Il CERT-AGID ha individuato una nuova campagna di pshihing che sfrutta grafiche e loghi istituzionali del Fascicolo Sanitario Elettronico (FSE), del Ministero della Salute, del Dipartimento per la trasformazione digitale e del Ministero dell’Economia e delle Finanze, con l’obiettivo di sottrarre dati personali e dettagli delle carte di pagamento delle vittime.

La leva psicologica sfruttata è la promessa di un presunto rimborso del 19% per l’acquisto di medicinali in farmacia (per un importo di €20,73).

Dettagli della campagna

Il sito fraudolento si articola in quattro passaggi sequenziali progettati per massimizzare la credibilità della truffa e aggirare eventuali sistemi di analisi automatica:

1. Verifica di sicurezza (Captcha): all’utente viene inizialmente presentata una schermata di verifica con una semplice operazione aritmetica per “confermare che non è un robot”. Questo passaggio introduce una finta percezione di sicurezza e serve a ostacolare i crawler automatici di rilevamento.
2. Notifica del finto rimborso: superato il controllo, compare la schermata di riepilogo istituzionale che informa l’utente dell’elaborazione della richiesta di rimborso per farmaci (€20,73, corrispondente alla detrazione fiscale del 19%), invitandolo a cliccare su “Conferma” per finalizzare la documentazione.
3. Raccolta dati anagrafici (“Completa il tuo dossier”): la pagina successiva richiede l’inserimento di dati personali: cognome, nome, data di nascita, CAP, indirizzo di residenza, città, telefono ed email.
4. Sottrazione dei dati di pagamento: nella fase conclusiva viene richiesto l’inserimento completo dei dati della carta di pagamento (titolare, numero di carta, data di scadenza e codice CVV), con il pretesto dell’accredito del rimborso “entro 1 settimana lavorativa”.
5. Schermata conclusiva di conferma (“Richiesta di rimborso trasmessa”): a valle dell’invio dei dati, la vittima viene reindirizzata a una pagina finale di riepilogo con tanto di finto “Numero di protocollo” e stato “In elaborazione”. Nel testo viene fatto esplicito richiamo all’Agenzia delle Entrate, con la promessa di accredito entro 7 giorni lavorativi e l’indicazione di un falso numero verde di assistenza.

La combinazione di dati anagrafici completi e dettagli della carta di pagamento consente agli attaccanti di:

• effettuare transazioni fraudolente online sfruttando i dati della carta;
• monetizzare i dati rivendendoli all’interno di circuiti illeciti;
• utilizzare il profilo anagrafico per ulteriori attacchi mirati di social engineering (es. vishing o smishing bancario).

Azioni di contrasto

Il CERT-AGID ha già avviato le consuete attività di contrasto per la dismissione del dominio malevolo e ha provveduto a diramare gli Indicatori di Compromissione (IoC) alle Pubbliche Amministrazioni e alle organizzazioni accreditate al flusso IoC.

Indicatori di Compromissione

Al fine di rendere pubblici i dettagli della campagna odierna si riportano di seguito gli IoC rilevati:

Link: Download IoC