🛡️ Executive Summary
- Una campagna phishing imita Fascicolo Sanitario Elettronico, Ministero della Salute e altri enti promettendo un falso rimborso farmaci del 19%.
- Il sito raccoglie dati anagrafici completi e informazioni della carta, utilizzando captcha, protocollo e schermate istituzionali per aumentare la credibilità.
- CERT-AGID ha avviato il takedown del dominio e distribuito gli IoC alle Pubbliche Amministrazioni e alle organizzazioni accreditate.
Una nuova campagna di phishing sanitario prende di mira i cittadini italiani sfruttando il Fascicolo Sanitario Elettronico e la promessa di un falso rimborso del 19% sull’acquisto di farmaci, quantificato in 20,73 euro. Il sito fraudolento riproduce loghi e riferimenti del Ministero della Salute, del Dipartimento per la trasformazione digitale e del Ministero dell’Economia e delle Finanze, accompagnando la vittima attraverso una procedura costruita per sembrare amministrativa. L’obiettivo finale non è però il rimborso: vengono sottratti dati anagrafici completi e informazioni della carta di pagamento, materiale utile sia per transazioni fraudolente sia per successive campagne di social engineering.
Cosa leggere
Il falso rimborso farmaci replica una pratica amministrativa
La campagna individuata dal CERT-AGID il 18 agosto 2026 utilizza come leva la detrazione fiscale del 19% associata alle spese sanitarie, trasformandola in un presunto accredito immediato. Dopo il primo accesso al sito fraudolento, la vittima incontra una falsa verifica di sicurezza basata su una semplice operazione aritmetica. Il passaggio ha una doppia funzione: rende la pagina più credibile e può ostacolare crawler e sistemi automatici utilizzati per analizzare rapidamente i domini di phishing. Superato il controllo compare una schermata che comunica l’elaborazione del rimborso di 20,73 euro e invita a confermare la pratica. Lo schema riprende una tecnica già osservata nel phishing sulla tessera sanitaria che utilizzava falsi portali istituzionali per sottrarre dati personali e carte, ma sostituisce la minaccia di perdere un servizio con una promessa economica apparentemente vantaggiosa.
Dati anagrafici e carta vengono raccolti in sequenza
Dopo la conferma del presunto rimborso, il sito apre una sezione denominata “Completa il tuo dossier” e chiede cognome, nome, data di nascita, CAP, indirizzo di residenza, città, numero telefonico ed email. Il percorso continua quindi verso la richiesta dei dati completi della carta: nome del titolare, numero, scadenza e CVV. La giustificazione è l’accredito del rimborso entro una settimana lavorativa.
L’ultima schermata chiude il percorso con un falso numero di protocollo, lo stato “In elaborazione”, un riferimento all’Agenzia delle Entrate e persino un numero verde di assistenza inventato. La struttura non è casuale: il phishing italiano sta sempre più replicando l’intero procedimento amministrativo invece di limitarsi a clonare una singola pagina di login. Lo stesso modello è comparso pochi giorni fa nelle campagne che imitavano SPID, pagoPA, Polizia di Stato e ARERA, dove l’utente veniva accompagnato gradualmente fino alla consegna della carta.
Sanità e istituzioni diventano una leva di fiducia
Il valore della campagna non risiede soltanto nella qualità grafica. Gli attaccanti combinano Fascicolo Sanitario Elettronico, Ministero della Salute, MEF e Agenzia delle Entrate, creando una continuità narrativa nella quale più istituzioni reali sembrano partecipare alla stessa pratica. Per il cittadino, un rimborso sanitario collegato alla fiscalità può apparire plausibile proprio perché detrazioni e spese mediche sono realmente gestite attraverso sistemi pubblici differenti.
La stessa economia della fiducia è stata osservata nello smishing INPS che raccoglie documenti, CUD, buste paga e selfie attraverso un falso portale istituzionale, dimostrando come i criminali stiano ampliando il valore delle informazioni sottratte ben oltre username e password. Un profilo completo composto da dati anagrafici, contatti e carta può infatti alimentare vishing bancario, smishing mirato, impersonificazione e frodi finanziarie successive.
Il CERT-AGID avvia il takedown e distribuisce gli IoC
Il CERT-AGID ha avviato le procedure per la dismissione del dominio malevolo e ha condiviso gli Indicatori di Compromissione con le Pubbliche Amministrazioni e le organizzazioni accreditate al proprio flusso IoC. L’azione di contrasto riduce la durata operativa dell’infrastruttura, ma non elimina il modello di attacco, facilmente replicabile attraverso nuovi domini e nuove esche. Per l’utente il controllo più efficace resta verificare la provenienza della comunicazione e raggiungere autonomamente i portali sanitari e fiscali senza utilizzare collegamenti ricevuti tramite email, SMS o messaggistica. Un rimborso sanitario non richiede l’inserimento del CVV della carta all’interno di una pagina raggiunta attraverso una comunicazione non verificata. Anche l’accuratezza della grafica, la presenza di captcha, protocolli o loghi istituzionali non costituisce prova di autenticità: la recente sequenza di phishing contro servizi pubblici italiani mostra che proprio questi elementi sono ormai parte integrante del kit di ingegneria sociale.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
