avete inserito i dati, chiamate la banca adesso e bloccate la carta. Poi conservate gli SMS ricevuti: servono a ricostruire l'orario delle operazioni. La segnalazione si fa alla Polizia Postale, che raccomanda in modo netto di «non comunicare mai dati bancari in risposta a messaggi ricevuti via SMS o e-mail».

Cosa non sappiamo

Nessuna delle fonti ufficiali quantifica vittime o perdite economiche, e nessuna indica un attore o una matrice: la campagna resta non attribuita. Non risulta, in questa verifica, un comunicato ufficiale di Trenitalia o del gruppo FS sulla vicenda — il marchio è la parte lesa dell'abuso, non la fonte di queste informazioni. Va infine detto che gli indicatori pubblicati sono una fotografia del 23 luglio: nelle campagne di questo tipo i domini si sostituiscono in fretta, e l'assenza di un indirizzo dalla lista non è una prova che il messaggio sia autentico.