🛡️ Executive Summary
- Una falsa email del Ministero della Salute promette 278,26 euro per un doppio pagamento del ticket e usa spoofing del mittente per apparire ufficiale.
- Il portale fraudolento raccoglie codice fiscale, nascita, contatti, residenza e infine numero, scadenza e CVV della carta destinata al presunto accredito.
- CERT-AGID ha chiesto la dismissione del dominio malevolo, avvisato il Ministero e condiviso gli IoC con Pubbliche Amministrazioni e organizzazioni accreditate.
Un falso rimborso sanitario da 278,26 euro viene utilizzato per sottrarre identità complete e dati delle carte di pagamento agli utenti italiani. La nuova campagna individuata da CERT-AGID impersona il Ministero della Salute, falsifica il mittente [email protected] e comunica alla vittima di avere diritto alla restituzione di un presunto doppio pagamento del ticket. Dietro il pulsante “Conferma i tuoi dati” si nasconde però una procedura di phishing in quattro passaggi che parte da codice fiscale e data di nascita e termina con l’acquisizione del PAN della carta, scadenza e CVV. È l’ennesima declinazione di un modello che sta trasformando rimborsi, servizi sanitari e portali pubblici in esche sempre più strutturate.
Cosa leggere
Il mittente gov.it falsificato rende credibile il falso rimborso
Secondo l’analisi tecnica pubblicata da CERT-AGID, l’email presenta come oggetto “Hai diritto a un rimborso” e sostiene che verifiche sui pagamenti sanitari abbiano individuato un accredito spettante al destinatario per un doppio versamento. L’importo indicato, 278,26 euro, è abbastanza specifico da simulare il risultato di una reale pratica amministrativa. Il particolare più insidioso è il mittente [email protected], che viene falsificato attraverso tecniche di spoofing e non costituisce quindi una prova della provenienza governativa del messaggio. Lo schema riprende una dinamica già emersa nelle campagne che imitano SPID, pagoPA, Polizia di Stato e ARERA, dove la credibilità dell’ente viene usata per accompagnare l’utente verso un’infrastruttura completamente estranea alla Pubblica Amministrazione.
Quattro schermate costruiscono un profilo completo della vittima
Il portale malevolo non chiede immediatamente i dati della carta, ma costruisce un percorso progressivo che imita una vera procedura digitale. Nel primo passaggio vengono richiesti codice fiscale e data di nascita; successivamente compare una pratica fittizia con causale “Doppio pagamento ticket sanitario”, codice di riferimento e importo già pronto per l’accredito. La terza schermata amplia la raccolta a nome, cognome, email, cellulare e indirizzo completo di residenza, inclusi comune, provincia e CAP.
Solo alla fine viene presentato il modulo finanziario con intestatario, numero della carta, scadenza e CVV. La struttura è particolarmente efficace perché trasforma la consegna dei dati bancari nell’ultimo passaggio di una procedura che appare ormai coerente. Lo stesso settore sanitario era già stato sfruttato con il phishing sulla presunta scadenza della tessera sanitaria, dove l’autorevolezza percepita del servizio pubblico diventava la principale leva di ingegneria sociale.
La richiesta del 3-D Secure serve a rendere la truffa più plausibile
La pagina finale introduce anche un dettaglio apparentemente tecnico: sostiene che la carta debba supportare 3-D Secure e che quelle prepagate non siano accettate. Non è una caratteristica necessaria a ricevere un rimborso, ma un elemento costruito per imitare le verifiche normalmente associate ai pagamenti elettronici e aumentare la fiducia della vittima.
Il risultato per gli attaccanti è particolarmente ricco: non vengono raccolti soltanto i dati necessari per tentare operazioni fraudolente con la carta, ma anche un insieme quasi completo di informazioni identificative e di contatto. Questi dati possono alimentare successive campagne di smishing, vishing e phishing bancario molto più personalizzate. Il fenomeno si inserisce nel quadro osservato tra maggio e luglio, quando false multe, stealer e impersonificazioni di enti pubblici hanno dominato le campagne italiane, con Ministero della Salute, INPS e Agenzia delle Entrate tra i marchi maggiormente sfruttati.
Il rimborso sostituisce la minaccia ma conduce sempre alla carta
La nuova campagna è interessante anche perché non utilizza paura o minaccia come leva principale. A differenza delle false multe SEND e pagoPA che spingono al pagamento attraverso urgenza e rischio di sanzioni, qui l’utente viene attirato dalla prospettiva di ricevere denaro. Il meccanismo psicologico cambia, ma l’architettura rimane la stessa: un ente conosciuto, una pratica apparentemente verificata, un importo credibile e una sequenza di moduli che rende naturale l’inserimento della carta. Già a gennaio CERT-AGID registrava un forte abuso dei marchi istituzionali italiani, con Ministero della Salute e Sistema Tessera Sanitaria utilizzati per ottenere dati personali e finanziari. La familiarità crescente dei cittadini con servizi pubblici digitali sta quindi offrendo ai criminali non soltanto nuovi marchi da imitare, ma vere procedure amministrative da ricostruire passo dopo passo.
CERT-AGID chiede il takedown e distribuisce gli indicatori
CERT-AGID ha richiesto la dismissione del dominio che ospitava le pagine fraudolente, ha informato il Ministero della Salute e ha distribuito gli Indicatori di Compromissione alle Pubbliche Amministrazioni e alle organizzazioni accreditate al proprio flusso IoC. L’intervento riduce la durata operativa dell’infrastruttura, ma non impedisce agli stessi template di ricomparire rapidamente sotto nuovi domini. È il motivo per cui il controllo deve concentrarsi soprattutto sulla coerenza della richiesta: un rimborso sanitario inatteso non dovrebbe essere verificato attraverso il collegamento ricevuto via email, ma raggiungendo autonomamente i servizi istituzionali. Le 189 campagne malevole analizzate dal CERT-AGID già nelle prime settimane del 2026 mostravano la stessa specializzazione su SPID, tessera sanitaria, PA e servizi finanziari. Il nuovo falso rimborso da 278,26 euro conferma quindi una tendenza ormai consolidata: il phishing italiano non si limita più a clonare una pagina, ma ricostruisce un’intera esperienza amministrativa per convincere la vittima a consegnare spontaneamente identità e strumenti di pagamento.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
