Truffa ricarica PostePay: come funziona e come difendersi nel 2026

La truffa della ricarica PostePay è una delle frodi online più persistenti e diffuse in Italia. Pur essendo un raggiro noto da oltre dieci anni, continua a colpire migliaia di persone ogni anno — venditori privati su Subito.it, Facebook Marketplace, Vinted o Kijiji — con danni economici che secondo le stime della Polizia Postale oscillano tra i 500 e i 4.000 euro per singolo episodio, ma in alcuni casi superano i 10.000 euro quando il truffatore riesce a far ripetere l’operazione più volte.

In questa guida aggiornata al 2026 vediamo nel dettaglio come funziona la truffa, quali sono le sue varianti più recenti, cosa dice la legge sulla recuperabilità del denaro e come difendersi efficacemente. Affrontiamo anche un aspetto spesso trascurato: le stesse tecniche di social engineering usate contro i privati vengono oggi sfruttate per colpire le aziende, attraverso ricariche fraudolente di carte aziendali e finte fatture Postepay.

1. Truffa ricarica PostePay: come funziona
2. Le due varianti classiche: finto compratore e finto venditore
3. Truffe PostePay 2026: oltre la ricarica
4. Perché PostePay è particolarmente sfruttata dai truffatori
5. Cosa dice la legge: è possibile recuperare i soldi?
6. Cosa fare se sei stato vittima della truffa
7. Come difendersi: le regole d’oro
8. Truffe PostePay e mondo aziendale

Truffa ricarica PostePay: come funziona

La truffa della ricarica PostePay è una frode che sfrutta la fiducia delle persone e la facilità con cui è possibile ricaricare una carta Postepay presso qualsiasi sportello Postamat. Il meccanismo è sempre lo stesso: il truffatore convince la vittima — quasi sempre un venditore privato online — a recarsi a uno sportello Postamat e seguire telefonicamente le sue istruzioni, con la promessa di un pagamento che in realtà non avverrà mai.

Il punto critico è che la vittima, anziché ricevere il denaro, finisce per ricaricare la carta del truffatore. Le istruzioni telefoniche vengono presentate come la “procedura per incassare il bonifico”, ma in realtà guidano l’utente a effettuare un’operazione di ricarica verso una carta intestata a terzi (o a un prestanome). Una volta completata l’operazione, il truffatore preleva immediatamente la somma e rende impossibile il rintraccio.

PostePay è particolarmente sfruttata da queste frodi perché, a differenza di carte legate a circuiti internazionali come Visa o Mastercard, presenta caratteristiche tecniche che rendono la transazione istantanea, irreversibile e difficile da tracciare: ne parliamo nel dettaglio più avanti.

Le due varianti classiche: finto compratore e finto venditore

La truffa della ricarica PostePay si presenta in due varianti speculari, accomunate dalla stessa tecnica psicologica ma con ruoli invertiti.

Variante 1 — Il finto compratore

È la versione più diffusa e colpisce chi ha pubblicato un annuncio di vendita online. Il truffatore si finge interessato all’oggetto, contratta brevemente sul prezzo o accetta subito, e poi propone di pagare tramite “ricarica PostePay allo sportello Postamat”. Convince la vittima a recarsi fisicamente a un Postamat e, durante una telefonata, le detta passo per passo le operazioni da fare al terminale. Il venditore, convinto di stare ricevendo un accredito, in realtà ricarica la carta del truffatore.

In questa variante il truffatore preferisce essere contattato da venditori residenti in città diverse dalla propria, in modo da rendere impossibile uno scambio dal vivo e mantenere la trattativa sempre a distanza.

Variante 2 — Il finto venditore

La variante inversa colpisce gli acquirenti. Il truffatore pubblica un annuncio per un oggetto che in realtà non possiede (spesso a un prezzo molto vantaggioso) e chiede di anticipare il pagamento o un acconto tramite ricarica PostePay. Una volta ricevuti i soldi, il truffatore sparisce: nessuna spedizione, nessun oggetto, numero telefonico irraggiungibile. È particolarmente diffusa per beni stagionali (biglietti per concerti, prodotti elettronici, immobili in affitto, biciclette elettriche).

