Due avvisi in undici mesi: il 24 ottobre 2025 la Polizia Postale ha segnalato campagne di phishing «ai danni dei giocatori online», il 25 settembre 2026 ha avvertito che l'intelligenza artificiale permette di costruire falsi siti «graficamente identici o molto simili» agli originali. I siti clone dei casinò online copiano grafica, nome e loghi di un concessionario autorizzato dall'Agenzia delle dogane e dei monopoli (ADM), ma hanno un indirizzo diverso. Il controllo che conta è confrontare il dominio per intero con l'elenco dei concessionari dell'ADM e non aprire il conto di gioco da link ricevuti per SMS, e-mail o chat; se i dati sono già stati inseriti, si avvisa subito la banca e ci si rivolge alla Polizia Postale.

La guida rientra nel tema più ampio dei diritti del giocatore online e degli strumenti di tutela.

Sito clone, phishing, sito non autorizzato: che differenza c'è?

Tre espressioni che nel linguaggio comune si sovrappongono indicano situazioni diverse. Un sito clone è una copia: la nota della Polizia Postale del 25 settembre 2026 descrive falsi siti che «riproducono loghi, immagini, testi di aziende, istituti di credito, enti e servizi online», con l'obiettivo di «indurre l'utente a inserire credenziali di accesso, dati personali, informazioni bancarie o altri dati sensibili».

Il phishing è il metodo che porta la vittima sulla copia. La Polizia lo definisce, nella pagina dedicata, «una particolare tipologia di truffa realizzata sulla rete Internet attraverso l'inganno degli utenti», che conduce a un sito «artatamente allestito identico a quello originale»; se l'utente inserisce i dati riservati, questi «saranno nella disponibilità dei criminali». Il link fasullo arriva, precisa la nota del 2026, da «e-mail, SMS, messaggi sui social network o applicazioni di messaggistica», ma può comparire anche «tra i risultati di una ricerca online».

Il sito non autorizzato è un'altra cosa: un sito di gioco privo di concessione dell'ADM, che non deve necessariamente spacciarsi per un concessionario. Ha però un punto in comune con il clone: nessuno dei due compare, con il proprio indirizzo, nell'elenco dei concessionari.

La concessione dell'ADM significa che del sito risponde un concessionario italiano e che il rapporto con chi gioca è regolato dal contratto di conto di gioco previsto dalla legge italiana; una licenza estera, come quella maltese o di Curaçao, o un logo in fondo alla pagina non dimostrano nulla di tutto questo. Per il quadro generale: che cosa significa avere la concessione ADM.

Che cosa dicono gli avvisi della Polizia Postale?

Il primo riferimento è un avviso della Polizia Postale del 24 ottobre 2025, intitolato «Attenzione alle false piattaforme di gioco online». Vi si legge che «sono in atto campagne di phishing ai danni dei giocatori online e degli utenti dei servizi di lotteria» e che, prima di registrarsi, accedere o versare denaro, «è fondamentale verificare che il sito sia autorizzato dall'Agenzia delle Dogane e dei Monopoli (ADM)».

Il secondo è la nota del 25 settembre 2026, «Siti clone e intelligenza artificiale: attenzione alle truffe», che aggiunge un elemento nuovo: l'intelligenza artificiale rende le copie più curate e più difficili da distinguere a colpo d'occhio. La nota si chiude con tre indicazioni pratiche, base dei controlli descritti più avanti: leggere l'indirizzo, non fidarsi dell'aspetto della pagina, non usare i link ricevuti.

Nessuna delle due comunicazioni indica numero di vittime o entità dei danni, e qui non si riporta alcuna stima.

Come riconoscere i siti clone dei casinò: i controlli che contano

Il metodo è una verifica in pochi minuti: dall'indirizzo all'elenco dell'ADM, fino al modo in cui il sito tratta identità e pagamenti. Ogni passaggio poggia su una regola scritta, non su indicatori di soggetti privati.

