La tentazione dei 21.980 punti e la trappola del sito clone: l’ultima truffa che sfrutta la Esselunga

29/04/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   Un semplice messaggio che vibra sullo schermo dello smartphone, capace di trasformare un momento di ordinaria amministrazione in un potenziale disastro bancario: questa, in estrema sintesi, la natura della nuova ondata di phishing che sta colpendo i consumatori italiani, prendendo a bersaglio i clienti della nota catena di supermercati. Il raggiro, come spesso accade in queste dinamiche criminali, si annida dietro una promessa tanto allettante quanto falsa, giocando sulla familiarità del marchio e sulla concreta percezione di un vantaggio immediato. Il testo dell’sms recita, in modo apparentemente formale, che l’utente ha accumulato “21.980 punti” sulla propria Carta Fidaty, un tesoretto virtuale che – trasformato in valore reale – può equivalere a oltre duecento euro di spesa o a premi di catalogo non indifferenti, come ingressi a parchi divertimento o elettrodomestici.

L’ingegneria sociale che muove i fili di questa frode è, bisogna riconoscerlo, estremamente efficace. Chi scrive lo fa con la consapevolezza che i punti fedeltà rappresentano per il consumatore un accumulo di valore frutto di sacrifici economici e, aggiungiamolo pure, di una certa fedeltà al punto vendita; pertanto, la prospettiva di vederli scadere, “bruciati” senza averli sfruttati, innesca un meccanismo psicologico di urgenza che offusca la razionalità. Il messaggio invita a cliccare su un link (come nel caso del dominio fasullo “Esselunga.im” o varianti segnalate come “.lol” o “.work”) per “riscattarli subito”. È qui che la trama si infittisce, spostandosi dal piano dell’inganno verbale a quello della clonazione digitale: chi abbocca non viene reindirizzato al portale ufficiale dell’azienda, ma finisce in un sito costruito nei minimi dettagli per somigliare all’originale, dove la richiesta di dati personali e, nei casi più gravi, di informazioni bancarie (spese di spedizione fittizie o verifica conto) è la diretta conseguenza.

Lo spoofing e la maschera della fiducia: come i criminali eludono i primi filtri

Una delle ragioni per cui questa pratica sta mietendo numerose vittime, come dimostrano le segnalazioni raccolte negli ultimi giorni, è la sofisticatezza tecnica con cui i truffatori mascherano la propria identità. Attraverso una tecnica denominata spoofing, gli attaccanti sono in grado di manipolare l’identificativo del mittente, facendo sì che sullo schermo appaia il nome “Esselunga” – o un numero verde simile a quello ufficiale – invece di una sequenza sospetta di cifre. Questa patina di credibilità, unita a un messaggio scritto con una cura formale quasi perfetta (a parte qualche piccolo refuso come “vantaagi” che può sfuggire a una lettura distratta), abbatte i primi muri di difesa della vittima.

La posta in gioco, per i criminali informatici, non è limitata al furto della semplice identità digitale. Una volta in possesso dei dati della carta di credito o delle credenziali di accesso all’home banking (spesso richieste sotto la scusa di un “pagamento minimo per la spedizione” dei punti o un “aggiornamento del metodo di pagamento”), il sito clone diventa una vera e propria porta verso il conto corrente della vittima. In alcuni scenari, chi clicca e fornisce i codici di accesso si ritrova vittima di prelievi non autorizzati o acquisti online effettuati in tempo reale, un furto che talvolta viene scoperto solo quando il saldo punti reale – quello vero – viene controllato alla cassa del supermercato.

Le crepe nell’armatura: i segnali per riconoscere il tentativo di raggiro

Nonostante la precisione della copia, tuttavia, le falle nella messinscena esistono e sono rintracciabili per chi decida di fermarsi un istante prima di interagire con il messaggio. Il campanello d’allarme più evidente risiede nel dominio del link, perché la comunicazione ufficiale di Esselunga è vincolata esclusivamente al dominio “esselunga.it” e a nessun altro; qualsiasi variante come “.im”, “.biz” o “.work” costituisce una prova certa della frode. Molti browser, ormai, hanno implementato sistemi di sicurezza che, se si tenta di aprire queste pagine clone, bloccano la visualizzazione mostrando una schermata rossa che avvisa del pericolo di furto di credenziali; un alert che, troppo spesso, viene erroneamente ignorato perché scambiato per un banale problema tecnico del sito.

Sul piano puramente testuale, è utile osservare la costruzione della frase: l’uso insistito dell’urgenza (“stanno per scadere”, “riscattarli subito”) è una leva commerciale che le aziende serie tendono a utilizzare con cautela e mai tramite sms non richiesti. Inoltre, sebbene i criminali si sforzino di imitare il tono istituzionale, la presenza di refusi grammaticali (come la mancanza di spazi o, appunto, “vantaagi”) rappresenta la crepa definitiva nell’armatura del raggiro.

L’evoluzione dell’esca: una parentesi sulla “Festa della mamma”

Parallelamente al raggiro dei punti, gli stessi circuiti fraudolenti stanno diffondendo una seconda variante dell’inganno, adattata al calendario. In questo caso, l’esca offerta non è rappresentata dai punti in scadenza, bensì da una prepagata da cinquecento euro offerta come omaggio per la Festa della Mamma. Il meccanismo, per quanto riguarda la struttura tecnica della frode, ricalca fedelmente quello dei punti: un messaggio che promette un regalo di alto valore economico in cambio della partecipazione a un sondaggio o, più banalmente, del semplice pagamento di fittizie spese di spedizione.

Questa diversificazione delle esche dimostra una capacità di adattamento contestuale da parte dei truffatori, i quali non si limitano a replicare lo stesso schema ma lo modulano in base all’attualità o alle festività, aumentando così la probabilità che il messaggio catturi l’attenzione del distratto. La presenza di queste due campagne parallele (punti Fidaty e buono Festa della Mamma) aggrava il rischio per i consumatori, moltiplicando i fronti su cui prestare attenzione.

La difesa passiva e la necessità di un’educazione digitale

In assenza di una soluzione tecnica capace di bloccare a monte la ricezione di questi sms (lo spoofing, per sua natura, elude i normali filtri anti-spam), l’unica vera barriera rimane il comportamento individuale. La regola aurea, quella che chiunque dovrebbe interiorizzare, è assoluta: non cliccare mai sul link contenuto in messaggi che promettono premi improvvisi o minacciano la scadenza di benefit. La verifica deve essere sempre attiva e consapevole: aprire il browser autonomamente, digitare il sito ufficiale dell’Esselunga o controllare il saldo punti direttamente tramite l’app ufficiale scaricata dagli store istituzionali, ignorando completamente il percorso suggerito dall’sms.

Qualora, purtroppo, il danno fosse già stato compiuto e i dati fossero stati forniti ai malviventi, l’azione da intraprendere deve essere immediata e priva di tentennamenti. La procedura standard prevede la contestuale richiesta di blocco delle carte al proprio istituto bancario, la modifica delle password dei servizi compromessi e l’attivazione dell’autenticazione a due fattori laddove non fosse già presente; la denuncia alle autorità competenti (come la Polizia Postale) completa il quadro legale, fornendo agli inquirenti elementi utili per risalire ai server che ospitano le pagine fake.