In questo articolo Indice dei contenuti 3 sezioni
Una nuova campagna di phishing sta girando in questi giorni sfruttando il nome del Fascicolo Sanitario Elettronico, con la promessa di un rimborso da 20,73 euro per l’acquisto di farmaci in farmacia. L’allarme è stato lanciato il 18 agosto dal CERT-AgID, la struttura dell’Agenzia per l’Italia Digitale che segue la prevenzione e la gestione degli incidenti informatici nelle pubbliche amministrazioni, monitora le minacce e diffonde avvisi di sicurezza. Il bersaglio, stavolta, sono i cittadini italiani, attirati con una cifra piccola ma credibile.
Il messaggio parla di un presunto rimborso del 19% sui medicinali acquistati, per un importo preciso di 20,73 euro. Quella somma non è scelta a caso, ricalca le percentuali reali delle detrazioni fiscali e serve proprio a far sembrare tutto plausibile. Per completare la messinscena, i truffatori hanno costruito un sito che imita nei minimi dettagli la grafica istituzionale dello Stato italiano, usando in modo fraudolento i loghi del ministero della Salute, del dipartimento per la Trasformazione digitale e del ministero dell’Economia e delle Finanze.
Come funziona la trappola del finto rimborso
Il percorso costruito dai criminali informatici è diviso in passaggi pensati per abbassare la guardia poco alla volta. All’inizio compare una schermata di verifica Captcha, quel controllo che di solito serve a distinguere una persona da un programma automatico e che qui chiede di risolvere una banale operazione aritmetica. Non protegge nessuno, serve solo a dare al sito un’aria seria e a mettere i bastoni tra le ruote ai sistemi automatici che vanno a caccia di pagine pericolose.
Superato quel passaggio, appare una notifica che conferma l’avvenuta elaborazione della pratica di rimborso e invita a proseguire per completare la documentazione. A quel punto il portale fraudolento chiede un pacchetto completo di dati anagrafici, cognome, nome, data di nascita, indirizzo di residenza con città e Codice di Avviamento Postale, più numero di telefono e indirizzo di posta elettronica. Informazioni che valgono parecchio, perché permettono di costruire un profilo dettagliato della persona colpita, materiale utile per attacchi successivi ancora più mirati, magari tramite telefonate o messaggi confezionati su misura.
Il vero obiettivo sono i dati della carta
L’atto finale della truffa riguarda le coordinate bancarie. Con la scusa di dover accreditare il denaro entro una settimana lavorativa, il sito chiede il numero della carta di pagamento, la data di scadenza e il CVV, il codice di sicurezza a tre cifre stampato sul retro. Una volta inviati questi dettagli compare una pagina di conferma con un finto numero di protocollo, un richiamo all’Agenzia delle Entrate e persino un falso numero verde di assistenza, giusto per rassicurare del tutto chi è caduto nella rete.
Le conseguenze non sono leggere. Chi ottiene quelle informazioni può usarle per transazioni fraudolente online oppure rivendere i pacchetti di dati nei mercati neri del web. Il CERT-AgID ha già avviato le procedure per chiudere il dominio malevolo e ha condiviso gli indicatori tecnici dell’attacco con le altre organizzazioni collegate, così da bloccare la circolazione del sito.
I segnali che smascherano il raggiro
Le autorità ricordano un punto che vale sempre, e cioè che i rimborsi istituzionali non vengono mai erogati chiedendo di digitare i codici di sicurezza delle carte su siti raggiunti da un link esterno. Le campagne che imitano servizi pubblici, banche o strutture sanitarie si riconoscono da tre elementi che tornano quasi sempre insieme, un senso di urgenza, la promessa di un vantaggio economico e la richiesta di dati che l’ente in questione non avrebbe alcuna ragione di domandare.
Qui il campanello d’allarme decisivo è proprio il codice CVV, dato che per accreditare del denaro su una carta quel codice non serve a nulla. Vale la pena ricordare anche un’altra cosa, loghi ufficiali, verifiche Captcha, numeri di protocollo e grafica curata non dimostrano affatto che un sito sia autentico, sono elementi facilissimi da copiare. La regola pratica resta semplice. Prima di inserire qualsiasi informazione conviene ignorare il collegamento arrivato via messaggio o email e raggiungere il servizio digitando l’indirizzo ufficiale nel browser, oppure passando dall’applicazione istituzionale.
