Truffa Vodafone settembre 2026: “I tuoi 7415 punti Gold Starter scadranno oggi” #

“I tuoi 7415 punti Vodafone Gold Starter scadranno oggi. Visita: ***https://cutt.ly/voda-info ***per maggiori informazioni e per riscattare i tuoi punti.”

Se hai ricevuto questo SMS: è una truffa. Non è Vodafone. Te lo spieghiamo passo passo, con parole semplici, così puoi anche farlo leggere a chi in famiglia è meno pratico con queste cose.

Aggiornato il 4 settembre 2026: è in circolazione una campagna di smishing che usa il nome Vodafone e promette falsi punti fedeltà in scadenza.

La truffa in breve #

A settembre 2026 sta circolando un SMS che comunica la presunta scadenza di 7.415 punti “Vodafone Gold Starter”. Il messaggio contiene un link abbreviato che porta a una pagina esterna al dominio ufficiale Vodafone (store-voda.store), dove viene mostrato un falso catalogo premi. Il percorso finisce con la richiesta dei dati della carta di pagamento per una finta spesa di spedizione. I punti non sono reali e il messaggio non proviene da Vodafone.

Prima di tutto: tre parole che userai spesso da ora in poi #

Prima di entrare nei dettagli, chiariamo tre termini che sentirai sempre più spesso parlando di truffe online, perché li useremo anche in questo articolo:

• Phishing: è la truffa in cui qualcuno finge di essere un’azienda o una persona fidata (la banca, un corriere, un operatore telefonico) per convincerti a inserire i tuoi dati personali su un sito falso. Il nome viene da “pescare” (fishing in inglese): ti lanciano un’esca e aspettano che abbocchi.
• Smishing: è semplicemente il phishing fatto tramite SMS invece che via email. “Smishing” viene da SMS + phishing.
• Carding: è l’uso illecito dei dati di una carta di pagamento rubata — sia per fare acquisti a nome tuo, sia per rivendere quei dati ad altri criminali. In pratica: se finisci vittima di carding, il rischio è che la tua carta venga usata per pagamenti che non hai autorizzato, o che i suoi dati vengano ceduti ad altri truffatori.

Questa truffa li mette in fila tutti e tre: arriva come smishing, ti porta su un sito di phishing, e punta a fare carding con i tuoi dati.

Il motivo per cui sembra così vero: arriva nel posto giusto #

Il dettaglio che confonde di più chi riceve questo SMS è che arriva nella stessa conversazione dove di solito ricevi i messaggi veri di Vodafone — tipo l’avviso che una tua offerta si è rinnovata. Stesso nome sopra alla chat, stessa icona. A occhio, sembra identico agli altri.

Questo però non è una prova che sia vero. Si chiama spoofing del mittente (in italiano: “falsificazione del mittente”): quando invii un SMS, puoi scegliere di far apparire come mittente un nome a piacere invece di un numero di telefono — questo esiste per motivi legittimi (è così che le aziende ti mandano notifiche vere), ma nessun sistema controlla che chi scrive “Vodafone” sia davvero Vodafone. Il tuo telefono vede lo stesso nome e mette il messaggio nella stessa chat, senza fare nessuna verifica.

Quindi: il fatto che un messaggio sia “nella chat giusta” non significa niente. Chiunque può scrivere qualsiasi nome voglia come mittente.

Il primo indizio che qualcosa non torna: i punti cambiano #

L’SMS dice che hai 7415 punti. Ma se apri il link, la pagina che si carica ne mostra 7350. Un numero diverso da quello scritto nell’SMS appena un attimo prima.

In un sistema vero, il tuo saldo punti è sempre lo stesso, ovunque tu lo controlli. Se due schermate ti dicono numeri diversi per la stessa cosa, è già un segnale chiaro che non stai guardando qualcosa di reale — probabilmente sono numeri generati automaticamente e a caso, senza nessun collegamento vero con un account.

