Una cartolina dall’aspetto ufficiale, con tanto di logo amazon.it in alto a destra, infilata nella cassetta delle lettere. Il titolo è invitante: «Invito alla prova del nuovo prodotto». Il testo ringrazia il destinatario per un acquisto e lo invita a unirsi a un «club di prova» che offrirebbe «a ogni membro un articolo gratuito per il test e una certa commissione di importo», fino a 40 euro. Per aderire, basterebbe inquadrare un codice QR e registrare nome e contatti. In calce, un indirizzo email e la dicitura «jointestclub». Il volantino è arrivato in questi giorni anche ad Albizzate. Ma di regalo non si tratta: è una truffa di tipo phishing, costruita per sottrarre dati personali e bancari.

Lo stesso testo già visto altrove

Che non sia un caso locale lo dimostra il fatto che la cartolina recapitata ad Albizzate è identica, fin nella punteggiatura, a quelle segnalate in altre zone d’Italia nei mesi scorsi: a fine gennaio 2026, per esempio, lo stesso volantino era stato denunciato nel Grossetano, sempre infilato nelle buche delle lettere. Si tratta dunque di un modello standardizzato, tradotto in un italiano a tratti incerto e fatto circolare su larga scala. Per questo è plausibile che cartoline analoghe possano comparire anche in altri comuni del Varesotto: chi dovesse trovarne una è bene sappia di cosa si tratta.

Perché è una truffa

Il programma a cui la cartolina allude in modo ingannevole esiste davvero e si chiama Amazon Vine: è l’iniziativa con cui l’azienda invia prodotti gratuiti ad alcuni recensori selezionati in cambio di recensioni oneste. Ma, ed è qui la differenza decisiva, l’accesso a Vine avviene solo su invito diretto attraverso il proprio account Amazon, è riservato a chi pubblica molte recensioni dettagliate, non prevede alcun pagamento ai recensori e, soprattutto, non arriva mai per posta cartacea né chiede di scansionare un QR code o di comunicare i propri dati di contatto.

Chi inquadra il codice viene invece reindirizzato a un sito-trappola che, a seconda della variante, può: chiedere l’inserimento di dati sensibili (nome, indirizzo, persino coordinate bancarie); spingere a scrivere recensioni “verificate” su prodotti di venditori senza scrupoli; oppure indurre a scaricare un’app che in realtà è un malware in grado di intercettare le credenziali bancarie. La tecnica, l’uso di un QR code come esca, ha anche un nome: quishing, cioè il phishing veicolato tramite codici QR, sempre più diffuso proprio perché aggira i filtri anti-spam e fa leva sull’immediatezza del gesto.

Spesso queste cartoline si inseriscono in un fenomeno più ampio, il cosiddetto brushing: l’invio di pacchi o materiale non richiesto a indirizzi reperiti online, con l’obiettivo di gonfiare artificialmente le recensioni di un prodotto usando l’identità del destinatario.

Cosa fare

La regola è semplice: non scansionare il QR code, non inserire alcun dato e non scrivere all’indirizzo email indicato. La cartolina va cestinata (conservandola, eventualmente, se si vuole sporgere segnalazione).

Chi invece fosse già caduto nella trappola dovrebbe agire in fretta: bloccare immediatamente la carta contattando la banca; cambiare le password di Amazon e degli altri account potenzialmente coinvolti, attivando l’autenticazione a due fattori; eseguire una scansione anti-malware sul dispositivo se è stata installata un’app; e segnalare l’accaduto alla Polizia Postale, conservando la cartolina come prova. Amazon, dal canto suo, mette a disposizione sul proprio sito un modulo per la “Segnalazione pacco non richiesto” e ricorda che ai venditori terzi è vietato spedire articoli non sollecitati.