Il CERT-AgID ha individuato una nuova campagna di phishing che sfrutta l’identità visiva e i loghi del Fascicolo Sanitario Elettronico, del Ministero della Salute, del Dipartimento per la trasformazione digitale e del Ministero dell’Economia e delle Finanze. L’obiettivo è raccogliere informazioni personali e dati delle carte di pagamento delle vittime attraverso un falso procedimento per ottenere un rimborso sulle spese farmaceutiche. La campagna fa leva su un incentivo apparentemente credibile. All’utente viene comunicato che sarebbe disponibile un rimborso pari al 19% della spesa sostenuta per l’acquisto di medicinali, quantificato in 20,73 euro. La presenza di riferimenti a servizi pubblici e istituzioni nazionali contribuisce a rendere la comunicazione più convincente.
Un percorso costruito per sembrare autentico
Il sito fraudolento (hxxps://fascicolo-sanitario[.]com) è stato progettato attraverso una sequenza di schermate che accompagna progressivamente la vittima fino alla sottrazione delle informazioni finanziarie. Il primo passaggio consiste in una falsa verifica CAPTCHA basata su una semplice operazione matematica. Oltre a simulare un controllo di sicurezza, questo meccanismo può ostacolare alcuni sistemi automatici di analisi e scansione dei contenuti.
Superata la verifica, la vittima visualizza una pagina con grafica istituzionale che comunica l’elaborazione del presunto rimborso. L’importo di 20,73 euro viene associato alla detrazione fiscale del 19% e l’utente viene invitato a confermare la procedura.
Il passaggio successivo porta alla raccolta dei dati anagrafici. Il modulo richiede nome, cognome, data di nascita, CAP, indirizzo, città, numero di telefono e indirizzo e-mail. Si tratta di informazioni particolarmente preziose perché possono essere riutilizzate per successive campagne di social engineering.
La fase più delicata arriva quando il sito richiede i dati completi della carta di pagamento. Alla vittima vengono richiesti titolare, numero della carta, data di scadenza e codice CVV, con la giustificazione che queste informazioni sarebbero necessarie per accreditare il rimborso entro una settimana lavorativa. È proprio questo passaggio a evidenziare la finalità della campagna. La combinazione tra dati anagrafici e informazioni della carta può consentire ai criminali di tentare transazioni fraudolente, monetizzare le informazioni attraverso circuiti illeciti oppure utilizzare il profilo raccolto per campagne successive e maggiormente personalizzate. Il possesso di numero di telefono, e-mail e dati anagrafici può infatti rendere più efficace un successivo attacco di smishing, phishing o vishing, soprattutto se il criminale dispone anche di informazioni relative alle abitudini o ai servizi utilizzati dalla vittima.
Una falsa conferma per completare la truffa
Dopo l’invio delle informazioni, il portale mostra una schermata conclusiva che comunica la trasmissione della richiesta di rimborso. Compare anche un falso numero di protocollo e lo stato della pratica indicato come “In elaborazione”. La pagina richiama inoltre l’Agenzia delle Entrate e indica un presunto accredito entro sette giorni lavorativi, accompagnato da un falso numero verde di assistenza. Questo ultimo elemento contribuisce a rafforzare la percezione di autenticità della procedura e può indurre la vittima a non sospettare immediatamente di essere stata ingannata.
La campagna dimostra ancora una volta come il phishing rivolto ai cittadini stia puntando sempre più sull’abuso dell’immagine di servizi pubblici digitali. In questo caso il riferimento al Fascicolo Sanitario Elettronico permette di combinare un tema sanitario con una promessa economica, due elementi capaci di aumentare sensibilmente l’efficacia dell’inganno. La richiesta di dati della carta per ricevere un rimborso rappresenta tuttavia un importante campanello d’allarme. Di fronte a comunicazioni di questo tipo è fondamentale evitare di seguire i link ricevuti tramite e-mail, SMS o altri canali e verificare eventuali rimborsi esclusivamente attraverso i portali istituzionali raggiunti autonomamente, senza utilizzare i collegamenti presenti nel messaggio sospetto.
