Truffa SMS Trenitalia: il falso rimborso per il treno in ritardo, come funziona e come difendersi
Come funziona la truffa SMS Trenitalia
Il messaggio arriva come SMS, spesso agganciato alla stessa conversazione dei veri SMS Trenitalia già salvati in rubrica, il che lo rende più credibile. Il testo informa di un indennizzo da riscattare per un viaggio passato con ritardo e invita a cliccare su un link che imita il dominio ufficiale.
Esempio reale dell'SMS: promette un indennizzo e rimanda a un dominio che non è quello ufficiale di Trenitalia. Clicca per ingrandire.
Cliccando sul link si apre una pagina che riproduce fedelmente la grafica del sito Trenitalia. Qui viene chiesto di inserire i dati della carta con cui "ricevere" il rimborso: intestatario, numero, scadenza e CVV. Alla fine del modulo compare la richiesta di pagare una piccola somma, in genere 1,50 €, descritta come "quota di verifica".
La pagina clone: logo e layout identici al sito ufficiale, ma il dominio nella barra dell'app di navigazione è diverso. Clicca per ingrandire.
Perché è una truffa al 100%
Due dettagli tradiscono l'inganno in modo inequivocabile. Nessuna azienda di trasporti chiede un pagamento per erogare un rimborso che spetta di diritto: se davvero avessi diritto a un indennizzo, saresti tu a incassare, non a pagare. E per accreditare denaro sulla tua carta non serve mai il CVVLe tre cifre sul retro della carta, pensate per autorizzare pagamenti in uscita. Nessuno lo chiede per farti ricevere soldi.: quel codice serve solo a chi deve spendere il tuo denaro, non a chi te lo deve restituire.
La Polizia Postale ha confermato la campagna, descrivendola come una nuova ondata di smishing che sfrutta un evento plausibile, il ritardo di un treno, per abbassare la guardia di chi riceve il messaggio. Il modulo fraudolento raccoglie prima il numero di telefono, poi i dati completi della carta, infine il pagamento della finta quota: uno schema in tre passaggi pensato per sembrare una normale pratica di rimborso online.
Il legame con il recente data breach Trenitalia
Il tempismo di questa campagna non è casuale. Il 26 giugno 2026 Trenitalia ha comunicato ai clienti coinvolti una violazione dei propri sistemi, con esposizione di dati anagrafici, contatti e dettagli di viaggio legati ai titoli acquistati, ma senza coinvolgimento di credenziali o dati di pagamento. La stessa Trenitalia ha avvertito che chi possiede tratta, data e orario reali di un viaggio può costruire messaggi fraudolenti molto più credibili del solito, la logica dello spear phishingTruffa mirata costruita con dati reali della vittima, che la rende molto più credibile di un messaggio generico..
Nessuna fonte conferma in modo definitivo che questo specifico SMS sia frutto diretto di quel breach, ma il collegamento temporale e logico è stato notato anche dagli osservatori di settore. Ne abbiamo parlato in dettaglio, insieme ad altri due casi della stessa settimana, nell'articolo Trenitalia, Eataly, Consiglio d'Europa: una settimana di attacchi e cosa insegna alle aziende su Alchimie Digitali, con la timeline completa e le implicazioni NIS2 e GDPR.
Truffa vs Trenitalia reale: come distinguerle a colpo d'occhio
| Elemento | SMS truffa | Trenitalia reale |
|---|---|---|
| Richiesta di pagamento per il rimborso | Sì, quota di verifica | Mai richiesto |
| Richiesta del CVV | Sì, nel modulo | Mai richiesto per un accredito |
| Dominio del link | Simile ma non ufficiale | trenitalia.com o app ufficiale |
| Canale di verifica rimborso | Solo link SMS | App, sito, area riservata |
| Urgenza nel messaggio | Spesso presente | Nessuna scadenza forzata |
I numeri dello smishing in Italia
Fonte: Rapporto Annuale 2024 della Polizia Postale e delle Comunicazioni. Le barre rappresentano la variazione percentuale anno su anno, non un valore assoluto comparabile tra loro.
