La lunga mano del phishing: falso sms di Esselunga promette 21.980 punti per svuotare il conto

29/04/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   Milano. Non servono chissà quali doti da infiltrato per scalfire la superficie digitale della nostra quotidianità; basta a volte un messaggio che vibra sullo schermo dello smartphone, apparentemente rassicurante nella sua grafica banale, per aprire un varco insospettabile nelle difese di chiunque. In queste ultime ore – a giudicare dalla mole di segnalazioni che impazza sui portali di settore – la tecnica del raggiro ha assunto le sembianze di una notifica della Esselunga, quella della Carta Fidaty per capirci, la quale annuncia con tono quasi familiare l’accumulo di 21.980 punti in scadenza. Una cifra, questa, studiata con cura maniacale: perché tradotta in premi concreti, dal trolley Samsonite ai famosi ingressi alle terme di Bormio o a Gardaland, vale diverse centinaia di euro di spesa, un tesoretto che nessuno vuole veder svanire nel nulla.

Lo specchietto delle allodole digitali

Il raggiro si annida proprio lì, in quella finestrella temporale che si apre tra la lettura del messaggio e l’istinto di preservare un credito maturato. Il testo del falso sms è curato e, particolare non trascurabile, sfrutta lo spoofing per far sì che il nome del mittente compaia in rubrica come “Esselunga” senza alcun numero anomalo. L'inghippo scatta quando il malcapitato clicca sul link proposto: niente riscatto, però. Si viene invece reindirizzati verso un sito clone, una copia perfetta – loghi, colori, caratteri – del portale ufficiale della catena. È lì, fingendo di dover liquidare le spese di spedizione del premio o di aggiornare i dati per l’accredito, che i pirati informatici pescano a mani basse i dati personali e, nella variante più aggressiva dell’operazione, le coordinate delle carte di credito.

La grammatica dell’inganno

Non che manchino i classici “segnali rivelatori”, per quanto a volte sussurrati. Osservando con attenzione la stringa del link – un esercizio che i più trascurano nell’urgenza di non perdere i punti – si nota subito l’anomalia nel dominio: non ci si trova sul classico “esselunga.it”, bensì su ibridi sofisticati come “Esselunga.im” o “Esselunga.lol”, territori di nessuno dove i browser lanciano alert di sicurezza. C’è poi un refuso sottile, quasi un marchio di fabbrica di questa specifica campagna: la parola “vantaggi” che diventa “vantaagi” nel del testo, una svista che una comunicazione ufficiale – si sa – difficilmente si permetterebbe. Eppure, è proprio la pressione psicologica a fare la differenza: quei “21.980 punti in scadenza” rappresentano una leva emotiva violentissima, che spinge a bypassare ogni filtro razionale pur di non gettare alle ortiche il malloppo.

Le contromisure sul campo

La catena di supermercati, dal canto suo, ha già attivato da tempo una sezione dedicata alle frodi sul proprio sito istituzionale, invitando i clienti a consultarla prima di qualsiasi operazione sospetta. La regola aurea, in questi casi, rimane quella di non interagire mai con il link ricevuto: verificare l’effettivo saldo punti significa aprire l’app ufficiale dell’Esselunga o digitare manualmente l’indirizzo nel browser, ignorando le scorciatoie. Chi fosse incappato nel raggiro e avesse già digitato i codici della propria carta o – peggio – gli otp di conferma, deve mettere in conto un’azione fulminea: contattare subito l’istituto di credito per il blocco degli strumenti di pagamento e sporgere denuncia alle forze dell’ordine, possibilmente alla Polizia Postale, che sta monitorando il fenomeno. L’asticella della fiducia, in un ecosistema dove i confonditori sofisticano continuamente le maschere, si alza così: diffidare anche di ciò che sembra un premio insperato, perché troppo spesso quello "sconto" si rivela il prezzo da pagare per un conto corrente in mano altrui.