🛡️ Executive Summary
- Il CERT-AGID segnala campagne di phishing che simulano la sostituzione della tessera sanitaria attraverso falsi portali istituzionali.
- I siti fraudolenti raccolgono dati anagrafici e informazioni complete delle carte di pagamento sfruttando un presunto rinnovo obbligatorio.
- La tessera sanitaria viene rinnovata gratuitamente tramite i canali ufficiali e non richiede pagamenti né procedure avviate tramite email o SMS.
Una nuova campagna di phishing prende di mira i cittadini italiani sfruttando il tema della tessera sanitaria. L’allarme arriva dal CERT-AGID, che ha individuato diversi siti fraudolenti progettati per imitare l’aspetto dei portali istituzionali e convincere gli utenti a consegnare dati personali e informazioni sulle proprie carte di pagamento. La truffa si basa su una falsa comunicazione secondo cui tutte le tessere sanitarie emesse prima del gennaio 2023 dovrebbero essere sostituite per adeguarsi a un presunto nuovo sistema di identificazione sanitaria elettronica. Facendo leva sul timore di perdere l’accesso ai servizi sanitari, i criminali informatici inducono le vittime a seguire una procedura apparentemente ufficiale che termina con il furto di informazioni sensibili. Si tratta dell’ennesima campagna che sfrutta il nome delle istituzioni pubbliche per ottenere credenziali, dati finanziari e informazioni personali da utilizzare in successive frodi.
Cosa leggere
La falsa sostituzione della tessera sanitaria
La narrazione costruita dagli attaccanti è studiata per apparire credibile. Nei messaggi viene sostenuto che le tessere sanitarie più datate saranno progressivamente disattivate e che, per continuare ad accedere ai servizi del Servizio Sanitario Nazionale, sia necessario richiedere una nuova tessera attraverso una procedura online. L’urgenza rappresenta uno degli elementi chiave della truffa: il cittadino viene portato a credere che un eventuale ritardo possa comportare la perdita dell’assistenza sanitaria o problemi nell’identificazione presso le strutture pubbliche. Questo meccanismo psicologico riduce la capacità critica della vittima e aumenta la probabilità che venga seguito il collegamento presente nel messaggio senza ulteriori verifiche.
Portali falsi costruiti per sembrare istituzionali
I siti individuati dal CERT-AGID riproducono con grande accuratezza la grafica dei portali del Ministero della Salute, utilizzando loghi ufficiali, colori istituzionali, numeri di protocollo apparentemente autentici e sezioni dedicate alle domande frequenti. L’obiettivo è trasmettere un’impressione di legittimità fin dal primo accesso. Anche i nomi dei domini vengono scelti per richiamare quelli delle amministrazioni pubbliche, cambiando frequentemente per evitare il blocco da parte dei sistemi di sicurezza. La qualità grafica delle pagine rende difficile per un utente poco esperto distinguere il sito fraudolento da quello autentico, soprattutto se la navigazione avviene rapidamente da smartphone o attraverso il collegamento ricevuto via email o SMS.
Dati personali e carta di credito finiscono nelle mani dei criminali
La procedura proposta dai truffatori è articolata in più passaggi, così da apparire coerente con una normale pratica amministrativa. In una prima fase vengono richiesti nome, cognome, codice fiscale e altri dati identificativi. Successivamente viene domandato un indirizzo alternativo per la spedizione della presunta nuova tessera sanitaria. L’ultima fase è quella realmente ricercata dagli aggressori: il sistema chiede infatti il numero completo della carta di credito, la data di scadenza e il codice CVV, giustificando la richiesta come un piccolo contributo amministrativo per la sostituzione del documento. Una volta completata la procedura, tutte le informazioni vengono inviate ai server controllati dai criminali e possono essere utilizzate per effettuare pagamenti fraudolenti, tentativi di furto d’identità oppure essere rivendute nei circuiti del cybercrime.
Come avviene realmente il rinnovo della tessera sanitaria
Le autorità ricordano che la procedura descritta nei messaggi è completamente falsa. Per i cittadini aventi diritto all’assistenza sanitaria, il rinnovo della tessera sanitaria viene effettuato automaticamente e gratuitamente dall’Agenzia delle Entrate, che provvede alla spedizione del nuovo documento direttamente all’indirizzo di residenza senza richiedere alcuna iniziativa preventiva. Anche per gli iscritti volontariamente al Servizio Sanitario Nazionale, eventuali procedure amministrative vengono gestite esclusivamente attraverso i canali ufficiali delle ASL competenti e non tramite collegamenti inviati via posta elettronica o SMS. Nessun ente pubblico richiede il pagamento online per il rinnovo della tessera sanitaria attraverso siti raggiunti mediante link presenti in comunicazioni ricevute dagli utenti.
Le indicazioni del CERT-AGID
Dopo l’individuazione della campagna, il CERT-AGID ha avviato le procedure per richiedere la disattivazione dei domini fraudolenti presso i rispettivi registrar e ha condiviso gli indicatori di compromissione con le organizzazioni accreditate. L’agenzia invita inoltre cittadini e amministrazioni a mantenere alta l’attenzione verso qualsiasi comunicazione che richieda l’inserimento di dati personali o finanziari con carattere di urgenza. In presenza di dubbi è sempre consigliabile raggiungere manualmente i siti del Ministero della Salute, dell’Agenzia delle Entrate o della propria ASL, evitando di utilizzare i collegamenti presenti nei messaggi ricevuti. Verificare attentamente l’indirizzo del sito, controllare il dominio utilizzato e diffidare di richieste di pagamento rappresentano le prime difese contro questo tipo di frode.
La sanità continua a essere uno dei temi preferiti dal phishing
Le campagne che sfruttano servizi sanitari e amministrazione pubblica continuano a essere tra le più efficaci perché fanno leva su comunicazioni che riguardano direttamente tutti i cittadini. Negli ultimi anni i criminali informatici hanno utilizzato con frequenza crescente falsi avvisi relativi a rimborsi sanitari, prenotazioni, fascicolo sanitario elettronico, SPID e documenti amministrativi. L’obiettivo resta sempre lo stesso: ottenere informazioni personali e finanziarie sfruttando la fiducia nei confronti delle istituzioni. L’episodio segnalato dal CERT-AGID conferma quindi quanto sia importante verificare sempre l’autenticità delle comunicazioni ricevute e ricordare che le amministrazioni pubbliche non richiedono dati delle carte di pagamento attraverso siti raggiunti da link inviati via email o SMS. Una corretta informazione rimane uno degli strumenti più efficaci per limitare il successo di queste campagne di phishing.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