Cosa fare se hai cliccato o inserito i dati
Se hai solo cliccato sul link senza inserire dati, evita di navigare oltre e chiudi la pagina: non digitare nulla nei campi del modulo. Se hai inserito i dati della carta, la priorità è bloccarla subito chiamando il numero verde della tua banca o del circuito di pagamento, prima di fare qualsiasi altra cosa: ogni minuto conta quando i dati sono già nelle mani di terzi.
Dopo aver bloccato la carta, conviene controllare i movimenti recenti e segnalare eventuali addebiti non riconosciuti alla banca, che aprirà una pratica di contestazione. Se sospetti che il link ti abbia anche portato a installare qualcosa sul telefono, o se hai il dubbio più ampio che il dispositivo sia compromesso e non solo la carta, un controllo tecnico dello smartphone può chiarire la situazione prima di procedere con un ripristino che rischia di cancellare le prove utili; ne parliamo anche nella guida su cosa fare se il tuo account WhatsApp risulta compromesso su iPhone, con la stessa logica di agire con metodo prima di resettare.
Infine è utile segnalare l'SMS alla Polizia Postale tramite il portale ufficiale commissariatodips.it, ed eventualmente sporgere denuncia se hai subito un danno economico concreto.
Le persone chiedono anche
Trenitalia manda davvero SMS per gli indennizzi?
Trenitalia gestisce le richieste di indennizzo tramite i canali ufficiali, sito, app e area riservata, non tramite link ricevuti via SMS. Un messaggio non richiesto che rimanda a un modulo di pagamento va considerato sospetto per definizione.
Come faccio a sapere se un link Trenitalia è falso?
Il modo più sicuro è non cliccare affatto il link ricevuto e verificare autonomamente la situazione del proprio viaggio accedendo direttamente all'app o al sito ufficiale digitato a mano, mai tramite il collegamento del messaggio.
Perché i truffatori chiedono un pagamento piccolo come 1,50 euro?
Una cifra bassa abbassa la percezione del rischio e rende più probabile che la vittima proceda senza pensarci troppo. In realtà quel pagamento serve solo a validare la carta e a far inserire il CVV, il vero obiettivo della truffa.
Domande frequenti
Cosa devo fare appena ricevo l'SMS truffa Trenitalia?
Non cliccare sul link, non rispondere al messaggio e segnalalo come spam al tuo operatore telefonico. Se vuoi verificare un eventuale rimborso reale, accedi direttamente all'app o al sito ufficiale Trenitalia digitando l'indirizzo a mano.
Ho già inserito i dati della carta, cosa rischio?
Rischi addebiti non autorizzati sulla carta. Contatta subito la tua banca per bloccarla, controlla i movimenti recenti e segnala qualsiasi transazione che non riconosci. Più agisci in fretta, più si riduce il danno potenziale.
Il pagamento di 1,50 euro viene davvero addebitato?
Sì, ma quel piccolo addebito è solo la parte visibile: inserendo il CVV nel modulo, i criminali ottengono tutti i dati necessari per tentare addebiti successivi ben più consistenti.
Questo SMS è collegato al data breach Trenitalia di giugno 2026?
Non esiste una conferma ufficiale di un collegamento diretto, ma la coincidenza temporale con l'esposizione di dati di viaggio e contatti dei passeggeri rende plausibile che alcuni messaggi risultino più mirati e credibili del solito.
Smishing e phishing sono la stessa cosa?
Sono la stessa tecnica di inganno applicata a canali diversi: il phishing passa da email, lo smishing da SMS o app di messaggistica. Gli obiettivi e i segnali d'allarme da riconoscere restano gli stessi.
Temi che il tuo smartphone sia stato compromesso durante la navigazione?
Se dopo aver cliccato sul link hai notato comportamenti anomali sul telefono, un controllo tecnico può chiarire la situazione prima di qualsiasi ripristino.
Richiedi una verifica dello smartphone