In questo articolo Indice dei contenuti 3 sezioni
Circola in questi giorni una nuova truffa costruita attorno a un falso rimborso sui farmaci da 20,73 euro, presentato come se fosse il risultato della detrazione fiscale del 19% sulle spese sanitarie. Una cifra piccola, precisa, con quei due decimali che sembrano usciti da un calcolo vero. Ed è proprio questo il punto: nessuno si insospettisce davanti a venti euro e spiccioli, mentre una promessa da mille euro farebbe scattare l’allarme. La campagna di phishing è stata individuata dal CERT-AGID, la struttura pubblica che affianca la Pubblica Amministrazione nella prevenzione, nel monitoraggio e nella gestione degli incidenti informatici.
Il copione, va detto, non è originale. Loghi ufficiali, nomi istituzionali, grafiche pulite e credibili, tutto pensato per convincere chi legge a consegnare spontaneamente dati personali e informazioni della carta di pagamento. Cambia l’esca, la struttura resta quella di sempre.
Come è costruita la pagina fasulla
La schermata che si apre davanti alla vittima richiama contemporaneamente il Fascicolo Sanitario Elettronico e il Ministero della Salute, con riferimenti anche al Dipartimento per la trasformazione digitale e al Ministero dell’Economia e delle Finanze. Un mix di riferimenti istituzionali messo insieme per dare l’impressione di trovarsi dentro una normale procedura della Pubblica Amministrazione, di quelle noiose e burocratiche che nessuno mette in discussione.
E il lavoro, bisogna riconoscerlo, è fatto con cura. Si comincia addirittura con un finto controllo captcha, la classica operazione matematica da risolvere per dimostrare di non essere un robot. Un dettaglio apparentemente insignificante che invece serve a due scopi diversi. Da un lato rende il sito più solido agli occhi dell’utente, perché quel passaggio è tipico dei portali seri. Dall’altro complica la vita ai sistemi di sicurezza automatici, che faticano ad analizzare una pagina protetta da una verifica interattiva.
Superato il controllo, ecco comparire il presunto rimborso di 20,73 euro con l’invito a confermare la richiesta. Il meccanismo psicologico è semplice: a quel punto la vittima ha già investito qualche secondo nella procedura, ha risolto un piccolo enigma, si sente dentro un flusso legittimo.
Dove la truffa colpisce davvero
Il passaggio successivo chiede di “completare il dossier”. Nome, cognome, data di nascita, indirizzo, CAP, città, numero di telefono, email. Tutte informazioni che in effetti un ente pubblico potrebbe chiedere per verificare un’identità, il che rende il tutto ancora più plausibile.
Poi arriva la parte che interessa realmente a chi sta dietro l’operazione. Per ricevere l’accredito entro una settimana viene richiesto il numero della carta, l’intestatario, la data di scadenza e il CVV. Quest’ultimo dato, il codice a tre cifre sul retro, è il vero obiettivo dell’intera messa in scena. Nessuna amministrazione pubblica lo ha mai chiesto per erogare un rimborso, per il semplice motivo che serve a effettuare pagamenti, non a riceverli.
Il dettaglio che smaschera tutto
La regola resta quella di sempre e vale la pena ripeterla: un rimborso reale non ha bisogno dei dati completi di una carta di credito. Le somme riconosciute dalla Pubblica Amministrazione viaggiano su canali già noti, tramite IBAN comunicati in precedenza o direttamente in dichiarazione dei redditi, mai attraverso un modulo raggiunto cliccando su un link ricevuto per email o messaggio.
Chi si trova davanti a una pagina di questo tipo farebbe bene a controllare l’indirizzo nella barra del browser, perché è lì che si nota la differenza tra un dominio istituzionale autentico e un’imitazione. E in caso di dubbio, la strada più sicura resta accedere ai servizi sanitari digitali passando dai canali ufficiali, con SPID o CIE, senza scorciatoie. Il CERT-AGID continua a segnalare campagne di questo genere, che si moltiplicano soprattutto nei periodi legati a scadenze fiscali e dichiarazioni.