“Vodafone Gold Starter” non risulta un programma reale #

Il vero programma punti di Vodafone si chiama Vodafone Happy, e lo trovi solo tramite l’app ufficiale My Vodafone o sul sito happy.vodafone.it.

“Vodafone Gold Starter” è un nome che non risulta tra i programmi fedeltà ufficiali Vodafone — inventato apposta per sembrare credibile, dato che contiene la parola “Vodafone” e suona come qualcosa di premium (“Gold”).

Perché dice “scadranno oggi” #

Non è un caso. È una tecnica psicologica molto comune in queste truffe: farti credere che hai pochissimo tempo per agire, così non ti fermi a controllare bene prima di cliccare.

Il ragionamento che vogliono farti fare è: “ho dei punti, stanno per scadere, devo sbrigarmi.” E più ti sbrighi, meno controlli i dettagli — che sono proprio quelli che smascherano la truffa.

Cosa trovi cliccando sul link #

Il link porta a un sito chiamato store-voda.store/it — nota bene: non è vodafone.it. È un dominio diverso, creato apposta per sembrare collegato a Vodafone (contiene “voda”), ma non ha niente a che fare con l’azienda vera.

Su questa pagina trovi un catalogo di prodotti veri e riconoscibili, con un costo in punti diverso per ciascuno:

• AirPods Pro 2 e AirPods 3
• Climatizzatori portatili (tra cui un modello SereneLife da 9.000 BTU e un Costway da 14.000 BTU)
• Macchine da caffè Lavazza (Jolie Evo, Deséa White Cream)
• Zaino da viaggio, ventilatore portatile e altri accessori

Ogni prodotto ha un prezzo in punti pensato apposta per sembrare alla tua portata rispetto al saldo mostrato — abbastanza vicino da spingerti a scegliere subito un premio prima di “sprecare” i punti, invece di fermarti a controllare se il sito sia autentico.

Perché usano un link “accorciato” #

Il link nell’SMS non è direttamente store-voda.store, ma passa da cutt.ly, che è un servizio che trasforma un indirizzo lungo in uno corto. Di per sé, cutt.ly è un servizio onesto, usato normalmente da tante persone e aziende per motivi legittimi.

Il problema è come viene usato qui: nasconde a colpo d’occhio dove ti sta portando davvero. Se il link fosse scritto per intero, vedresti subito “store-voda.store” e capiresti che non è Vodafone. Accorciandolo, questo dettaglio sparisce.

Regola pratica: se un’azienda ti manda un SMS con un link accorciato invece del suo indirizzo vero, è già un motivo per essere sospettosi.

Il vero scopo: farti pagare la spedizione #

Dopo aver scelto un premio, il sito ti chiede di inserire i dati della tua carta per pagare la spedizione — con due opzioni, giusto per sembrare un negozio vero:

• 4,90€ per la consegna in 5/7 giorni lavorativi
• 10€ per la consegna più veloce, 1/2 giorni lavorativi

Ma il premio non esiste, e non arriverà mai. Quello che succede davvero è che, inserendo numero della carta, scadenza e codice di sicurezza, stai consegnando questi dati direttamente a chi ha creato il sito — pronti per essere usati per fare acquisti a tue spese, o rivenduti ad altri truffatori (il “carding” di cui parlavamo all’inizio).

Questo tipo di truffa si chiama “truffa dell’anticipo”: ti fanno credere di dover pagare una piccola cifra per ricevere qualcosa di molto più grande — quella piccola cifra (o meglio, i dati della carta usati per pagarla) è l’unica cosa che i truffatori vogliono davvero.

Perché a volte il sito non si apre #

Alcune persone hanno notato che lo stesso link, aperto in momenti diversi o da telefoni diversi, a volte mostra il sito normalmente e altre volte dà errore o non carica.

