Phishing per posta
Il phishing arriva di solito via email o SMS, ma da poco i truffatori hanno iniziato a servirsi di un canale che la maggior parte delle persone non ha nemmeno sul radar: la buona vecchia posta tradizionale. Il BACS ha recentemente avvertito di lettere false contenenti un codice QR, apparentemente inviate da un fornitore di crypto wallet, in cui la lettera chiede di scansionare il codice QR per eseguire un “aggiornamento urgente” del portafoglio.
Sembra assurdo, ma funziona lo stesso perché le lettere fisiche portano con sé una certa autorità che un’email semplicemente non riesce a eguagliare (quando è stata l’ultima volta che avete buttato via una lettera senza leggerla?).
Come funziona l’attacco
La lettera ha un aspetto professionale e afferma che il crypto wallet debba essere aggiornato per motivi di sicurezza, con un codice QR nella lettera che porta a un sito di phishing che somiglia in modo impressionante al sito del vero fornitore di wallet.
Lì viene chiesto di inserire la recovery phrase – ossia quelle 12 o 24 parole con cui si può ripristinare il proprio wallet – e chi lo fa si trova davanti a un problema serio, perché con la recovery phrase gli aggressori possono assumere il controllo completo del wallet, dopodiché tutte le criptovalute vengono trasferite su altri wallet nel giro di pochi minuti. La parte insidiosa è che non viene sfruttata nessuna vulnerabilità tecnica, ma è l’utente stesso che inserisce le sue credenziali volontariamente, o almeno crede di farlo.
Non la prima truffa con QR code
Il trucco con i codici QR falsi nel mondo fisico non è affatto nuovo, dato che già a giugno 2026 il BACS aveva avvertito di avvisi di ritiro della Posta falsificati, dove i truffatori inserivano cartoncini gialli “Avis de passage” nelle cassette postali con un codice QR che portava a un sito web della Posta falso. Lì venivano raccolti dati personali e informazioni sulle carte di credito, mascherati come una piccola tassa di consegna di ca. 2-4 franchi.
All’epoca il fenomeno era concentrato sopratutto nella Svizzera occidentale, ma la variante crypto ora appare in tutta la Confederazione.
Perché la posta fisica
Il phishing via email viene rilevato sempre meglio, i filtri antispam intercettano gran parte dei messaggi sospetti e la gente è (si spera) diventata più attenta, il che significa che una lettera fisica aggira tutti questi meccanismi di protezione completamente: nessun filtro spam, nessun avviso “sospetto” nella casella di posta, nessun link su cui passare il mouse per controllare l’URL prima di cliccare.
In più, chi riceve una lettera tende a prenderla più seriamente di un’email, cosa che è comprensibile dal punto di vista psicologico ma è anche esattamente quello che gli aggressori sfruttano…
Protezione
Nessun fornitore di wallet serio invia lettere chiedendo di inserire la recovery phrase, perché la recovery phrase appartiene esclusivamente al proprietario e non va mai, in nessun caso, inserita da nessuna parte online (con l’unica eccezione della configurazione iniziale del wallet su un nuovo dispositivo).
Se ricevete una lettera del genere, buttatela semplicemente via, e se non siete sicuri che una lettera possa essere autentica, andate direttamente al sito ufficiale del fornitore nel browser – non tramite il codice QR.
Se volete testare la vostra organizzazione contro questi attacchi di social engineering: è esattamente quello che facciamo.
Dettagli sull’avvertimento del BACS.
E se la prossima lettera di phishing arriverà per raccomandata…