Una nuova campagna di phishing sta sfruttando il nome e la grafica del Ministero della Salute per convincere gli utenti di avere diritto a un rimborso sanitario.

La truffa è particolarmente insidiosa perché l’email appare provenire da un indirizzo istituzionale con dominio @gov.it.

Ma il mittente visualizzato non è sempre una garanzia di autenticità.

Il falso rimborso da 278,26 euro

La campagna individuata dal CERT-AGID utilizza un’email con oggetto simile a:

“Hai diritto a un rimborso”

Nel messaggio viene comunicato al destinatario che, a seguito di alcune verifiche sui pagamenti sanitari, avrebbe diritto alla restituzione di 278,26 euro per un presunto doppio pagamento di un ticket.

Per rendere la comunicazione più credibile, l’email appare provenire dall’indirizzo:

fondisanitari@gov.it

In realtà il mittente è stato falsificato attraverso una tecnica chiamata email spoofing.

Cos’è lo spoofing del mittente?

Lo spoofing consiste nel falsificare alcune informazioni di una comunicazione digitale per far sembrare che provenga da una fonte diversa da quella reale.

Nel caso della posta elettronica, un criminale informatico può cercare di far comparire nel campo “Da:” un indirizzo apparentemente affidabile o istituzionale.

Questo significa che vedere un indirizzo che termina con:

@gov.it

oppure con il dominio di una banca, di un’azienda o di un ente pubblico non dimostra automaticamente che il messaggio provenga realmente da quell’organizzazione.

È proprio questo uno degli elementi che rende questa campagna particolarmente convincente.

Cosa succede cliccando sul link

Il messaggio invita l’utente a confermare i propri dati per ottenere il presunto rimborso.

Il collegamento conduce a un sito fraudolento che riproduce elementi grafici riconducibili al Ministero della Salute.

Alla vittima vengono progressivamente richiesti:

• codice fiscale;
• data di nascita;
• dati anagrafici;
• indirizzo di residenza;
• numero di telefono;
• indirizzo email;
• numero della carta di pagamento;
• data di scadenza;
• codice CVV.

L’obiettivo non è quindi soltanto sottrarre i dati della carta, ma raccogliere un profilo personale molto dettagliato della vittima.

Queste informazioni possono successivamente essere utilizzate anche per ulteriori frodi, campagne di phishing mirato, smishing o tentativi di impersonificazione.

Il mittente dell’email non basta

Uno degli insegnamenti più importanti di questa campagna è semplice:

non bisogna giudicare l’autenticità di un’email soltanto dall’indirizzo del mittente visualizzato.

Loghi ufficiali, grafica professionale, riferimenti a enti pubblici e persino un indirizzo apparentemente istituzionale possono essere utilizzati per rendere una comunicazione fraudolenta molto credibile.

Quando un messaggio riguarda pagamenti, rimborsi o dati personali è sempre consigliabile verificare la richiesta attraverso un canale indipendente.

Come proteggersi

Se ricevi una comunicazione relativa a un rimborso sanitario:

• non cliccare immediatamente sui collegamenti presenti nell’email;
• non inserire dati personali o della carta di pagamento;
• accedi autonomamente ai servizi sanitari attraverso i portali ufficiali;
• verifica attentamente il dominio del sito che stai visitando;
• diffida delle richieste che promettono accrediti immediati sulla carta;
• in caso di dubbio contatta direttamente l’ente interessato attraverso i riferimenti presenti sui siti istituzionali.

Un rimborso apparentemente conveniente non deve mai diventare il motivo per abbassare l’attenzione.

SPF, DKIM e DMARC: perché sono importanti

Per aziende ed enti esistono anche strumenti tecnici che aiutano a contrastare la falsificazione dei domini email.

I principali sono SPF, DKIM e DMARC.

SPF permette di indicare quali server sono autorizzati a inviare posta per conto di un dominio.

DKIM utilizza una firma crittografica che consente al server destinatario di verificare che il messaggio sia stato effettivamente autorizzato dal dominio e non sia stato alterato durante il trasporto.

DMARC collega questi meccanismi e permette al proprietario del dominio di indicare ai server destinatari come comportarsi quando i controlli di autenticazione falliscono.

Una corretta configurazione di questi strumenti non elimina tutto il phishing, ma rende molto più difficile utilizzare abusivamente un dominio aziendale o istituzionale per inviare messaggi contraffatti.

La regola da ricordare

La tecnologia utilizzata nelle campagne di phishing sta diventando sempre più sofisticata.

Non basta più pensare:

“L’indirizzo sembra corretto, quindi l’email è autentica.”

Quando una comunicazione richiede dati personali, credenziali o informazioni di pagamento, la verifica deve avvenire sempre attraverso il sito o il canale ufficiale dell’organizzazione interessata.

Informanet – Info&Tricks
Tecnologia più semplice, utile e sicura.