Postamat, premi tasto 9 e compare un QR Code: ecco cosa succede davvero

C’è una funzione degli ATM Postamat che molti clienti di Poste Italiane non conoscono: davanti allo sportello automatico, senza inserire alcuna carta, è possibile premere semplicemente il tasto 9 e avviare una procedura di prelievo dei contanti. Il fatto è che tante testate online stanno presentando la funzionalità in maniera del tutto imprecisa, lasciando adito a interpretazioni che non corrispondono affatto alla reale modalità del servizio Poste.

Va premesso, innanzi tutto, che il tasto 9 non consente da solo di prelevare denaro e non rappresenta una scorciatoia capace di aggirare PIN o altre verifiche di sicurezza. Serve invece ad attivare il prelievo senza carta, o cardless withdrawal, attraverso lo smartphone.

La procedura è espressamente descritta nelle pagine ufficiali di Poste Italiane: premendo 9 sul tastierino del Postamat compare sul monitor un QR Code. Il cliente deve acquisirlo tramite l’App Poste Italiane, scegliere il rapporto o la carta dalla quale prelevare, indicare l’importo e autorizzare infine l’operazione con PosteID o con il sistema biometrico configurato sul dispositivo. La procedura è descritta, tra l’altro, nelle informazioni ufficiali dedicate a Postepay Evolution (basta cliccare su Prelievo tramite smartphone) e nelle pagine dei prodotti compatibili.

La particolarità sta quindi nel fatto che buona parte dell’interazione che normalmente avverrebbe tra carta, ATM e tastierino viene trasferita sullo smartphone.

Che cosa succede realmente quando si preme 9 sul Postamat

Il tasto 9 può essere premuto prima di inserire una carta. Il Postamat interpreta questa scelta come la richiesta di iniziare una sessione di prelievo cardless e mostra a video il codice QR necessario per mettere in comunicazione la procedura avviata sull’ATM con quella presente nell’app.

Si accede all’App Poste Italiane e si sceglie “Prelievo senza carta“; sul Postamat si preme il tasto 9; sul display dell’ATM compare il QR Code; il codice viene acquisito inquadrandolo con la fotocamera dello smartphone; dall’app si sceglie lo strumento dal quale effettuare il prelievo, si indica l’importo e infine si autorizza l’operazione tramite PosteID, impronta digitale o altro sistema biometrico supportato.

Soltanto dopo l’autorizzazione il Postamat può procedere con l’erogazione del contante. La funzione è documentata, ad esempio, anche nella pagina ufficiale dedicata alla Carta di Debito Postepay (Prelievo agli ATM Postamat tramite smartphone).

Premere 9, quindi, non equivale affatto ad autorizzare un prelievo. Il comando dice semplicemente all’ATM che si vuole utilizzare il canale alternativo basato sull’app.

Perché il PIN della carta non viene richiesto

Nel prelievo tradizionale l’ATM identifica innanzitutto lo strumento di pagamento attraverso la carta inserita nel lettore. Il cliente dimostra poi di essere autorizzato a utilizzarla digitando il relativo PIN. Con il prelievo tramite smartphone il flusso cambia.

La carta fisica non entra mai nel Postamat e, di conseguenza, non avrebbe senso chiedere sul tastierino il relativo PIN: la selezione dello strumento dal quale prelevare e l’autorizzazione avvengono sul dispositivo mobile. Non significa che il prelievo sia “senza autenticazione”: cambia semplicemente il punto nel quale essa avviene.

Il principio è simile a quello ormai comune nei pagamenti digitali: invece di dimostrare il possesso e la conoscenza delle credenziali attraverso carta e PIN dell’ATM, la conferma avviene attraverso il dispositivo già associato ai servizi dell’utente.

Il QR Code non contiene “i soldi”

Un altro equivoco possibile riguarda il QR Code visualizzato dal Postamat. Non deve essere considerato come una sorta di codice che rappresenta direttamente il conto corrente, la carta o l’importo da prelevare. La scansione rappresenta soltanto una fase iniziale della procedura: dopo averla effettuata, l’utente deve ancora selezionare lo strumento di pagamento, stabilire la somma e autorizzare l’operazione.

Poste non pubblica nei documenti destinati alla clientela il formato interno del QR Code né il protocollo utilizzato per associare lo smartphone alla sessione aperta sull’ATM.

I più curiosi possono però esaminare, con apposite app, il contenuto del codice QR: il QR Code ha  la funzione di identificare e collegare la sessione cardless appena aperta sull’ATM con quella che l’utente sta avviando nell’App Poste Italiane. In termini tecnici, è quindi ragionevole aspettarsi un payload contenente un riferimento alla transazione o alla sessione del terminale, eventualmente accompagnato da altri parametri necessari ai sistemi di Poste per riconoscere quel preciso Postamat e quella specifica richiesta.

