False e-mail per il rinnovo della Tessera Sanitaria dal Ministero della Salute: cosa succede con la truffa

Una presunta sostituzione obbligatoria della Tessera Sanitaria, un messaggio che richiama il Ministero della Salute e un sito Web dall’aspetto convincente: sono questi gli elementi utilizzati in una nuova campagna di phishing individuata dal CERT-AGID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale. L’obiettivo dei cybercriminali è indurre gli utenti a credere che sia necessario richiedere un nuovo documento per continuare ad accedere ai servizi sanitari, convincendoli così a fornire dati personali e informazioni di pagamento su pagine fraudolente.

Secondo quanto segnalato, la campagna usa diversi domini Internet fraudolenti che riproducono grafica e identità visiva del portale istituzionale per rendere il raggiro più credibile. Si tratta di una tecnica ormai consolidata che punta a fare leva sulla fiducia riposta negli enti pubblici per spingere le vittime ad abbassare la guardia.

Cos’è e come funziona la truffa della sostituzione della Tessera Sanitaria

Il meccanismo segue uno schema piuttosto semplice, che è stato già osservato in passato, ma studiato per apparire autentico. L’utente riceve una comunicazione che informa della necessità di sostituire la Tessera Sanitaria per adeguarsi a un presunto nuovo sistema elettronico di identificazione sanitaria. Nel messaggio viene anche suggerito che la mancata sostituzione potrebbe comportare la progressiva disattivazione della tessera e, di conseguenza, limitazioni nell’accesso ai servizi sanitari.

In realtà non risultano campagne ufficiali che impongano ai cittadini di sostituire la Tessera Sanitaria con le modalità descritte nel messaggio. È proprio questa falsa urgenza a essere sfruttata dai cybercriminali per convincere le vittime ad abbassare la guardia e fornire i propri dati.

Per completare la procedura, il destinatario deve fare clic su un collegamento che rimanda a un sito progettato per assomigliare a quello del Ministero della Salute. Qui viene richiesto di compilare un modulo con dati anagrafici, recapiti e altri dettagli.

Nella fase successiva compare un riepilogo dei costi per la presunta emissione della nuova tessera. Il sito richiede il pagamento di 6,39 euro, cifra presentata come somma di diverse voci, tra cui 2,50 euro per l’emissione, 0,99 euro per la spedizione e 2,90 euro per l’attivazione del servizio. Una volta avviato il pagamento, le vittime vengono indotte a inserire i dati della carta di pagamento, che insieme alle informazioni personali rappresentano il vero obiettivo del raggiro.

Perché il raggiro può sembrare credibile

Le campagne di phishing non mirano a violare direttamente i sistemi informatici, ma a manipolare il comportamento delle persone. In tal caso i criminali informatici adottano un tema familiare come la Tessera Sanitaria, un documento utilizzato quotidianamente per accedere a numerosi servizi del Sistema Sanitario Nazionale.

A rendere il raggiro ancora più convincente contribuiscono diversi fattori: l’utilizzo di loghi istituzionali, una grafica simile a quella dei portali ufficiali, un linguaggio formale e riferimenti a presunte procedure amministrative. A ciò si aggiungono inviti ad agire rapidamente per evitare presunti disservizi. Sono tutti elementi tipici di questo tipo di truffe, progettati per spingere gli utenti ad agire d’impulso senza verificare l’autenticità dei messaggi ricevuti.

Come riconoscere il phishing ed evitare di cadere nella trappola

Riconoscere questo genere di truffa non è sempre semplice, soprattutto perché i cybercriminali possono riprodurre con grande fedeltà l’aspetto grafico di siti ed email che sembrano provenire da enti pubblici. Per tale motivo, il nome o il logo di un’istituzione non sono sufficienti a garantire l’autenticità di una comunicazione.

Prima di inserire dati personali o di pagamento è pertanto opportuno controllare con attenzione l’indirizzo del sito Web, evitando di accedere attraverso i link contenuti nelle email e preferendo digitare manualmente l’indirizzo del portale ufficiale nel browser. Allo stesso modo, eventuali richieste di pagamenti inattesi o di dati bancari nell’ambito di procedure amministrative dovrebbero essere considerate un campanello d’allarme. In caso di dubbi è preferibile interrompere la procedura e verificare l’eventuale esistenza della richiesta consultando direttamente i canali ufficiali del Ministero della Salute o degli enti competenti, senza utilizzare i link presenti nell’email o nell’SMS.

Il CERT-AGID monitora costantemente campagne del genere e, quando individua nuove infrastrutture fraudolente, avvia le attività di contrasto insieme ai soggetti competenti, aggiornando anche gli indicatori di compromissione utilizzati per identificare i siti malevoli. Tuttavia, poiché i domini utilizzati dai criminali possono cambiare rapidamente, la difesa più efficace resta la prudenza. Per cui, verificare sempre la provenienza delle comunicazioni e diffidare delle richieste che invitano a fornire dati personali o informazioni di pagamento attraverso link ricevuti via email.

non perderti questo video

Cos’è lo schema Ponzi, come funziona la truffa finanziaria e come difendersi