Una email che sembra arrivare dal Ministero della Salute promette un rimborso di 278,26 euro per un presunto doppio pagamento del ticket sanitario. In realtà è una campagna di phishing segnalata dal CERT-AgID: il sito collegato al messaggio chiede prima codice fiscale e dati personali, poi arriva fino al numero della carta, scadenza e CVV.
Il dettaglio più insidioso è il mittente apparentemente istituzionale e una procedura costruita per sembrare una vera pratica di rimborso. Ecco come riconoscere il messaggio e perché il Ministero della Salute non rimborsa direttamente i ticket sanitari con procedure di questo tipo.
La comunicazione fraudolenta, con oggetto “Hai diritto a un rimborso”, comunica al destinatario la possibilità di ricevere un accredito di 278,26 euro per un presunto doppio pagamento di un ticket sanitario.
Il mittente [email protected] viene falsificato attraverso tecniche di spoofing per indurre il destinatario a considerare l’email come proveniente dalla Pubblica Amministrazione e a seguire il collegamento contenuto nel messaggio.
Il meccanismo di phishing
L’email fa riferimento a presunte verifiche sui pagamenti sanitari che avrebbero condotto alla rilevazione di un possibile accredito spettante e invita l’utente, al fine di ottenere il rimborso, a cliccare su un pulsante “Conferma i tuoi dati” che lo conduce al sito malevolo.
Le pagine fraudolente propongono una procedura articolata in quattro fasi:
- Accesso al servizio: viene richiesto alla vittima di inserire codice fiscale e data di nascita per proseguire.
- Visualizzazione del rimborso: il sito mostra una pratica fittizia con causale “Doppio pagamento ticket sanitario”, un codice di riferimento e l’importo di 278,26 euro indicato come pronto per l’accredito.
- Inserimento dei dati personali: la successiva schermata richiede nome e cognome, indirizzo email, numero di cellulare e indirizzo di residenza completo, comprensivo di comune, provincia e CAP.
- Acquisizione dei dati della carta: per ricevere il presunto rimborso vengono infine richiesti intestatario, numero della carta, data di scadenza e CVV. Il sito indica inoltre che la carta deve supportare il sistema 3-D Secure e che le carte prepagate non sarebbero accettate.
“Le informazioni raccolte consentono ai criminali di disporre sia di un insieme completo di dati identificativi e di contatto, sia dei dettagli necessari per tentare operazioni non autorizzate con la carta di pagamento”, riferisce il CERT-AGID spiegando che “i dati possono inoltre essere utilizzati per realizzare ulteriori campagne mirate di smishing, vishing o phishing bancario”.
Il CERT-AGID ha richiesto la dismissione del dominio che ospita le pagine fraudolente e ha informato il Ministero della Salute.
Gli utenti devono fare molta attenzione a questa tipologia di truffe: non esiste nessun servizio del Ministero della Salute che prevede il rimborso di ticket sanitari (eventuali richieste devono essere presentate all’ASL o all’Azienda Ospedaliera).
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di Macitynet.
