Il panorama delle minacce informatiche moderne è in costante espansione, con attori malevoli che affinano continuamente le proprie tecniche per colpire il cittadino comune nella sua quotidianità digitale. Non si tratta più solo di email grossolane provenienti da mittenti sconosciuti, ma di sofisticate campagne di ingegneria sociale che sfruttano la fiducia riposta nelle istituzioni pubbliche. Abbiamo assistito negli ultimi anni, sempre su questo blog, a una proliferazione di tentativi di truffa basati sull’impersonificazione di enti noti, come l’Agenzia delle Entrate per presunti rimborsi fiscali, l’INPS per notifiche su fantomatici bonus, o ancora le banche che avvertono in merito a blocchi improvvisi del conto corrente. Questi attacchi giocano costantemente sulla leva psicologica dell’urgenza o della estrema necessità di regolarizzare una posizione amministrativa, spingendo la vittima ad agire impulsivamente senza le dovute verifiche.
Recentemente, il CERT-AGID ha segnalato l’attivazione di numerose campagne di phishing estremamente insidiose che sfruttano il tema della sostituzione della Tessera Sanitaria spiegando che si dovrà migrare ad un nuovo sistema dal 2026. Le schede da modificare sarebbero, secondo il messaggio ricevuto, quelle emesse prima del 2023, che verranno direttamente rese inattive dal sistema. Oltre al chiaro senso di urgenza, già citato, il fulcro della truffa risiede nell’utilizzo improprio dell’identità visiva del Ministero della Salute. I cybercriminali hanno messo in piedi portali web che imitano in modo quasi perfetto i siti istituzionali, riproducendo loghi, colori ufficiali e persino inserendo sezioni FAQ dinamiche o riferimenti a presunti numeri di protocollo, il tutto per elevare al massimo il livello di credibilità percepita. L’utente, convinto di trovarsi su una pagina governativa autentica, viene indotto a seguire una procedura guidata che appare del tutto legittima e professionale.
Il processo di sottrazione dei dati segue un percorso metodico e ben studiato. Dopo aver attirato la vittima sul sito contraffatto, la procedura richiede inizialmente l’inserimento di dati anagrafici sensibili, come il nome, il cognome, il codice fiscale e il numero di telefono. Per conferire un’ulteriore parvenza di autenticità, viene talvolta data la possibilità di variare l’indirizzo di spedizione della nuova tessera. Il passaggio finale, e più pericoloso, è la richiesta di un pagamento online per le presunte spese di gestione o spedizione. L’importo richiesto è deliberatamente contenuto, meno di sette Euro, una strategia pensata appositamente per non dare troppi pensieri a chi riceve la richiesta fraudolenta, rendendo la transazione percepita come una spesa trascurabile che non merita eccessivi approfondimenti.
A questo punto, l’ignara vittima viene reindirizzata a un modulo di pagamento che richiede i dettagli completi della carta di credito, inclusi il numero, la data di scadenza e il codice CVV. Per indurre un falso senso di sicurezza, la pagina web utilizza rassicurazioni ingannevoli come la dicitura relativa alla sicurezza “al 100%” della transazione e il richiamo alla protezione tramite crittografia SSL. È fondamentale comprendere che il Ministero della Salute non invia mai comunicazioni dirette che richiedono pagamenti online per la gestione o il rinnovo della Tessera Sanitaria. Ogni richiesta che implichi un esborso di denaro tramite link diretti inviati via email o SMS deve essere considerata, senza eccezione alcuna, come un tentativo di frode finanziaria. Tra le altre cose messe in chiaro in modo netto da CERT-AgID c’è anche quella relativa a chi si deve iscrivere a titolo volontario al sistema sanitario nazionale, procedura che non viene mai effettuata con dei link inviati via email, ma solo tramite l’ASL.
In conclusione, di fronte a minacce così ben confezionate, la migliore difesa resta la consapevolezza digitale. È essenziale mantenere un atteggiamento sempre critico e prudente di fronte a qualsiasi comunicazione inaspettata, specialmente se contenente link o richieste di dati sensibili. Prima di fornire informazioni personali o finanziarie, verificate sempre l’URL del sito nella barra degli indirizzi del browser, assicurandovi che appartenga a un dominio governativo ufficiale, solitamente terminante in .gov.it. In caso di dubbi, non interagite con il messaggio, ma cercate autonomamente il sito ufficiale dell’ente coinvolto o rivolgetevi direttamente agli sportelli della vostra ASL di competenza. Ricordate infine di attivare, ove possibile, sistemi di autenticazione a due fattori per proteggere i vostri accessi e di mantenere i vostri software di sicurezza costantemente aggiornati, poiché la prudenza non è mai eccessiva quando si tratta di proteggere la propria identità digitale. Dal canto suo, chiaramente, CERT-AgID ha già provveduto alla segnalazione dei domini coinvolti in questa truffa e ad informare gli enti coinvolti loro malgrado.
Fonte: 1