Una tecnica psicologica ricorrente in entrambe le varianti è la richiesta di ripetere l’operazione una seconda volta: il truffatore sostiene che “la prima ricarica non è andata a buon fine” e convince la vittima a ricaricare di nuovo. Sono stati documentati casi in cui il raggiro è stato ripetuto fino a dieci volte sulla stessa persona.

Truffe PostePay 2026: oltre la ricarica

Negli ultimi anni la truffa della ricarica PostePay si è evoluta e ha generato nuove varianti, sfruttando i canali di comunicazione più moderni e tecniche di phishing sempre più sofisticate. Conoscerle è il primo passo per riconoscerle in tempo.

Smishing PostePay: il finto SMS di Poste Italiane

Una delle frodi in maggiore crescita nel 2025-2026 è lo smishing PostePay: la vittima riceve un SMS che sembra provenire da Poste Italiane, segnalando un presunto blocco della carta, un accesso anomalo o la necessità di “verificare l’identità”. Il messaggio contiene un link a una pagina di login contraffatta che imita perfettamente il portale ufficiale di Poste Italiane. Una volta inserite credenziali e codice OTP, i truffatori prendono il controllo della carta e prosciugano il saldo in pochi minuti.

I numeri mittenti utilizzati per questi SMS spesso appaiono sotto nomi come “Poste”, “PosteInfo”, “PostePay”: si tratta di tecniche di sender ID spoofing che permettono ai criminali di far apparire l’SMS nella stessa conversazione delle comunicazioni ufficiali di Poste Italiane, aumentando enormemente la credibilità.

Finto operatore Poste al telefono

Questa variante colpisce chi ha appena ricevuto un SMS di smishing o un’email di phishing. Il truffatore chiama la vittima fingendosi un operatore Poste Italiane, comunicando che sono state rilevate “operazioni sospette” e che è necessario “bloccare la carta” o “trasferire il saldo su una carta sicura”. Il vero obiettivo è ottenere codici OTP, dati della carta o convincere la vittima a effettuare un trasferimento verso un IBAN o una PostePay controllata dai truffatori.

Il numero da cui parte la chiamata può essere falsificato (caller ID spoofing) per apparire come il numero ufficiale di Poste Italiane.

Truffa del rimborso e della “PostePay omaggio”

Variante via email o messaggio WhatsApp: la vittima riceve la comunicazione di un “rimborso in attesa” o di una “PostePay omaggio” attivata sul proprio nome. Per ricevere l’importo, viene chiesto di cliccare un link, fornire i dati della carta o pagare una piccola “commissione di sblocco” tramite ricarica.

Truffe BEC su carte Postepay aziendali

Le PMI italiane che utilizzano carte PostePay aziendali per piccole spese sono diventate target di attacchi BEC (Business Email Compromise): i truffatori, dopo aver compromesso una casella email aziendale, inviano false richieste di ricarica al personale amministrativo, imitando email del titolare o del CEO. Trattandosi spesso di importi piccoli (poche centinaia di euro), passano sotto i radar dei controlli ordinari ma si sommano in danni significativi nel tempo.

Perché PostePay è particolarmente sfruttata dai truffatori

PostePay è la carta prepagata più diffusa in Italia: oltre venti milioni di carte attive e una capillarità di sportelli Postamat che non ha eguali nel paese. Proprio queste caratteristiche, che ne fanno uno strumento di pagamento comodo e popolare, la rendono anche particolarmente esposta alle frodi. Vediamo i tre motivi principali.

Transazione istantanea e irreversibile. Una ricarica PostePay viene accreditata sulla carta destinataria nel giro di pochi secondi. A differenza di un bonifico bancario tradizionale, che può essere richiamato entro alcune ore o giorni, la ricarica è tecnicamente impossibile da revocare una volta confermata. Il truffatore può prelevare l’importo immediatamente.

Anonimato relativo. La PostePay standard (la versione gialla) non richiede l’apertura di un conto corrente né documenti particolari per essere attivata. Le bande criminali utilizzano carte intestate a prestanome o a identità false, cambiandole frequentemente. Anche quando le forze dell’ordine riescono a risalire all’intestatario, spesso non c’è alcun legame reale con il truffatore.

