Pedaggio non pagato su WhatsApp? È una truffa che svuota il conto

Con l'estate arrivano gli spostamenti in autostrada e, puntualmente, anche una nuova generazione di truffe digitali pensate per sfruttare proprio questa situazione. La Polizia Postale ha segnalato una campagna di smishing (phishing via SMS e messaggistica) che colpisce gli automobilisti italiani con un messaggio apparentemente urgente: un presunto pedaggio autostradale non pagato che richiede regolarizzazione immediata. Chi clicca sul link contenuto nel messaggio viene reindirizzato verso un sito clone che imita perfettamente quello ufficiale di Autostrade per l'Italia, dove gli viene chiesto di inserire dati personali e bancari. Dati che finiscono direttamente nelle mani dei cybercriminali.

Come funziona la truffa

Il meccanismo è semplice ma efficace. La vittima riceve un messaggio WhatsApp da un numero sconosciuto con prefisso internazionale (spesso +1, riconducibile a Stati Uniti o Canada) che segnala un mancato pagamento di pedaggio e invita a cliccare su un link per regolarizzare la situazione. Il testo è scritto in italiano corretto e professionale, elemento che rende il messaggio credibile a una prima lettura e lo distingue dalle truffe più grossolane.

Cliccando sul collegamento, l'utente viene portato su una pagina che riproduce fedelmente l'interfaccia del sito ufficiale di Autostrade. Qui gli viene chiesto di inserire:

• Dati personali (nome, cognome, numero di patente)
• Numeri di carta di credito
• Password e credenziali del conto corrente
• Altre informazioni sensibili

Una volta forniti questi dati, i truffatori hanno accesso diretto ai conti correnti delle vittime e possono procedere a trasferimenti di denaro non autorizzati.

Perché è difficile riconoscerla

A differenza di molte truffe online che contengono errori evidenti di ortografia o grammatica, questa campagna è costruita con cura. Il messaggio usa un tono professionale, cita un'azienda nota e affidabile (Autostrade per l'Italia), e sfrutta il contesto reale dei viaggi estivi per creare un senso di urgenza. Chi riceve il messaggio mentre è in macchina, magari distratto, potrebbe non avere il tempo di riflettere e cliccare istintivamente.

Inoltre, il link contenuto nel messaggio non corrisponde al vero dominio ufficiale di Autostrade e può presentare variazioni minime difficili da notare a occhio nudo, come errori di scrittura o indirizzi sospetti. La Polizia Postale ricorda che Autostrade per l'Italia non invia mai richieste di pagamento tramite messaggi WhatsApp provenienti da numeri privati sconosciuti.

Come difendersi

La regola fondamentale è semplice: non cliccare mai su link contenuti in messaggi di dubbia provenienza. Se ricevete un messaggio che segnala un pagamento non effettuato, verificate sempre attraverso i canali ufficiali. Potete accedere direttamente al sito di Autostrade digitando l'indirizzo nella barra del browser, oppure contattare il servizio clienti tramite i numeri ufficiali.

Altre azioni consigliate dalla Polizia Postale:

• Non rispondete al messaggio
• Bloccate immediatamente il numero del mittente
• Cancellate la chat
• Segnalate il tentativo di frode alle autorità competenti (è possibile inoltrare il messaggio al numero 112 via WhatsApp in molte regioni)

Se avete già cliccato sul link e inserito dati sensibili, contattate subito la vostra banca e bloccate le carte di credito associate al conto. Nel caso abbiate fornito credenziali di accesso al conto corrente, cambiate immediatamente la password e verificate i movimenti recenti.

Un fenomeno più ampio

Questa truffa del pedaggio non pagato non è un caso isolato. La stessa tecnica dello smishing viene sfruttata anche per imitare altri enti affidabili, come l'Agenzia delle Entrate, che ha segnalato a giugno 2026 una nuova ondata di email fraudolente che chiedono dati su cripto-asset e conti correnti. I truffatori scelgono sempre temi che generano ansia e senso di urgenza: tasse non pagate, pedaggi arretrati, sanzioni imminenti.

La sofisticazione di queste campagne è in aumento. Non si tratta più di messaggi evidentemente falsi, ma di comunicazioni costruite per sembrare ufficiali, credibili e inevitabili. Per questo motivo, l'unica difesa realmente efficace rimane l'educazione digitale: imparare a riconoscere i segnali di allarme, non fidarsi mai di messaggi non richiesti che chiedono dati sensibili, e verificare sempre attraverso canali ufficiali prima di compiere azioni che potrebbero compromettere la sicurezza del vostro conto corrente.