Una nuova campagna di phishing sfrutta il Fascicolo Sanitario Elettronico (FSE) per promettere agli utenti un rimborso per l’acquisto di farmaci di 20,73 euro.

La truffa è stata individuata dal CERT-AgID, istituto dell’Agenzia per l’Italia Digitale che supporta le pubbliche amministrazioni nella prevenzione e gestione degli incidenti di sicurezza informatica, monitora le minacce cyber, diffonde avvisi e raccomandazioni di sicurezza e promuove la cultura della cybersicurezza nel settore pubblico.

Una minaccia informatica che sta prendendo di mira i cittadini italiani sfruttando il nome del Fascicolo, ovvero lo strumento digitale che raccoglie l'intera storia clinica di un paziente. Gli esperti hanno lanciato l’allarme il 18 agosto e sensibilizzano gli utenti affinché riconoscano questa campagna di phishing, termine che indica un tentativo di truffa online finalizzato a carpire dati sensibili.

Nello specifico, la truffa del Fascicolo sanitario utilizza in modo fraudolento i loghi del ministero della Salute, del dipartimento per la Trasformazione digitale e del ministero dell'Economia e delle Finanze.

La trappola scatta attraverso un messaggio che promette un presunto rimborso del 19% sull'acquisto di medicinali effettuato in farmacia, per una cifra esatta di 20,73 euro. Questa somma non è casuale ma serve a dare credibilità alla comunicazione, ricalcando le percentuali reali delle detrazioni fiscali.

Per rendere tutto ancora più convincente, i truffatori hanno allestito un sito web malevolo che imita perfettamente la grafica istituzionale dello Stato italiano.

Il percorso ideato dai criminali informatici si articola in diverse fasi studiate per abbassare le difese della vittima. All'inizio viene presentata una schermata di verifica denominata Captcha, un sistema che serve a distinguere un essere umano da un computer, chiedendo di risolvere una semplice operazione aritmetica. In questo caso però il controllo non serve a proteggere l'utente ma ha il solo scopo di far apparire il sito come sicuro e professionale, oltre a ostacolare i sistemi automatici che cercano di individuare i siti pericolosi.

Una volta superato questo passaggio, compare una notifica che conferma l'elaborazione della pratica di rimborso e invita a proseguire per finalizzare la documentazione.

Nella fase successiva il portale fraudolento chiede l'inserimento di un dossier completo di informazioni anagrafiche. Viene richiesto il cognome, il nome, la data di nascita, l'indirizzo di residenza con la città e il Codice di Avviamento Postale, oltre al numero di telefono e alla posta elettronica della vittima.

Questi dati sono preziosi per i malintenzionati perché permettono di costruire un profilo preciso della vittima, che potrà poi essere utilizzato per futuri attacchi ancora più mirati tramite messaggi o telefonate ingannevoli.

L'ultimo atto della truffa riguarda la sottrazione delle coordinate finanziarie. Con il pretesto di dover accreditare il denaro entro una settimana lavorativa, il sito richiede il numero della carta di pagamento, la data di scadenza e il Card Verification Value (CVV), ovvero il codice di sicurezza di tre cifre stampato sul retro della carta.

Una volta inviati questi dettagli, il sistema mostra una pagina finale di conferma con un finto numero di protocollo e un riferimento all'Agenzia delle Entrate e, a corredo, viene anche indicato un falso numero verde di assistenza per tranquillizzare definitivamente la persona raggirata.

Le conseguenze per chi cade in questo inganno possono essere serie, poiché i criminali possono effettuare transazioni fraudolente online o rivendere i pacchetti di dati nei mercati neri del web.

Il CERT-AgID ha già avviato le procedure per far chiudere il dominio malevolo e ha diffuso i segnali tecnici dell'attacco a tutte le altre organizzazioni collegate per bloccare la diffusione del sito.

Le autorità raccomandano la massima prudenza e ricordano che i rimborsi istituzionali non vengono mai erogati richiedendo l'inserimento dei codici di sicurezza delle carte di pagamento su siti raggiunti tramite link esterni.

Le truffe di phishing che imitano servizi pubblici, banche o strutture sanitarie si riconoscono soprattutto da una combinazione di urgenza, da una promessa di un vantaggio economico e dalla richiesta di dati che l’ente non avrebbe motivo di domandare.

In questo caso la vittima viene attirata con un presunto rimborso e condotta attraverso pagine dall’aspetto istituzionale fino alla richiesta di dati anagrafici e, soprattutto, del numero della carta, della scadenza e del codice CVV che, di fatto, è un segnale decisivo che identifica la truffa, giacché per accreditare del denaro su una carta di pagamento, il CVV non è necessario.

Non di meno, loghi ufficiali, Captcha, numeri di protocollo e grafica curata non dimostrano che un sito sia autentico.

Prima di inserire qualsiasi informazione è opportuno ignorare il collegamento ricevuto via messaggio o email e raggiungere il servizio digitandone l’indirizzo ufficiale in un browser o utilizzando l’applicazione istituzionale.