Anche il Libretto Smart può usare il tasto 9

La funzione non riguarda soltanto le carte Postepay. Poste Italiane prevede il prelievo senza carta anche per i titolari di Libretto Smart abilitati alle funzionalità dispositive dell’App Poste Italiane.

La procedura ufficiale è sostanzialmente la stessa: dall’app si sceglie “Prelievo senza carta” oppure la funzione per inquadrare il QR Code; sull’ATM si seleziona il tasto 9 e si acquisisce il codice visualizzato sullo schermo. Si indica quindi l’importo e si autorizza il prelievo tramite PosteID.

La possibilità è confermata nelle FAQ ufficiali di Poste Italiane dedicate a Buoni e Libretti, nelle quali sono descritte anche le modalità di prelievo tramite ATM Postamat senza utilizzare fisicamente la Carta Libretto.

È più sicuro del normale prelievo con carta?

Il prelievo cardless elimina alcuni elementi tipici dell’interazione tradizionale con un ATM. Non si inserisce materialmente la carta nel lettore e non si digita il PIN della carta sul tastierino. Il vantaggio più evidente è quindi l’assenza della carta fisica nella procedura: non può essere dimenticata nello sportello né trattenuta dal lettore e il PIN non può essere osservato mentre viene digitato sull’ATM.

Non bisogna però trasformare questi vantaggi in un’affermazione assoluta secondo cui il metodo sarebbe immune dalle frodi. L’elemento critico si sposta semplicemente verso smartphone, app e autorizzazione dell’operazione.

Poste Italiane ricorda esplicitamente di non comunicare mai a terzi password, PosteID, PIN della carta, CVV o codici OTP. L’azienda mette inoltre in guardia dalle persone che, fingendo l’esistenza di problemi di sicurezza sul conto o sulla carta, inducono il cliente a recarsi presso un Ufficio Postale o un ATM ed eseguire operazioni sotto la loro guida. Le raccomandazioni sono raccolte nella guida ufficiale Come difendersi dalle truffe pubblicata da Poste Italiane.

Se qualcuno telefona sostenendo di essere un operatore di Poste e invita a recarsi al Postamat, premere determinati tasti, inquadrare codici o autorizzare operazioni dall’app, non si sta seguendo una normale procedura di assistenza. Poste raccomanda di non fornire credenziali e codici di sicurezza attraverso telefonate, SMS, email o collegamenti ricevuti dall’esterno.

Il tasto 9 non è un trucco: è la porta d’ingresso al prelievo cardless

La funzione può sorprendere proprio per la sua semplicità. Si arriva davanti al Postamat, non si inserisce alcuna carta e si preme il tasto 9. A quel punto compare un QR Code e la parte principale dell’operazione prosegue sullo smartphone. Ma dietro quel singolo tasto non c’è alcuna funzione segreta dell’ATM.

Il tasto 9 rappresenta soltanto il comando scelto da Poste Italiane per avviare il prelievo senza carta. La disponibilità dei fondi continua a dipendere dal rapporto selezionato; l’importo deve essere indicato dall’utente e, soprattutto, la disposizione deve essere autorizzata attraverso l’App Poste Italiane.

La carta fisica e il suo PIN scompaiono quindi dalla procedura, ma non scompare l’autenticazione.

Il prelievo senza carta non è una particolarità di Poste Italiane

Il meccanismo utilizzato dai Postamat non rappresenta un caso isolato nel settore bancario italiano.

Diversi istituti di credito consentono già di prelevare contanti senza inserire fisicamente la carta nell’ATM, affidando allo smartphone l’identificazione e l’autorizzazione dell’operazione.

Intesa Sanpaolo, ad esempio, permette di usare l’app per inquadrare il QR Code mostrato dalla cassa veloce; UniCredit propone il servizio Prelievo Smart sugli ATM BancoSmart, mentre BNL adotta una procedura particolarmente simile a quella di Poste Italiane: sull’ATM si preme il tasto 1, compare un QR Code e il prelievo viene poi completato e autorizzato dallo smartphone. Soluzioni analoghe sono disponibili anche presso altri istituti, tra cui Crédit Agricole e Banco BPM.

Il tasto 9 è quindi una scelta specifica dei Postamat, ma l’idea alla base del servizio è ormai consolidata: il QR Code serve ad associare lo smartphone alla sessione aperta sull’ATM, mentre la scelta del conto, dell’importo e l’autorizzazione restano affidate all’app bancaria installata sul terminale del correntista.