Truffa della metro: a Milano e Roma, attenzione al tap out

Parliamo ancora di truffe e quella “del giorno” è la “truffa della metro”: riguarda gli utenti della metropolitana, per ora, di Milano e Roma.

Dopo la truffa del Man in the Middle, quella del Captcha, quella dell’Agenzia delle Entrate, quella della ballerina, quella del filo invisibile e quella del pedaggio fantasma (ma l’elenco e lungo e se non le conoscete, trovate tutti gli articoli al fondo), ora è arrivata anche la truffa della Metro che riguarda il Tap&Go e, nello specifico le città di Milano e Roma (per ora).

Sono tante le segnalazioni degli utenti che sono cascati nella truffa della metro e tutto comincia con un semplice sms.

I truffatori sfruttano il sistema Tap&Go, l’innovativo metodo di pagamento che funziona avvicinando una carta contactless ai tornelli, sia in entrata che in uscita. Per ora, la truffa riguarda solo la metropolitana, ma è bene ricordare che il sistema Tap&Go è in uso anche sulle tratte ferroviarie, per ora non interessate da questo tentativo di phishing.

Come si presenta la truffa della metro

La truffa funziona così: l’utente riceve un messaggio sul suo cellulare, apparentemente da parte dell’azienda ATM, che lo informa di un errore nel tap out dell’ingresso in metro. Il messaggio prosegue con la richiesta di saldare la corsa entro 30 minuti, onde evitare l’addebito massimo. Ovviamente, l’sms si chiude con un “clicca sul link”.

“Informa atm informa errore tap out salda le spese di gestione (1,50) entro 30 minuti per bloccare l’addebito massimo clicca sul link“.

La grammatica già tradisce di per sé, ma consideriamo il contesto: si parla di tap out e quindi può essere che, in una metro affollata, all’uscita qualcosa sia andato storto… Leggiamo velocemente il messaggio e cerchiamo immediatamente di rimediare per non pagare una cifra enorme per una corsa in metro. Inoltre, sovente, l’azienda ATM invia messaggi agli utenti e, anche in questo caso, l’sms arriva da un numero di telefono noto all’utente perché già utilizzato in passato dall’ATM stessa, ma ovviamente, clonato da cybercriminali.

…A questo punto, perchè dubitare? E fiduciosi, clicchiamo sul link.

Come funziona

Cliccando sul link si atterra su un sito perfettamente identico a quello ufficiale e questo genera fiducia nelle vittime. In realtà, questi delinquenti giocano veramente su questa fiducia e sono davvero diventati molto bravi nella loro attività criminali.

Il sito farlocco si presenta talmente credibile che è davvero impossibile riconoscerlo da quello vero e, nel momento in cui viene richiesto il pagamento – oltretutto di importo irrisorio, supponiamo l’esempio di una tratta da 1,50 euro. La vittima prosegue con il pagamento, na è qui che parte la truffa: “il pagamento non è andato a buon fine”. E può succedere: è mancata per un attimo la linea? Il portale pagamenti è ingolfato? La vittima prova una seconda volta, ma ancora non funziona. Al terzo tentativo, arriva una notifica della propria banca che ci informa di un pagamento di 141,50 euro.

La truffa della metro è conclusa. Forse. Forse, perché comunque abbiamo lasciato dietro di una traccia digitale – e che traccia – che contiene i nostri dati bancari e i nostri dati personali e non è detto che non vengano utilizzati in futuro per altre azioni criminali.

Cosa dice ATM

Atm, in un messaggio ai suoi utenti sul sito ufficiale e sui suoi canali social, ha attivato una campagna di informazione in merito alla “truffa della metro”, rassicurando di essersi già attivata per contrastare questa azione criminale. Nel frattempo, invita i suoi utenti a segnalare sia all’azienda che alla Polizia Postale, qualsiasi comunicazione fraudolenta ricevuta.

Dal canto suo, la Polizia Postale ha già adottato contromisure per ostacolare l’attività dei criminali e ha già provveduto ad oscurare alcuni siti utilizzati per questa attività di phisihing e a disattivare alcuni indirizzi web. Malgrado ciò, purtroppo, ne sono comparsi dei nuovi e la truffa continua.

La raccomandazione è sempre la stessa: se ricevete un sms da ATM o ATAC non cliccate sui link e non fornite i vostri dati personali, m contattate immediatamente la Polizia Postale e l’azienda per segnalare la comunicazione.

Se ricevete un sms simile a questo:
"Informa atm informa errore tap out salda le spese di gestione (1,50) entro 30 minuti per bloccare l'addebito massimo"
è un tentativo di truffa di qualcuno che usa illegalmente il nome di ATM. Informazioni: https://t.co/jM1tlzBRDx pic.twitter.com/nGUYigg6k1
— Azienda Trasporti Milanesi (@atm_informa) April 30, 2026