  1. L'indirizzo per intero. La Polizia raccomanda: «Prima di inserire dati personali, controlla sempre con attenzione l'indirizzo (URL) del sito: anche una piccola variazione nel nome, una lettera diversa o un carattere aggiunto possono nascondere un sito contraffatto.»
  2. Il logo non prova nulla. «Non fidarti soltanto dell'aspetto della pagina. Una grafica curata, un logo conosciuto o contenuti apparentemente autentici non garantiscono che il sito sia quello ufficiale.»
  3. L'elenco dei concessionari. Il decreto legislativo 25 marzo 2024, n. 41 (d.lgs. 41/2024) impone al concessionario di indicare su sito e app il «numero identificativo della concessione in titolarità e del marchio istituzionale dell'Agenzia» (articolo 6, comma 6, lettera g). Sono i due elementi che un clone copia con più facilità: per questo conta il confronto con l'elenco dei concessionari autorizzati al gioco a distanza, dove il dominio deve coincidere per intero con quello del sito. Per il procedimento: come verificare passo per passo la concessione di un sito.
  4. Il dominio .it. Il concessionario opera, secondo l'articolo 6, comma 5, lettera o), «con dominio di primo livello nazionale direttamente gestito dal medesimo». Chi si presenta come concessionario italiano senza dominio .it non rispetta quanto la concessione richiede; ma anche un clone può usare un dominio .it simile all'originale, e per questo il primo controllo resta l'indirizzo completo.
  5. Identità e pagamenti. Il concessionario apre il conto «esclusivamente con l'utilizzo di un valido documento di identità» e gestisce i pagamenti «mediante strumenti di pagamento idonei a garantire la tracciabilità» (articolo 6, comma 8, del d.lgs. 41/2024). Un sito che fa giocare senza alcuna verifica dell'identità, o che accetta soltanto criptovalute, non funziona secondo le regole di una concessione: è l'unico giudizio che questi elementi consentono. Il gioco è vietato ai minori di 18 anni.
  6. Il link ricevuto per messaggio. «In caso di dubbio, non utilizzare il link ricevuto, non inserire dati e raggiungi il servizio desiderato digitando direttamente l'indirizzo ufficiale nel browser o utilizzando l'app ufficiale.»
  7. La «black list» non è un elenco di siti sicuri. L'ADM inibisce i siti per contrastare le truffe e le attività illecite legate al gioco online (articolo 102, comma 1, del decreto-legge 14 agosto 2020, n. 104), ma un clone appena nato può non essere ancora inibito: il riferimento resta l'elenco dei concessionari. Da aprile 2026 i siti bloccati sono reindirizzati alla pagina sito-inibito-giochi.adm.gov.it. Il funzionamento dell'elenco è descritto in come funziona l'elenco dei siti inibiti dall'ADM.

Un clone può essere graficamente identico al sito autorizzato: la differenza si vede nell'indirizzo e nell'elenco dell'ADM. L'Agenzia rilascia le concessioni, tiene l'elenco e inibisce i siti privi di concessione; il controllo su un'e-mail, un SMS o una pagina che porta il suo logo spetta però a chi riceve il messaggio e richiede pochi minuti.

Il phishing che usa il nome dell'ADM o di un concessionario

Un messaggio di phishing sul conto di gioco segue lo schema descritto dalla Polizia: un testo che sembra provenire da un servizio conosciuto, un link, una pagina identica all'originale, la richiesta di accedere o pagare. Il nome usato può essere quello di un concessionario o dell'ADM. Non risulta un avviso dell'Agenzia su campagne di phishing a suo nome, e qui nessuna è data per accertata; il logo di un ente si copia però come quello di una banca, e la nota del 2026 cita espressamente gli «enti» tra i soggetti imitati.

Un logo o un riferimento all'ADM dentro un messaggio non dimostra dunque nulla. Il Portale delle segnalazioni serve a presentare reclami contro i concessionari e vi si accede con SPID o CIE dal sito adm.gov.it: se un messaggio propone un link «al portale dell'ADM», conviene non aprirlo e scrivere l'indirizzo a mano nel browser.

Tipster, «sistemi vincenti» e canali Telegram

Un rischio simile riguarda i pronostici venduti online. In un comunicato del 17 settembre 2025 il Codacons ha descritto «i cosiddetti “guru” delle scommesse che, attraverso canali Telegram, Instagram e altre piattaforme social, propongono pronostici e sistemi di gioco basati su false promesse di vincite certe e trasparenza assente». Secondo l'associazione, questi soggetti guadagnano con gruppi privati a pagamento e con pratiche ingannevoli, tra cui «la pubblicazione selettiva delle vincite e la cancellazione dei risultati perdenti».

Secondo il Codacons, il 1° ottobre 2025 la Direzione Giochi dell'ADM ha risposto che erano emersi contenuti «potenzialmente idonei a configurare una violazione della normativa vigente in materia di pubblicità e promozione dei giochi con vincita in denaro», e ha trasmesso una segnalazione all'Autorità per le garanzie nelle comunicazioni (AGCOM). Sull'esito non risultano informazioni pubbliche.

Il riferimento di legge è l'articolo 9, comma 1, del decreto-legge 12 luglio 2018, n. 87, che vieta «qualsiasi forma di pubblicità, anche indiretta» dei giochi con vincita in denaro, social media compresi; per i dettagli: che cosa prevede il divieto di pubblicità del gioco d'azzardo. Ne deriva un criterio: un canale che promette «vincite certe» o vende l'accesso a gruppi privati chiede di fidarsi di risultati che nessuno può controllare. Il Codacons parla però di «guru» con false promesse, non di ogni pronostico.

Una pubblicità ingannevole si può segnalare all'Autorità garante della concorrenza e del mercato (AGCM): non è una strada per riavere il denaro.

Cosa fare se si è caduti in un sito clone o in un messaggio di phishing?

I passi seguono l'ordine dell'urgenza e nessuno promette un risultato: ciò che si può recuperare dipende dalla banca e dalle autorità.

