Mi è bastato vedere una sola volta una persona perdere l’intero saldo della propria Postepay perché aveva cliccato un link “promozione esclusiva” arrivato via SMS, per capire una cosa: il bookmaker ADM, di per sé, è raramente l’anello debole della catena. L’anello debole è il giocatore, ed è la frazione di secondo in cui legge un messaggio scritto bene, vede il logo familiare, vede il dominio quasi identico a quello vero, e abbassa la guardia.
La sicurezza di Postepay sui siti scommesse non è un’astrazione teorica. È una serie di abitudini concrete, di verifiche da fare prima di cliccare, di numeri da conoscere per capire la dimensione reale del problema. In questa guida non parlo di paura — la paura paralizza e non protegge — ma di consapevolezza. Se sai cosa stanno cercando i truffatori, riconosci la trappola tre secondi prima di entrarci dentro, e quei tre secondi sono tutto.
I dati italiani aiutano a inquadrare il fenomeno: il livello di rischio è gestibile, ma non trascurabile. Ogni anno cresce, e cresce nelle aree dove i giocatori sono meno attenti. Vediamo cosa dicono le rilevazioni di Banca d’Italia e ADM, dove si annida davvero il phishing dedicato agli scommettitori, e come distinguere un dominio bookmaker autentico da una sua copia.
I numeri di Banca d’Italia sulle frodi 2024: la fotografia che pochi conoscono
Nel 2024 in Italia le transazioni fraudolente con moneta elettronica — categoria che include in larga parte le carte prepagate come Postepay — sono ammontate a 13,1 milioni di euro, in crescita del 35% su base annua. Tredici milioni di euro: una cifra grande in assoluto, piccola se rapportata ai volumi totali transati con prepagate (33,6 milioni di carte prepagate in circolazione, con un aumento delle operazioni del 13%), ma significativa per la tendenza.
Le transazioni fraudolente complessive con carte di pagamento (tra persone fisiche) emesse da PSP italiani nel 2024 sono state pari a 33 milioni di euro, in crescita del 4%. La crescita più rapida è proprio sulla moneta elettronica, e c’è un motivo strutturale: le carte prepagate sono mediamente più esposte agli attacchi mirati ai pagamenti online, perché vengono usate spesso da utenti che non hanno un rapporto bancario tradizionale solido alle spalle e hanno meno strumenti di protezione integrati.
Il dato preoccupante non è il valore assoluto, è la specializzazione delle truffe. Negli ultimi due anni gli attaccanti hanno smesso di sparare a caso e hanno iniziato a profilare le vittime: ti mandano un messaggio che parla del bookmaker che usi davvero, in un orario in cui sai che ci sono partite, con un linguaggio che imita esattamente quello del concessionario reale. Per capire questa evoluzione, basta vedere quanto è cresciuta la quota di traffico sportivo online: la raccolta delle scommesse sportive a quota fissa su eventi reali tramite canale telematico in Italia ha raggiunto 13.905,55 milioni di euro nel 2025, e dove gira il denaro, gira anche chi prova a sottrarlo.
Una cosa importante. I rimborsi per frodi su Postepay esistono, ma non sono automatici. Se dimostri di non aver autorizzato la transazione e di aver agito con la diligenza richiesta — non aver condiviso PIN, non aver dato il CVV in chiaro, non aver cliccato volontariamente su link sospetti — Poste Italiane apre una pratica di rimborso che richiede tempo. Tipicamente da poche settimane a qualche mese. Nel frattempo, i soldi non ci sono.
Phishing dedicato agli scommettitori: come riconoscere i tre tipi più comuni
Una cosa che ho imparato facendo questo lavoro è che i truffatori conoscono il calendario sportivo meglio di alcuni tifosi. Sanno che la sera prima di un derby, di una semifinale di Champions League, di un Mondiale, le persone sono distratte, eccitate, propense a cliccare. È in quei giorni che l’industria del phishing sportivo lavora a pieno ritmo. Vediamo i tre schemi più frequenti che ho visto colpire utenti Postepay.
Schema numero uno, il “bonus speciale”. Ricevi un SMS o un’email che dice qualcosa tipo: “Speciale evento del weekend: 50 euro di bonus accreditati sul tuo conto, conferma cliccando qui”. Il link porta a un sito che assomiglia tantissimo al bookmaker che usi davvero, ma che non è quello. Ti chiede di “verificare” il tuo account inserendo username, password, e — punto critico — i dati della Postepay per ricevere il bonus. Una volta inseriti, vengono usati per fare un addebito sulla tua carta sul sito reale. Tu vedi solo dopo, quando arriva la notifica.
Schema numero due, l'”urgenza di sicurezza”. Un SMS che dice: “La tua Postepay risulta sospesa per un’operazione anomala su un sito di gioco. Sblocca cliccando qui entro 24 ore”. Anche qui, dominio falso, form di “verifica” che chiede dati Postepay completi. La leva tecnica è la paura: se non agisci subito, perdi accesso alla carta. Ovviamente è il contrario.
Schema numero tre, il “supporto tecnico falso”. Una persona ti chiama dicendo di essere un operatore Poste Italiane, oppure del bookmaker, e ti spiega che c’è un problema che richiede la lettura del CVV o di un OTP. Poste Italiane non chiama mai per chiedere il CVV, e nessun bookmaker italiano ADM lo fa. Se ricevi una chiamata simile, è una truffa, indipendentemente da quanto convincente sia la voce dall’altra parte.