Accessibilità capillare. Gli sportelli Postamat sono presenti in ogni piccolo comune italiano. Questo permette alle vittime di “completare la truffa” in pochi minuti, ovunque si trovino, senza tempo per ripensarci o consultare qualcuno di fiducia. Il fattore tempo è decisivo: una telefonata insistente che spinge la vittima a “fare subito l’operazione” è la condizione ottimale per la riuscita del raggiro.

Cosa dice la legge: è possibile recuperare i soldi?

La domanda che ogni vittima si pone immediatamente è: posso annullare la ricarica e recuperare i soldi? La risposta, purtroppo, è quasi sempre negativa.

Una volta confermata l’operazione al Postamat, la ricarica viene accreditata sulla carta destinataria istantaneamente. Non esiste alcun meccanismo tecnico per stornarla, né da parte di Poste Italiane né da parte delle autorità. L’unica possibilità — molto rara — è quando la denuncia viene presentata entro pochi minuti dall’operazione e il truffatore non ha ancora prelevato la somma: in casi eccezionali è stato possibile bloccare la carta destinataria su disposizione della Polizia Postale, ma si tratta di episodi sporadici.

La giurisprudenza italiana ha consolidato questo principio con una sentenza della Cassazione Penale (sez. II, n. 23781/2020), che afferma chiaramente:

«In caso di accredito su carta di pagamento ricaricabile, il tempo e il luogo di consumazione del reato sono quelli in cui la persona offesa ha proceduto al versamento del denaro sulla carta, poiché tale operazione ha realizzato contestualmente sia l’effettivo conseguimento del bene da parte dell’agente, che ottiene l’immediata disponibilità della somma versata, sia la definitiva perdita dello stesso bene da parte della vittima.»

In altre parole: nel momento esatto in cui la vittima conferma la ricarica al Postamat, il reato è già consumato e il denaro è già perduto. Tutto quello che si può fare successivamente è denunciare l’accaduto per contribuire alle indagini e tentare il risarcimento in sede penale, ma il recupero materiale della somma è estremamente raro.

Cosa fare se sei stato vittima della truffa

Se hai appena scoperto di essere stato truffato, agire rapidamente è essenziale. Anche se il recupero del denaro è improbabile, ci sono passaggi importanti da compiere sia per limitare i danni che per contribuire alle indagini.

1. Contatta immediatamente Poste Italiane. Chiama il numero 800.003.322 (assistenza Postepay) e segnala l’operazione fraudolenta. In casi rari, se il truffatore non ha ancora prelevato la somma e la denuncia parte molto rapidamente, può essere disposto un blocco precauzionale della carta destinataria.

2. Sporgi denuncia alla Polizia Postale. La denuncia si presenta presso qualsiasi commissariato di Polizia oppure online sul portale ufficiale Commissariato di P.S. Online. La truffa è un reato procedibile su querela di parte, quindi è necessario presentare formale querela entro tre mesi dalla data del fatto. Trascorso questo termine, l’autore non è più perseguibile penalmente.

3. Raccogli e conserva tutte le prove. Screenshot della conversazione (chat dell’annuncio, SMS, email, WhatsApp), numero di telefono del truffatore, ricevuta dell’operazione al Postamat, eventuali nomi e cognomi indicati. Tutto questo materiale è fondamentale per la denuncia e per il successivo procedimento penale.

4. Segnala alla piattaforma di compravendita. Se il primo contatto è avvenuto attraverso Subito.it, Facebook Marketplace, Vinted o altri portali, segnala l’utente truffatore al servizio assistenza. Il profilo verrà bloccato e l’azione contribuirà a proteggere altri potenziali bersagli.

5. Costituirsi parte civile. Una volta avviato il procedimento penale, è possibile costituirsi parte civile per chiedere il risarcimento dei danni subiti. Anche se il recupero economico è raro (i truffatori operano spesso da reti criminali senza beni intestati), l’azione legale ha valore di principio e contribuisce a tracciare l’organizzazione criminale.

6. Avvisa la tua banca. Se hai fornito al truffatore dati personali come codice fiscale, copia del documento o IBAN, contatta la tua banca per attivare i monitoraggi antifrode su eventuali tentativi di addebito SEPA non autorizzati.

Come difendersi: le regole d’oro

La regola fondamentale per evitare la truffa della ricarica PostePay è una sola: nessun bonifico, accredito o pagamento in arrivo richiede mai un’operazione attiva da parte del destinatario presso un Postamat. Se ti chiedono di andare a uno sportello per “ricevere” o “sbloccare” un pagamento, è una truffa. Sempre.

