In questo articolo Indice dei contenuti 2 sezioni
Una nuova truffa phishing sta girando in Italia sfruttando la promessa di un rimborso ticket sanitario mai richiesto, e il meccanismo è tanto semplice quanto efficace. A segnalarla sono stati gli esperti del CERT-AGID, che hanno intercettato email fraudolente confezionate con nome, logo e grafiche del Ministero della Salute. L’obiettivo, come spesso accade in questi casi, è arrivare ai dati personali e soprattutto ai numeri delle carte di pagamento di chi abbocca.
L’oggetto della comunicazione è studiato per far leva sulla curiosità immediata, quel classico “Hai diritto a un rimborso” che difficilmente passa inosservato nella casella di posta. Nel testo si legge che il destinatario avrebbe diritto a un accredito di 278,26 euro per un presunto doppio pagamento di un ticket sanitario. Cifra precisa, non tonda, perché una somma con i centesimi suona molto più credibile di un generico “hai vinto 300 euro”. È un dettaglio che i cybercriminali conoscono bene.
Il mittente falsificato che sembra arrivare dalla Pubblica Amministrazione
Il trucco più insidioso riguarda proprio il mittente. L’indirizzo che compare è fondisanitari@gov.it, falsificato attraverso tecniche di spoofing. In pratica chi riceve il messaggio vede un dominio istituzionale e pensa, comprensibilmente, di avere davanti una comunicazione ufficiale della Pubblica Amministrazione. A quel punto cliccare sul collegamento contenuto nell’email diventa quasi un gesto automatico, senza troppi sospetti.
Da lì in poi il percorso è costruito nei minimi dettagli. Il CERT-AGID ha ricostruito l’intera catena, che si sviluppa in quattro fasi ben distinte. La prima è l’accesso al servizio, con una pagina che chiede semplicemente codice fiscale e data di nascita. Nulla di allarmante in apparenza, anzi, sembra la normale procedura di identificazione di un portale pubblico. Ed è esattamente questa la trappola, perché abbassa la guardia fin dall’inizio.
Come si sviluppa la truffa del falso rimborso ticket sanitario
La seconda fase è quella della visualizzazione del rimborso. La pagina fraudolenta mostra una pratica fittizia con tanto di causale, “Doppio pagamento ticket sanitario”, un codice di riferimento e l’importo di 278,26 euro indicato come pronto per l’accredito. Tutto molto ordinato, molto burocratico, molto simile a quello che ci si aspetterebbe da un vero portale sanitario. La messa in scena funziona proprio perché non esagera. Poi arriva la richiesta dei dati personali. Nome e cognome, indirizzo email, numero di cellulare e residenza completa, con comune, provincia e CAP. Anche qui, dal punto di vista della vittima, sembra tutto coerente con una pratica di rimborso reale. Chi è arrivato fin qui ha già investito qualche minuto nel processo e difficilmente si ferma.
L’ultimo passaggio è quello decisivo, l’acquisizione dei dati della carta di pagamento. Numero della carta, data di scadenza e CVV, presentati come informazioni necessarie per ricevere l’accredito. Un dettaglio che gli esperti hanno voluto sottolineare, il sito specifica che la carta deve supportare il sistema 3-D Secure e che le carte prepagate non sarebbero accettate. Una precisazione che sembra una garanzia di serietà e invece serve solo a rendere la messa in scena più convincente, oltre che a orientare i truffatori verso carte potenzialmente più remunerative.
Il punto da tenere a mente è semplice. Nessuna amministrazione pubblica chiede numero di carta e CVV per erogare un rimborso, perché un accredito reale viaggia su IBAN o su canali già registrati e verificati. Quando una richiesta del genere compare in una pagina web, indipendentemente da quanto sia curata la grafica, si tratta di phishing. Chi dovesse ricevere un’email di questo tipo farebbe bene a non cliccare su nulla e a cancellarla direttamente. Nel caso in cui i dati siano già stati inseriti, la mossa immediata è contattare la propria banca per bloccare la carta e segnalare l’accaduto.