Questo potrebbe dipendere da una tecnica chiamata cloaking — letteralmente “mascheramento”: alcuni siti truffa sono programmati per mostrarsi solo a certe persone e nascondersi a chi sembra un controllo di sicurezza o un tecnico che sta indagando. Diciamo “potrebbe” perché senza un controllo tecnico approfondito non possiamo affermarlo con certezza al 100% — ma è un comportamento tipico di molti siti di questo tipo, e ci sono alcuni modi in cui viene fatto tecnicamente:

• Riconoscimento del dispositivo: il sito controlla se stai arrivando da un telefono vero (con un browser mobile normale) oppure da uno strumento automatico usato per analisi di sicurezza, e mostra contenuti diversi nei due casi.
• Controllo su come sei arrivato al link: alcuni siti accettano di mostrarsi solo se apri il link cliccandolo direttamente dall’SMS, e non se lo apri “a freddo” copiandolo altrove.
• Link legato a un codice unico: spesso questi link brevi contengono un codice che il sito associa a un singolo destinatario. Se lo apre qualcun altro rispetto a chi ha ricevuto quello specifico SMS, il sito può restituire un errore, come se il “biglietto” fosse già stato usato o non fosse il tuo.
• Blocco per zona geografica: il sito potrebbe accettare visite solo da chi si connette dall’Italia o da certi operatori telefonici, bloccando il resto.

In pratica, tutte queste tecniche servono allo stesso scopo: rendere più difficile a chi indaga (ricercatori di sicurezza, filtri antispam, aziende che bloccano siti truffa) analizzare il sito e farlo chiudere, continuando però a colpire regolarmente chi clicca dal messaggio originale. Il fatto che il sito si apra “solo per te” non è quindi una prova che sia legittimo — è anzi coerente con come si comportano molti siti di questo tipo.

Come riconoscerla in pochi secondi, la prossima volta #

• Il mittente dice “Vodafone”, ma questo non prova niente — può essere falsificato facilmente.
• Il link non porta a vodafone.it, ma a un indirizzo diverso (qui: store-voda.store).
• Il nome del programma, “Gold Starter”, non esiste.
• Il numero di punti cambia tra SMS e sito.
• Ti chiedono i dati della carta per un premio “gratis”.

La presenza contemporanea di più segnali come questi rende il messaggio altamente sospetto e, in questo caso, permette di riconoscere la campagna come fraudolenta.

Ho aperto il link ma non ho scritto niente: sono nei guai? #

No, non necessariamente. Se hai soltanto aperto la pagina, senza inserire dati, effettuare pagamenti o scaricare file, il rischio è generalmente molto più basso. Chiudi la pagina e non interagire ulteriormente con il sito. Il pericolo vero comincia quando inserisci dati reali nella pagina.

Ho inserito qualcosa: cosa faccio ora #

Se hai scritto solo nome, indirizzo o numero di telefono: non è la cosa peggiore, ma tieni gli occhi aperti — potresti ricevere altre truffe più mirate, costruite proprio usando questi dati per sembrare ancora più credibili.

Se hai inserito una password (di un account, di un servizio): cambiala subito, e cambiala anche ovunque altro tu la usi. Se puoi, attiva la “verifica in due passaggi” sull’account interessato — è un secondo codice che ti arriva via SMS o app, oltre alla password, e rende molto più difficile entrare nel tuo account anche a chi ha rubato la password.

Se hai inserito i dati della tua carta:

1. Chiama subito la tua banca (il numero è di solito scritto dietro la carta stessa) e chiedi di bloccarla.
2. Controlla gli ultimi movimenti e segnala qualsiasi spesa che non riconosci.
3. Fatti dare una carta nuova, con un numero diverso.
4. Tieni da parte uno screenshot dell’SMS e del sito, può servire se fai una denuncia.

Un consiglio utile in generale: se hai attivato le notifiche push o SMS della tua banca per i pagamenti, ricevi un avviso ogni volta che la carta viene usata, anche per un piccolo importo. Se noti un addebito che non riconosci, anche di pochi euro, non ignorarlo — spesso i truffatori fanno prima un micro-pagamento di prova prima di usare i dati per cifre più grandi.