Oltre a questa regola d’oro, ci sono altri segnali d’allarme che permettono di riconoscere il tentativo di truffa fin dal primo contatto.

Diffida di chi è troppo interessato. Un acquirente vero contratta sul prezzo, fa domande sull’oggetto, chiede di vederlo. Chi accetta subito senza obiezioni e mette fretta è quasi sempre un truffatore.

Diffida di chi propone metodi di pagamento insoliti. Le ricariche PostePay come metodo di pagamento per una vendita tra privati sono una rarità nel mondo reale. La maggior parte degli acquirenti seri preferisce PayPal, bonifico tracciato o pagamento in contanti dal vivo.

Preferisci il pagamento dal vivo quando possibile. Per oggetti di valore contenuto e venduti localmente, lo scambio in contanti faccia a faccia resta il metodo più sicuro in assoluto. Per oggetti più costosi o spediti, usa PayPal con la modalità “beni e servizi” o piattaforme con sistema di pagamento integrato (come TuttoSubito di Subito.it).

Attento alle anomalie nelle telefonate. Se la chiamata presenta ritardi anomali, eco, o squilli diversi dal solito, potrebbe essere un VoIP da un numero geografico virtuale: tecnica frequente nei call center di truffatori che operano da paesi esteri.

Verifica le immagini dell’annuncio. Usa la ricerca per immagini di Google: se la foto dell’oggetto in vendita compare già su altri siti o annunci, l’inserzione è quasi certamente falsa.

Diffida dell’urgenza artificiale. “Vengono altri compratori a vederla”, “devo partire stasera”, “se non concludiamo subito vado da un altro”: l’urgenza è il principale strumento dei truffatori per impedire alla vittima di riflettere.

Mai fornire codici OTP, password o credenziali al telefono. Nessun operatore Poste Italiane, nessuna banca, nessun gestore di servizi finanziari chiederà mai questi dati per telefono o via email. Se ti vengono chiesti, è phishing.

Verifica i numeri di telefono. Prima di rispondere a un SMS sospetto, controlla il numero su Google: spesso quei numeri sono già segnalati in elenchi pubblici di truffe. Per i numeri ufficiali di Poste Italiane fai sempre riferimento al sito poste.it, mai a numeri ricevuti in messaggi.

Truffe PostePay e mondo aziendale: una minaccia sottovalutata

La truffa della ricarica PostePay viene quasi sempre raccontata come un problema dei privati che vendono su Subito.it. In realtà, le stesse tecniche di social engineering — urgenza simulata, finte autorità, richieste di operazioni rapide su carte prepagate — vengono usate quotidianamente contro le aziende italiane, con conseguenze economiche spesso molto più gravi.

BEC e false richieste di ricarica. Quando una casella email aziendale viene compromessa (attraverso phishing o credenziali rubate), i truffatori inviano al personale amministrativo finte richieste di ricarica PostePay, imitando email del titolare o del responsabile finanziario. La richiesta è sempre piccola, urgente, plausibile (“ricarica subito 500 € sulla carta del cliente X per chiudere l’ordine”), e proprio per questo passa sotto i radar.

False fatture e finte spese rimborsabili. Un’altra tecnica diffusa è l’invio di false fatture con dati di pagamento su PostePay, presentate come “spese da rimborsare” o “anticipi a fornitori”. Senza un processo di verifica strutturato, queste richieste vengono spesso elaborate senza controllo.

Smishing diretto ai dipendenti. I dipendenti che ricevono SMS phishing sui propri cellulari personali (anche quando si tratta di smartphone aziendali) possono essere indotti a cliccare link malevoli che compromettono l’intero ambiente di rete, soprattutto in regime di smart working o BYOD (Bring Your Own Device).

Per le aziende, difendersi da queste minacce richiede un approccio strutturato che combini tecnologia (filtri email avanzati, protezione endpoint, monitoraggio della rete), processi (autorizzazione multipla per le spese, verifica telefonica indipendente delle richieste anomale, policy di sicurezza chiare) e soprattutto formazione continua del personale, perché il fattore umano resta l’anello debole di qualsiasi infrastruttura di sicurezza.