Allerta Phishing: La truffa della sostituzione della Tessera Sanitaria

CERT-AGID lancia l’allarme su una massiccia campagna di phishing che, simulando il rinnovo della Tessera Sanitaria, richiede un pagamento su siti contraffatti per rubare dati personali e bancari.

Negli ultimi giorni, il CERT-AGID e il Ministero della Salute hanno lanciato un serio allarme riguardante una massiccia campagna di phishing che sta colpendo i cittadini italiani. Al centro del raggiro c’è un tema che riguarda tutti noi: il rinnovo della Tessera Sanitaria (TS).

I cybercriminali utilizzano comunicazioni ingannevoli via email e SMS per indurre le vittime a inserire informazioni sensibili su portali malevoli che imitano alla perfezione quelli istituzionali.

Vediamo insieme i dettagli della truffa e come fare a non cadere nella trappola

L’inganno della “sostituzione obbligatoria” 2026
Il “funnel” della truffa: come sottraggono i tuoi soldi
La verità sul rinnovo della Tessera Sanitaria
Come evitare di cadere nella trappola

L’inganno della “sostituzione obbligatoria” 2026

La truffa si basa su un pretesto molto convincente: la presunta necessità di sostituire la vecchia tessera per l’attivazione di un fantomatico “nuovo sistema elettronico di identificazione sanitaria” a partire dal 2026. Il messaggio, costruito per generare un senso di urgenza, avverte che tutte le tessere emesse prima del gennaio 2023 saranno progressivamente disattivate, spingendo l’utente ad agire d’impulso per evitare disservizi.

Il “funnel” della truffa: come sottraggono i tuoi soldi

L’utente viene indirizzato verso siti web che replicano fedelmente l’estetica del Ministero della Salute, completi di loghi, colori istituzionali e persino una finta sezione FAQ.

Il processo fraudolento si articola in tre fasi studiate nei minimi dettagli:

1. Raccolta dati anagrafici: viene richiesto di compilare un modulo con nome, cognome, codice fiscale e numero di telefono.
2. La trappola dei costi contenuti: per rendere il tutto più credibile, viene mostrato un riepilogo di spesa pari a 6,39 euro (suddivisi tra produzione, gestione amministrativa e spedizione). Una cifra così bassa serve a diminuire la soglia di attenzione della vittima.
3. Furto dei dati bancari: lo step finale richiede l’inserimento dei dati della carta di credito (numero, scadenza e CVV) su una pagina che dichiara falsamente di essere protetta da crittografia SSL sul protocollo https, con la dicitura “Pagamento 100% sicuro. I tuoi dati sono protetti con crittografia SSL”.

La verità sul rinnovo della Tessera Sanitaria

È fondamentale ricordare che le procedure descritte in queste email non hanno alcun riscontro nella realtà.

Per i cittadini iscritti al Servizio Sanitario Nazionale, la Tessera Sanitaria non richiede alcuna procedura di rinnovo attivo. Il documento ha una validità di 6 anni e viene spedito gratuitamente e automaticamente dall’Agenzia delle Entrate all’indirizzo di residenza alla scadenza del vecchio.

Il Ministero della Salute non invia mai messaggi diretti che richiedono pagamenti online per questo servizio.

Come evitare di cadere nella trappola

Per difendersi da queste campagne di social engineering, è necessario adottare un approccio prudente e consapevole.

Ecco alcuni suggerimenti fondamentali:

• Analizza l’indirizzo del sito: Non limitarti a guardare la grafica del portale. Controlla sempre l’URL nella barra del browser. I siti ufficiali della Pubblica Amministrazione terminano generalmente in .gov.it.
• Evita i link diretti: Non cliccare mai sui collegamenti presenti in email o SMS sospetti. Se devi verificare lo stato della tua tessera, digita manualmente l’indirizzo ufficiale dell’Agenzia delle Entrate o del Ministero della Salute nel browser.
• Diffida dall’urgenza e dai pagamenti inattesi: La richiesta di un pagamento, anche se esiguo, per un servizio che sai essere gratuito è il principale campanello d’allarme.
• Controlla il mittente: Spesso le email di phishing provengono da indirizzi che non hanno nulla a che fare con le istituzioni, nonostante il nome visualizzato possa sembrare corretto.
• Non fornire dati sensibili: In caso di dubbio, interrompi immediatamente la procedura e contatta i canali ufficiali della tua ASL o del Ministero.
• Cancellazione immediata: Se ricevi un messaggio di questo tipo, non rispondere e non inoltrarlo: la sceltamigliore è cancellarlo subito per evitare distrazioni future.

Vuoi saperne di più? Leggi anche “Phishing. Cos’è e come difendersi“

La sicurezza informatica passa prima di tutto dalla prevenzione. Rimanere aggiornati sulle ultime tattiche dei cybercriminali, come quelle monitorate dal CERT-AGID, è il primo passo per navigare sicuri.