In ogni caso: se vuoi controllare i tuoi punti Vodafone veri, apri l’app My Vodafone direttamente, non seguire mai il link di un SMS. Per assistenza, chiama il 190 (gratis da numero Vodafone) o 800 100 195 (da altri operatori o da telefono fisso).

Per chi mastica un po’ di sicurezza informatica: riepilogo tecnico #

Questa sezione riassume la campagna con la terminologia che si usa normalmente in ambito threat intelligence, per chi lavora nel settore o vuole approfondire oltre la spiegazione divulgativa.

Tipo di attacco: smishing → phishing → advance-fee fraud / carding. Il programma fedeltà fittizio funziona da esca (lure) per portare la vittima fino alla fase di raccolta dati di pagamento.

Vettore iniziale: SMS con sender ID alphanumerico spoofato (“Vodafone”). Il campo non è autenticato lato ricevente, quindi il client raggruppa il messaggio nel thread esistente in base al solo nome dichiarato — non c’è alcuna verifica crittografica o di provenienza equivalente a SPF/DKIM/DMARC come avviene (quando configurati) per l’email.

Delivery del payload: URL shortener (cutt.ly) come hop intermedio, con redirect verso un dominio in combosquatting (contiene il brand “voda” senza corrispondere al dominio ufficiale vodafone.it). L’uso dello shortener serve sia a offuscare la destinazione finale sia, potenzialmente, a raccogliere metriche di click prima del redirect.

Landing page: cataloghi prodotto reali usati come social proof per aumentare il tasso di conversione. Inconsistenza rilevata tra il valore comunicato via SMS e quello mostrato lato client (7415 vs 7350), indice di assenza di un backend persistente reale o di generazione indipendente dei valori tra i due touchpoint.

Comportamento anomalo osservato: accesso alla landing page non deterministico tra richieste diverse. Ipotesi compatibili, in ordine di plausibilità nel contesto di campagne smishing simili:

• device/user-agent fingerprinting, con contenuto servito condizionalmente
• referrer check (accesso concesso solo se il referrer è coerente con un client SMS)
• token mono-uso incorporato nello short link, associato al singolo destinatario
• geofencing su IP/ASN o su range di operatori mobili italiani

Verifica passiva effettuata: risoluzione DNS del dominio confermata coerente su più resolver pubblici (Cloudflare 1.1.1.1, Google 8.8.8.8, Quad9 9.9.9.9), tutti concordi su un singolo A record. Il dominio risulta servito dietro Cloudflare come DNS provider, con backend nginx. Richieste HTTP/HTTPS dirette verso l’IP risolto, con SNI e header Host coerenti con il dominio, hanno restituito costantemente 404 su più path testati, anche replicando header tipici di un browser mobile e forzando la negoziazione TLS/ALPN. Il comportamento osservato non dipende quindi da SNI, Host header o header applicativi di base: la differenza tra l’accesso “che funziona” da smartphone e il 404 osservato da rete/toolchain diversa resta plausibilmente legata a segnali di livello superiore (fingerprint del client, provenienza di rete, o un token legato al singolo link inviato via SMS), ma non è stata isolata con certezza — e, per ovvie ragioni etiche e legali, non abbiamo spinto oltre l’analisi passiva su un’infrastruttura di terzi utilizzata per attività fraudolenta.

Nessuna delle ipotesi sul cloaking è stata quindi confermata in modo definitivo — restano ipotesi plausibili basate su pattern noti, non IOC verificati al 100%.

IOC raccolti:

• URL iniziale: cutt[.]ly/voda-info
• Dominio di destinazione: store-voda[.]store
• Tema del lure: falso programma fedeltà “Vodafone Gold Starter”

TTP osservate: sender ID spoofing, combosquatting, social proof tramite catalogo prodotti reali, urgency-based social engineering, advance-fee fraud nella fase finale.

