Fascicolo Sanitario Elettronico: attenzione al falso rimborso che ruba i dati della carta

Una nuova campagna di phishing sta sfruttando il nome e l’aspetto del Fascicolo Sanitario Elettronico per cercare di convincere gli utenti a consegnare dati personali e informazioni delle proprie carte di pagamento. A individuare la campagna è stato il CERT-AGID, che ha segnalato un sito fraudolento costruito per imitare le grafiche e i loghi di diverse istituzioni italiane.

L’esca utilizzata da cybercriminali è particolarmente semplice, un presunto rimborso di 20,73 euro relativo all’acquisto di medicinali in farmacia, presentato come una detrazione fiscale del 19%. Una cifra relativamente contenuta, ma sufficiente per attirare l’attenzione e spingere l’utente a completare rapidamente la procedura.

Il sito malevolo utilizza infatti riferimenti al Fascicolo Sanitario Elettronico, al Ministero della Salute, al Dipartimento dell’Economia e delle Finanze, così da creare un’apparenza di legittimità e rendere più difficile riconoscere immediatamente la truffa.

Segui TuttoAndroid su Google Discover

La truffa del Fascicolo Sanitario Elettronico parte da un falso controllo di sicurezza

La campagna è stata progettata attraverso una sequenza di passaggi che accompagna progressivamente la vittima fino alla richiesta dei dati della carta, il primo elemento utilizzato dai criminali è addirittura un finto controllo CAPTCHA.

L’utente si trova davanti una semplice operazione aritmetica che dovrebbe servire a dimostrare di non essere un robot. In realtà, come spiegato dal CERT-AGID, questo passaggio non offre alcuna protezione alla vittima, serve soprattutto a creare una falsa percezione di sicurezza e a ostacolare eventuali sistemi automatici di analisi e rilevamento.

Superato il controllo, la pagina mostra un riepilogo dall’aspetto istituzionale nel quale viene comunicato che la richiesta relativa al rimborso di 20,73 euro sarebbe in fase di elaborazione. Per completare la procedura viene quindi chiesto di premere il pulsante Conferma.

A questo punto la truffa entra nella fase di raccolta delle informazioni personali, la pagina denominata Compila il tuo dossier richiede infatti diversi dati anagrafici, tra cui nome, cognome, data di nascita, CAP, indirizzo di residenza, città, numero di telefono e indirizzo email.

Si tratta di una quantità di informazioni tutt’altro che casuale, perché permette agli attaccanti di costruire un profilo molto dettagliato della vittima e di utilizzarlo successivamente anche per ulteriori tentativi di social engineering.

Il passaggio più pericoloso riguarda la carta di pagamento

Dopo aver raccolto i dati personali, il falso sito del fascicolo Sanitario Elettronico arriva al vero obbiettivo della campagna: le informazioni della carta di pagamento. Con la scusa di dover effettuare l’accredito del rimborso entro una settimana lavorativa, la pagina chiede di inserire il nome del titolare, il numero completo della carta, la data di scadenza e il codice CVV.

È proprio questo dettaglio che dovrebbe far scattare immediatamente un campanello d’allarme, la procedura non serve infatti ad accreditare il rimborso, ma a sottrarre informazioni che possono essere utilizzate per effettuare transazioni fraudolente online.

La campagna non si limita però alla raccolta dei dati, dopo l’invio delle informazioni, l’utente viene accompagnato verso una schermata conclusiva che mostra un falso numero di protocollo e lo stato In elaborazione, facendo apparire la richiesta come se fosse stata realmente registrata.

La pagina cita inoltre espressamente l’Agenzia delle Entrate, promette l’accredito entro sette giorni lavorativi e presenta un falso numero verde per l’assistenza. Anche quest’ultimo elemento contribuisce a rendere più credibile la truffa e potrebbe essere sfruttato per eventuali attacchi successivi.

I dati rubati possono essere utilizzati per altre truffe

Il pericolo non riguarda quindi soltanto la possibile compromissione della carta di pagamento, la combinazione tra dati anagrafici completi e informazioni finanziarie può avere conseguenze più ampie.

I dati raccolti della carta possono essere utilizzati per tentare transazioni fraudolente online oppure possono essere rivenduti all’interno di circuiti illeciti. Le informazioni personali raccolte durante la procedura invece, possono diventare la base per campagne di social engineering più mirate, compresi tentativi di vishing e smishing a tema bancario.

Proprio per questo motivo, una truffa di questo tipo può non esaurirsi nel momento in cui la vittima inserisce i propri dati; le informazioni raccolte possono essere utilizzate successivamente per costruire messaggi, telefonate o altre comunicazioni molto più credibili.

Il CERT-AGID ha già avviato le attività di contrasto necessarie per ottenere la dismissione del dominio utilizzato dalla campagna e ha distribuito gli indicatori di Compromissione (IoC) alle Pubbliche Amministrazioni e alle organizzazioni accreditate al relativo flusso.

La vicenda rappresenta comunque un’ulteriore conferma di quanto sia importante prestare attenzione alle comunicazioni che promettono rimborsi o agevolazioni fiscali. In particolare, la richiesta del numero completo della carta e del codice CVV dovrebbe essere considerata un segnale d’allarme molto forte quando viene presentata come necessaria per ricevere un accredito.

In questo caso, infatti, il presunto rimborso di 20,73 euro è soltanto l’esca utilizzata per portare l’utente, passo dopo passo, fino alla consegna dei dati più preziosi sul falso sito del Fascicolo Sanitario Elettronico.