Rimborso Fascicolo Sanitario Elettronico: Truffa email

Sta circolando una email truffa che promette un presunto rimborso del Fascicolo Sanitario Elettronico. Il messaggio, apparentemente riconducibile a una comunicazione ufficiale, invita il destinatario a cliccare su un link e a inserire i propri dati personali. Si tratta di una truffa: non cliccare sul link e non inserire alcun dato.

---

Screen-shot della truffa

Ecco uno screenshot reale dell’email truffa ricevuta che imita il fascicolo sanitario elettronico.

Come puoi vedere nell’immagine, il testo dell’email ci informa che abbiamo un credito sul fascicolo sanitario elettronico, e quindi abbiamo diritto a un rimborso. Ci dice l’importo e fornisce anche alcuni dati di riferimento per dare un tono il più autentico possibile al tutto.

La mail del mittente è camuffata in modo da sembrare autentica, ma andando a vedere il reale indirizzo, ci accorgiamo che non si tratta di un indirizzo ufficiale. Anzi. Per farlo spesso basta sostare con il mouse sopra il nome del mittente, o cliccargli sopra per vedere maggiori dettagli.

Fare risultare un nome diverso dal reale mittente è un tipo di tecniche molto utilizzata nelle truffe, e si chiama SPOOFING.

Il contenuto dell’email

Proseguendo nella mail capiamo cosa ci invitano a fare.

Come leggiamo, ci informa che per “avviare” il pagamento dobbiamo completare una procedura di conferma. Questa procedura dovrebbe partire cliccando su Avvia pagamento. Ovviamente, lo ripeto, NON CLICCARE.

Al fondo della mail di solito si trovano gli indizi più importanti. In questo caso vediamo che l’indirizzo è Via Esempio, 123. Il numero di telefono è 06 12345678. Palesemente falsi. I truffatori si sono dimenticati di ottimizzare il footer del sito. Per tutto il resto invece in questo caso hanno fatto le cose piuttosto bene.

Nel corpo della mail, al fondo, ci sono altri contatti apparentemente più realistici. Ma analizzandoli, scopriamo che il numero di telefono non esiste, come l’indirizzo email. Anche il numero ZRV non è un riferimento reale, ma messo li solo per dare credibilità. Peccato che la ZRV è il registro centrale delle associazioni austriache. E quel numero non tra l’altro non è nemmeno registrato li.

Riassumendo come puoi riconoscere questa email truffa:

❌ Indirizzo email non ufficiale

❌ Contatti inseriti inesistenti

❌ Errori grammaticali

❌ Contesto e Consapevolezza

Indirizzo email non ufficiale

Come abbiamo detto, una delle tecniche più usata per compiere truffe online, ma anche tramite sms o chiamate, si chiama SPOOFING, e consiste nel fare comparire il nome di un altra persona quando si chiama o si invia un messaggio. Ne abbiamo parlato nella guida per i finti SMS di Poste Italiane.

Le comunicazioni ufficiali degli enti, qualora esistenti, vengono inviate sempre da indirizzi ufficiali, istituzionali o aziendali. Sicuramente non da email generiche che possiamo aprire tutti, o da indirizzi strani quasi impronunciabili.

Contatti inseriti

Spesso queste email, tra cui questa, riportano dei contatti come numeri di telefono, indirizzi email o indirizzi civici, allo scopo di attribuire maggiore credibilità al raggiro. Ciò rappresenta un arma a doppio taglio, perché se su un occhio sbadato o inconsapevole può avere effetto, al contrario su una persona attenta può essere un importante indizio che si tratti di una truffa.

Ti basta infatti verificare i contatti riportati, facendo una veloce ricerca su internet. Potrai capire in pochi secondi se esistono davvero e di chi sono. Potrebbero anche essere reali, semplicemente copiati dai siti ufficiali. Potresti quindi usarli per toglierti i dubbi, e anzi informarli della truffa in corso a loro nome, ma possiamo proseguire nell’analisi per avere maggiori certezze.

Errori grammaticali

Devo ammettere che in questo caso, rispetto a molti altri, hanno fatto un buon lavoro anche dal punto di vista grammaticale. Non ci sono errori grossolani come visti in altre truffe, ma ci sono comunque alcuni aspetti che possono fare capire si tratti di una truffa.

Ad esempio, il testo non sembra molto formale o istituzionale. Inoltre nella prima parte il mittente da del TU al destinatario, mentre nella seconda gli da del LEI. Al fondo della pagina poi, nel footer, la “Via Esempio” toglie qualsiasi dubbio! Ma c’è ancora un aspetto da considerare.

Contesto e consapevolezza

Anche se citati per ultimi, l’analisi del contesto, e la consapevolezza di chi riceve l’email, cambiano completamente gli scenari possibili. Se io ricevo una mail di questo tipo, sorrido, faccio uno screen-shot per fare la guida, la segno come spam e la elimino. Altre persone invece ci hanno in parte creduto, e per fortuna, prima di procedere mi hanno contattato.

Unendo le due parole, parliamo di consapevolezza del contesto. In questo caso, basta sapere che, se ci sono dei crediti con lo stato, a prescindere che siano sanitari, tributari o di altro tipo, ad occuparsene sarà l’agenzia delle entrate, direttamente, o tramite i rapporti lavorativi del soggetto interessato.

In altre parole, i crediti che tu maturi con lo stato, che possono derivare da spese sostenute detraibili, sgravi fiscali, tributi non dovuti pagati, e altri tipi, vengono verificati in fase di dichiarazione dei redditi. La modalità di riscossione di questi crediti, viene gestita dall’agenzia delle entrate.