Da ricordare, più di ogni altro dettaglio #

Non serve imparare a memoria tutti i trucchi di questa truffa specifica — ne inventeranno altre domani, magari fingendosi la tua banca o un corriere. La cosa davvero utile da portarti a casa è una sola:

Per controllare qualsiasi cosa riguardi un tuo account — punti, offerte, pagamenti — apri sempre tu stesso l’app o il sito ufficiale, scrivendo l’indirizzo di tua iniziativa. Non seguire mai il link che ti arriva dentro un messaggio, anche se sembra scritto da chi dice di essere.

Se vuoi capire meglio come funzionano queste truffe in generale, anche a livello un po’ più tecnico, ne parliamo anche negli articoli su cos’è il phishing e come si riconosce e su le tecniche di manipolazione psicologica usate online.

Se hai ricevuto un SMS simile e hai dei dubbi, o vuoi solo una conferma prima di cliccare qualcosa, puoi scriverci a info@hackita.it: rispondiamo volentieri, meglio una domanda in più che un problema dopo.

Domande frequenti #

Questo SMS è davvero una truffa? Sì. Il programma citato non esiste, il link nasconde il sito vero, e alla fine ti chiedono i dati della carta per un premio che non arriverà mai.

Truffa Vodafone 7415 punti: è vero? No, non è vero. È una truffa: il numero “7415 punti” è inventato, così come il nome del programma “Gold Starter”.

7415 punti Vodafone Gold Starter, cosa sono? Non sono punti reali. È il numero usato in un SMS truffa per farti credere di avere un premio in scadenza da riscattare su un sito falso.

SMS Vodafone punti scadono oggi, è vero? In questa campagna, il link accorciato porta a un dominio che non appartiene a Vodafone. Per verificare eventuali comunicazioni o vantaggi, accedi sempre direttamente ai canali ufficiali Vodafone — app My Vodafone o happy.vodafone.it — invece di seguire il link ricevuto.

“Vodafone Gold Starter” esiste davvero? No, non è un programma fedeltà Vodafone reale. Quello vero si chiama Vodafone Happy.

Cutt.ly è un sito pericoloso? No, è un servizio di accorciamento link legittimo e onesto. Il problema non è il servizio in sé, ma il fatto che venga usato qui per nascondere un dominio non ufficiale.

Non sono nemmeno cliente Vodafone, perché ho ricevuto questo SMS? Perché questi messaggi vengono inviati in massa a liste di numeri di telefono, senza sapere chi sia davvero cliente Vodafone e chi no. Riceverlo pur non essendo cliente è, anzi, un altro indizio che è una truffa.

Perché è arrivato nella stessa chat dei messaggi veri di Vodafone? Perché il nome che appare come mittente di un SMS può essere scelto liberamente da chi lo invia, senza nessun controllo. Il telefono raggruppa i messaggi solo in base al nome scritto, non in base a chi li ha mandati davvero.

store-voda.store è un sito Vodafone? No. È un dominio diverso, creato per sembrare collegato a Vodafone ma senza nessun legame reale con l’azienda.

Se apro solo il link senza scrivere niente, rischio qualcosa? No, aprire una pagina e chiuderla non ti espone a nessun rischio concreto. Il pericolo comincia solo se inserisci dati veri.

Cosa vuol dire “carding”? È l’uso illecito dei dati di una carta rubata, per fare acquisti o per rivenderli ad altri criminali. È l’obiettivo finale di questa truffa.

Come controllo i miei punti Vodafone veri? Solo tramite l’app ufficiale My Vodafone o il sito happy.vodafone.it, mai da un link ricevuto via SMS.

Ho già inserito i dati della carta, cosa faccio subito? Chiama immediatamente la tua banca per bloccare la carta, controlla i movimenti recenti e segnala tutto ciò che non riconosci.