Il filo conduttore di tutti e tre gli schemi è la stessa cosa: ti chiedono dati che, in un’interazione legittima, non vengono mai chiesti. Il dominio Postepay non manda link via SMS che richiedono di inserire il PAN. Il bookmaker non manda email “di servizio” che richiedono il CVV. Quando vedi questi pattern, devi pensare un’unica cosa: è un tentativo di frode.
Verificare il dominio del bookmaker: la checklist per essere certi che sia ADM
Il rischio peggiore è inserire i dati Postepay su un sito che assomiglia a un bookmaker autorizzato ma non lo è. Nel 2024 ADM ha inibito 721 siti web illegali, contro i 490 del 2020: la curva è in crescita perché l’industria del gioco online “in nero” continua a moltiplicare le sue vetrine, e ogni vetrina è un potenziale catturatore di carte di pagamento.
La prima verifica è il dominio nella barra dell’indirizzo. Dopo il riordino concessorio del 13 novembre 2025, ogni concessionario può operare con un solo sito ufficiale, e l’elenco completo dei domini autorizzati è pubblicato sul sito di ADM. Se stai per fare un deposito, prima controlla che il dominio nella barra del browser corrisponda esattamente al sito ufficiale del concessionario di riferimento. Differenze di una sola lettera (esempio: “lottomatic-a.it” invece di “lottomatica.it”) sono il modus operandi standard del phishing per puntare a giocatori sbadati.
La seconda verifica è il certificato HTTPS. Il browser deve mostrare il lucchetto chiuso accanto all’indirizzo, e se clicchi sul lucchetto deve mostrare un certificato valido intestato al concessionario. I siti truffa usano sempre più spesso certificati HTTPS validi (sono economici e si ottengono in pochi minuti) ma il certificato è intestato a entità sconosciute o a domini privati senza ragione sociale del bookmaker. Una verifica di trenta secondi che vale tutto.
La terza verifica è il riferimento alla concessione ADM. Sul fondo della home page del bookmaker, in genere nel footer, deve essere riportato il numero di concessione GAD. È un numero alfanumerico che identifica univocamente il concessionario. Puoi confrontarlo con l’elenco ufficiale ADM. Se non c’è, o se il footer è generico e non riporta riferimenti a Poste e ADM, è un sito da abbandonare immediatamente.
La quarta verifica, non sempre praticata ma utile, è l’ID del sito nel browser. Visita la pagina ADM “Lista concessionari online” e digita il dominio del sito che stai per usare. Se compare nell’elenco autorizzato, è un bookmaker reale; se non compare, ha qualcosa di sbagliato e va evitato.
Cosa fare nelle prime 12 ore se sospetti una frode sulla Postepay
Se ti accorgi di un addebito che non riconosci, di un tentativo di phishing che hai purtroppo seguito, o anche solo di una transazione che ti sembra strana, le prime 12 ore sono cruciali. Le azioni in questa finestra determinano se la pratica di rimborso ha buone probabilità di andare a buon fine, oppure se i soldi sono persi.
Prima azione: bloccare la carta. Si fa dall’app Postepay, in due tocchi, con conferma biometrica. Il blocco è effettivo nel giro di pochi secondi e impedisce qualsiasi nuova transazione. Lo dico in modo molto netto: prima di tutto blocca, poi capisci. Mentre tu cerchi di ricostruire l’accaduto, l’attaccante può continuare a fare addebiti.
Seconda azione: contattare Poste Italiane. Il numero verde per il blocco e la denuncia di frode è disponibile 24 ore al giorno. Comunichi quello che è successo, ti viene aperto un ticket, ti vengono dati i moduli da compilare. È importante avere subito a portata di mano l’estratto delle ultime transazioni, gli SMS sospetti se li hai ancora, gli URL dei siti che hai visitato. Tutto materiale che servirà per la ricostruzione.
Terza azione: denuncia formale. La denuncia alle forze dell’ordine — Polizia Postale, in primis — è obbligatoria per attivare il rimborso. Si può fare online sul portale della Polizia di Stato, oppure di persona in un commissariato. La denuncia è uno strumento legale: identifica te come parte lesa, attiva l’indagine penale, e fornisce a Poste la base normativa per istruire il rimborso.
Quarta azione: cambiare le password. Se l’attaccante ha avuto accesso a credenziali del bookmaker, cambia immediatamente la password del conto gioco e abilita l’autenticazione a due fattori se non era già attiva. Se hai usato la stessa password su altri siti — abitudine sbagliata, ma molto diffusa — cambia anche quelle. Le credenziali rubate vengono spesso vendute nei mercati sotterranei e usate a distanza di settimane.
L’ultimo consiglio è preventivo: tieni separate le carte. La Postepay che usi per i bookmaker non dovrebbe essere la stessa che usi per acquisti quotidiani. Una seconda carta — magari una Digital che attivi e ricarichi solo per le scommesse — è la barriera più semplice contro la propagazione di una frode. Se la carta dedicata viene compromessa, il danno si ferma lì.
Quando una Postepay funziona regolarmente ma il deposito viene rifiutato, il problema raramente è la frode: in molti casi è una restrizione interna che si risolve con qualche passaggio specifico. Capire i motivi di un rifiuto è il passo successivo, e la gestione di una Postepay rifiutata sui siti scommesse ha procedure ben definite.