Solitamente, se si vantano dei crediti, l’agenzia propone di:

• Tenerli come credito per l’anno successivo, da usare nel caso di debito;
• Farseli restituire direttamente all’Iban associato;
• Farseli restituire dal datore di lavoro sotto forma di minori detrazioni.

Sempre parlando di consapevolezza del contesto, devi sapere che non esiste un Fascicolo Sanitario Elettronico Unico a livello nazionale, perché ogni regione ha la propria piattaforma. Ad esempio in Piemonte è SalutePiemonte, in Toscana è SaluteToscana, in Lombardia è FascicoloSanitarioRegioneLombardia, e cosi via. E nessuno di questi manda email agli utenti per informarli di rimborsi in sospeso.

Come funziona

Il meccanismo che muove questa truffa email è piuttosto semplice e collaudato. Tramite l’inganno si induce un ignaro utente a inserire alcuni propri dati sensibili che poi verranno usati dai truffatori.

In questo caso, cliccando su Avvia pagamento, si viene portati a un sito che imita un inesistente sito generico del fascicolo sanitario elettronico. Seguendo la procedura, ci fa inserire i dati fiscali di una carta o un conto, tentando di entrare in possesso della data di scadenza e del CVV, con cui poi poterci svuotare il conto.

In alcuni casi, anche senza arrivare a tanto, la truffa consiste nel rubarti semplicemente i dati, come nome, cognome, data di nascita, residenza, magari numero del documento, e quant’altro potrebbe essere richiesto e usato a scopi illeciti.

In un attimo ci si può trovare con il conto svuotato, intestatari di aziende, prestanome, e purtroppo molto altro. L’unica arma che si ha a disposizione è la consapevolezza. Sapere come funzionano, e come dovrebbero funzionare i servizi che imitano, ti permette di riconoscere subito la truffa e non caderci. Ma ci sono comunque alcune regole di base da tenere sempre presenti.

Come proteggersi

Vediamo adesso alcune, poche, semplici, regole che possono aiutarci a stare lontano dalle truffe email, e nello specifico da questa.

✅ Verifica il mittente! Deve essere un indirizzo ufficiale, non uno generico che chiunque può creare (ad esempio gmail, libero, ecc.)!

✅ Contestualizza! Ad esempio: perché mi arriva una mail da un servizio a cui non ho mai aderito? Perché ho vinto qualcosa senza partecipare? O in questo caso, perché mi contatta “Fascicolo Sanitario” quando in Piemonte, nei casi previsti, mi dovrebbe contattare “Salute Piemonte”? E tra l’altro, non per darmi un rimborso.

✅ Non cliccare niente! Se hai anche solo un minimo dubbio, non cliccare, e se l’hai fatto esci subito e non inserire dati. A volte basta anche solo un clic per installare un virus.

✅ Verifica da fonti affidabili. Nel dubbio, chiedi, a me, a un conoscente, fai una ricerca su internet. È meglio vergognarsi prima per aver chiesto che dopo perché si è stati truffati. Almeno non si è ancora stati truffati. Ma può capitare a tutti, e non c’è da vergognarsi.

Cosa fare se hai abboccato

Innanzitutto non disperare. Non sei l’unico, anzi, purtroppo queste truffe continuano ad esistere proprio perché con qualcuno a volte funziona. Può derivare da un momento di distrazione, una scelta presa alla leggera, o semplicemente il caso.

L’importante è porre un argine al più presto ai possibili sviluppi di questa truffa.

In genere, se abbocchi a questo inganno inserisci i dati di pagamento di un tuo conto, carta, libretto o altro rapporto finanziario. In questo caso, devi procedere immediatamente a bloccare questi metodi di pagamento. Contatta l’istituto che eroga il servizio, informali dell’accaduto o svolgi le procedure automatiche per bloccare i pagamenti.

Se non hai inserito i dati finanziari, o comunque hai arginato questo lato della truffa, rimane il problema dei dati inseriti. Oggi i dati hanno un valore economico in rete. Vengono letteralmente venduti. E comprati ovviamente. In questo caso, c’è ben poco da fare. Puoi rivolgerti alla polizia postale e informarli del fatto. In questo modo potranno controllare se vengono eseguite operazioni a tuo nome.

Purtroppo, a seconda dei dati che hai fornito, questi potranno essere usati a più scopi. Ad esempio, se hai messo i tuoi dati anagrafici e allegato un documento di identità, potrebbero intestarti un infinità di cose. Per fortuna la necessità di avere un identità digitale (Spid) per la maggior parte di operazioni importanti limita in parte la portata dei danni.

Lista dei (veri) fascicoli sanitari regionali

Come abbiamo detto, ogni regione ha sviluppato un proprio portale autonomo per la gestione dei fascicoli sanitari online dei propri residenti.

Per trovare quello della tua regione, basta che vai a questa Lista su fascicolosanitario.gov.it. A questa pagina trovi l’elenco di tutte le regioni italiane, e devi solo cliccare sulla tua per essere portato al portale dedicato, su cui potrai fare tutte le operazioni disponibili, dopo aver effettuato l’accesso con SPID, CIE o CNS.

Non abbassare la guardia! Questo tutorial risolve un problema specifico, ma la tua sicurezza digitale merita una protezione completa. Ho raccolto anni di test, analisi e strumenti utili nella mia [Guida Definitiva alla Sicurezza Online di LoFaiOnline].

Se noti errori o passaggi non più validi, puoi segnalarli tramite la pagina Contatti. Se ti va, puoi seguire LoFaiOnline anche sul canale YouTube (dove le guide diventano video guide) o sulla pagina Facebook.