  1. Fermati. Non inviare altro denaro e non inserire altri dati.
  2. Avvisa subito la banca o l'emittente della carta. La Banca d'Italia indica di «avvertire subito il proprio istituto finanziario e consentire di attivare le opportune contromisure».
  3. Chiedi il disconoscimento dell'operazione. Valgono le regole del decreto legislativo 27 gennaio 2010, n. 11 (d.lgs. 11/2010), riassunte dalla Banca d'Italia: per un'operazione non autorizzata il prestatore del servizio deve rimborsare «immediatamente e in ogni caso al più tardi entro la fine della giornata operativa successiva»; la richiesta si può fare entro 13 mesi, ma va comunicata «non appena ne viene a conoscenza». Il rimborso può essere negato in caso di sospetta frode del cliente o di colpa grave, per esempio quando le credenziali sono state cedute «in modo incauto». Spetta alla banca valutare, secondo quelle regole, se un versamento inserito personalmente su un sito clone rientri tra le operazioni non autorizzate; questo testo non lo stabilisce. La banca non può pretendere la denuncia come condizione preliminare, ma può chiederla in seguito.
  4. Se la banca non accoglie la richiesta, si presenta un reclamo: per i servizi di pagamento la risposta è dovuta entro 15 giorni lavorativi. Poi si può inviare un esposto alla Banca d'Italia o ricorrere all'Arbitro Bancario Finanziario (ABF), sempre dopo il reclamo.
  5. Se sono state rubate le credenziali di un conto di gioco già aperto, apri il sito o l'app del concessionario scrivendo l'indirizzo a mano, cambia la password e contatta il concessionario solo tramite i canali ufficiali. Se la risposta non arriva o non basta: come presentare un reclamo tramite il Portale delle segnalazioni dell'ADM.
  6. Rivolgiti alla Polizia Postale, distinguendo segnalazione e denuncia. Segnala online è il canale per gli eventi sospetti, ma «Attraverso questo servizio non possono essere inviate comunicazioni riguardanti querele, denunce» e non sostituisce il pronto intervento: in caso di urgenza si chiama il 112 o il 113. La denuncia si presenta presso un ufficio di Polizia. In alcune zone è in sperimentazione una pre-denuncia online con SPID o CIE, da formalizzare «entro le successive 48 ore, presso un Ufficio della Polizia di Stato» (al 29 settembre 2026); tra i casi indicati ci sono la truffa e l'indebito utilizzo di carte di pagamento.
  7. Conserva le prove. Conviene tenere l'indirizzo del sito, il messaggio con il link, gli screenshot e le conferme dei pagamenti: servono a ricostruire i fatti.

Questo articolo illustra le regole in vigore e non sostituisce una consulenza legale.

Quando a una truffa si accompagna la sensazione che il gioco stia sfuggendo di mano, il Telefono Verde Nazionale per le problematiche legate al gioco d'azzardo risponde al numero 800 558822, in forma anonima e gratuita.

Domande frequenti

Che cosa sono i siti clone dei casinò online?

È una copia di un sito autorizzato: riproduce loghi, immagini e testi, ma ha un indirizzo diverso. Secondo la Polizia Postale, serve a far inserire credenziali, dati personali o informazioni bancarie.

Come si riconosce un sito scommesse falso?

Si legge l'indirizzo per intero, si confronta il dominio con l'elenco dei concessionari dell'ADM e si cerca il numero della concessione. Il logo dell'ADM non basta: si copia. Un concessionario usa un dominio .it e apre il conto solo con un documento valido.

Ho ricevuto un SMS con un link al mio conto di gioco: che cosa conviene fare?

Non aprire il link e non inserire dati. La Polizia Postale indica di raggiungere il servizio digitando l'indirizzo ufficiale nel browser o usando l'app ufficiale. Se hai già inserito credenziali o dati della carta, avvisa subito la banca.

Un sito che non compare nella «black list» dell'ADM è affidabile?

Non necessariamente. L'elenco dei siti inibiti raccoglie quelli già bloccati, e un clone recente può non esserci ancora. Per verificare un sito serve l'elenco dei concessionari, non l'assenza dalla lista dei siti bloccati.

Che cosa hanno segnalato Codacons e ADM sui tipster di Telegram?

Il 17 settembre 2025 il Codacons ha descritto «guru» che vendono pronostici con false promesse di vincite certe; secondo l'associazione, il 1° ottobre 2025 l'ADM ha trasmesso una segnalazione all'AGCOM. L'esito non risulta.

Se ho inserito i dati della carta su un sito clone, che cosa succede?

Si avvisa subito la banca, che valuta la richiesta di disconoscimento secondo il d.lgs. 11/2010. Il rimborso non è automatico: può essere negato in caso di colpa grave. La richiesta si può fare entro 13 mesi, ma va comunicata subito.

Come si presenta una denuncia per una truffa nel gioco online?

Presso un ufficio di Polizia; Segnala online non la sostituisce. In alcune zone è in sperimentazione la pre-denuncia online con SPID o CIE, da formalizzare entro 48 ore presso un ufficio della Polizia di Stato.

Fonti

Fonti consultate il 29 settembre 2026.

Aggiornato il 29/09/2026. Le indicazioni sui siti clone dei casinò e la sperimentazione della pre-denuncia online possono cambiare.