A fine luglio l’UFCS ha lanciato un avviso su un metodo d’attacco che sembra quasi d’altri tempi: criminali che spediscono lettere per posta. Vere lettere di carta con un codice QR, che invitano a installare un presunto aggiornamento di sicurezza per il proprio crypto wallet. Chi ci casca, perde le proprie criptovalute. Tutte quante.
Sembra un problema di nicchia? Non lo è affatto. Il metodo circola a livello internazionale da mesi – e a essere onesti, le sue implicazioni vanno ben oltre il mondo crypto.
Come funziona
Le lettere sono fatte bene. Logo aziendale, indirizzo corretto, layout pulito. Si spacciano per comunicazioni di produttori come Ledger o Trezor – le aziende che fabbricano hardware wallet per criptovalute. Il messaggio: c’è un aggiornamento di sicurezza urgente da installare tramite il codice QR allegato.
Scansionando il codice si atterra su un sito web contraffatto. Lì viene richiesta la recovery phrase – quella sequenza di parole che dà accesso completo al wallet. Inseriscila, e gli aggressori hanno tutto. I soldi sono spariti. Per sempre. Nessun ticket di supporto al mondo li riporterà indietro.
Non è un caso isolato svizzero
L’UFCS reagisce a segnalazioni dalla Svizzera, ma l’ondata di attacchi va avanti a livello internazionale già da parecchio. A giugno 2026, la stessa Ledger aveva avvertito di lettere fisiche che chiedevano un «Post-Quantum Cryptography Security Update» – con tanto di scadenza e tutto il contorno. Anche gli utenti Trezor hanno ricevuto posta falsa. E le lettere erano talmente ben fatte che perfino utenti crypto navigati hanno avuto un momento di dubbio.
Da dove arrivano gli indirizzi? I ricercatori di sicurezza puntano il dito verso la violazione di Global-e. Global-e gestiva le spedizioni per Ledger e aveva accesso agli indirizzi di consegna e ai dati degli ordini. Dopo la fuga di dati nel gennaio 2026, sono comparse lettere localizzate in diversi paesi. Un caso da manuale: una violazione qui porta a un attacco completamente diverso là.
Le dimensioni: secondo CertiK, le perdite da crypto phishing nel solo gennaio 2026 superano i 311 milioni di dollari. Nell’intero 2025, si parla di 17 miliardi. Non è più roba di nicchia.
Perché proprio le lettere?
Perché funzionano. È così semplice.
La maggior parte delle persone ormai è diffidente con le email sospette. Con una lettera? Tutt’altra storia. Un documento stampato su carta intestata dall’aspetto ufficiale ha un’autorità che un’email non avrà mai. Uno pensa: chi si prende la briga di stampare e spedire questa roba se fosse una truffa? Il costo apparente della spedizione funziona come segnale di affidabilità. Furbo, no?
E poi: quando scansioni un codice QR con lo smartphone, non c’è filtro antispam, nessun avviso, nessun link evidenziato in rosso. La maggior parte delle persone tocca e basta. Senza nemmeno dare un’occhiata all’URL.
E – questo è il punto decisivo – le lettere sono mirate. Non un invio di massa a indirizzi a caso, ma posta personalizzata a proprietari di wallet verificati. Questo aumenta la credibilità in modo massiccio.
Cosa c’entra con le PMI?
Più di quanto si pensi. Tre scenari:
Aziende che detengono criptovalute – come mezzo di pagamento, riserva o perché un cliente ha pagato così – sono bersagli diretti. Se c’è un hardware wallet in ufficio, servono processi documentati per gestirlo. Nei nostri assessment vediamo regolarmente aziende dove la recovery phrase è attaccata su un Post-it allo schermo. Non sto scherzando.
Poi ci sono i collaboratori che possiedono crypto a titolo privato e aprono una di queste lettere al lavoro. Magari scansionano il codice QR sul telefono aziendale. Anche se l’azienda non ha nessun legame con le crypto: una pagina di phishing aperta su un dispositivo aziendale può diventare un problema di tutti.
E poi c’è il trasferimento del metodo – ed è questo l’aspetto davvero preoccupante. Le lettere fisiche con codice QR non funzionano solo per le criptovalute. La stessa identica tattica si applica senza problemi a banche, assicurazioni, enti pubblici o fornitori di software. In Svizzera, dove le fatture QR fanno parte della vita quotidiana e quasi nessuno controlla l’URL prima di scansionare, la soglia è particolarmente bassa.
Cosa fare
La regola più importante per prima: nessun produttore serio di wallet chiede la recovery phrase per lettera, email o sito web. Mai. In nessuna circostanza. Chi interiorizza questo è protetto contro questo specifico attacco.
Ma il principio va oltre. I codici QR nella posta non richiesta meritano la stessa diffidenza dei link nelle email sconosciute. Controllare l’URL prima di scansionare – meglio ancora: aprire direttamente il sito del produttore nel browser e verificare lì se c’è davvero un aggiornamento.
Le aziende con crypto asset hanno bisogno di una governance documentata. Chi ha accesso al wallet? Dove si trova la recovery phrase? Come vengono autorizzate le transazioni? Gli hardware wallet vanno in cassaforte, le recovery phrase in un posto separato. Sembrano basi elementari – ma continuiamo a vedere che proprio queste mancano.
E al prossimo training di sensibilizzazione? Mettere in agenda anche la cassetta delle lettere fisica. Non solo la posta in arrivo digitale.
La lezione più ampia
La lettera fisica con codice QR funziona come attacco perché sfrutta un mezzo di cui ci fidiamo ancora. La lezione per le aziende è semplice: la consapevolezza della sicurezza non finisce con l’email. Ogni richiesta non sollecitata di inserire credenziali o installare software merita una pausa e una verifica incrociata. Che arrivi per email, telefono, WhatsApp o posta.
Nei nostri assessment di social engineering testiamo anche vettori d’attacco fisici – lettere manipolate, chiavette USB lasciate in giro, penetration test in loco. Sembra esotico, ma colpisce nel segno con sorprendente regolarità. Se volete sapere come reagiscono i vostri collaboratori a questi scenari: contattateci.
Fonti e approfondimenti: UFCS Incidenti attuali, CryptoTimes: Ledger avverte su phishing postale, BleepingComputer: Attacchi crypto via posta, Hackread: Phishing Ledger Seed Phrase