Allarme smishing: i cybercriminali si fingono ASL, CAF e ATS per truffare gli italiani

Una sofisticata campagna di truffe via SMS sfrutta la fiducia nel sistema sanitario e nei servizi fiscali, colpendo da Nord a Sud con diverse modalità di frode

Una pericolosa ondata di truffe digitali sta investendo l’Italia attraverso SMS fraudolenti che si spacciano per comunicazioni ufficiali di enti sanitari e fiscali. I cybercriminali hanno messo in atto diverse strategie di smishing che vanno dal furto di dati bancari fino alle chiamate a numeri a tariffazione speciale, sfruttando la fiducia dei cittadini verso istituzioni come ASL, CAF e ATS.

Due modalità di truffa: link malevoli e numeri a pagamento

I cybercriminali stanno utilizzando principalmente due strategie distinte per ingannare i cittadini:

Truffe ASL con link malevoli: I messaggi falsi che sembrano provenire dalle Aziende Sanitarie Locali invitano gli utenti a cliccare su un link per “prenotare una visita” o “aggiornare i dati sanitari”. Questi SMS conducono a siti malevoli che installano malware o rubano credenziali bancarie, con l’obiettivo di svuotare i conti correnti delle vittime.

Truffe CAF con numeri a pagamento: Nel caso dei falsi SMS dei Centri di Assistenza Fiscale, il meccanismo è diverso ma altrettanto redditizio. I messaggi invitano le vittime a contattare urgentemente un numero con prefisso 895 per “comunicazioni importanti”. Si tratta di numeri a tariffazione speciale che comportano addebiti immediati e consistenti sul conto telefonico, anche fino a 15 euro per singola chiamata.

La truffa rappresenta l’ennesima evoluzione delle frodi digitali che sfruttano marchi fidati come banche, corrieri o enti pubblici per ingannare gli utenti meno attenti.

Il caso delle false ATS nelle province lombarde

Particolarmente allarmante è la situazione nelle province di Como, Lecco e Pavia, dove la Polizia Postale ha registrato una cinquantina di segnalazioni di truffe che sfruttano il nome delle Agenzie per la Tutela della Salute (ATS). In questo caso, il meccanismo è diverso ma altrettanto efficace: i truffatori inviano SMS che simulano comunicazioni ufficiali dell’ATS, invitando i destinatari a contattare un numero telefonico per chiarimenti su presunti appuntamenti sanitari.

Il numero fornito è però un 895, ovvero un recapito a tariffazione speciale che comporta addebiti immediati sul conto telefonico anche fino a 15 euro per una singola chiamata. Una volta contattato il numero, la conversazione non fornisce alcuna informazione concreta, ma è sufficiente per generare l’addebito fraudolento.

Finto SMS CAF inviato dal numero +393517431116

Come funziona il meccanismo della truffa

Il meccanismo delle truffe sanitarie e fiscali segue schemi ben rodati ma con varianti specifiche. Il messaggio è spesso inviato da numeri che sembrano autentici grazie a tecniche di spoofing e utilizza un linguaggio allarmistico per spingere l’utente ad agire rapidamente.

Nel caso delle truffe ASL, il testo potrebbe recitare: “ASL: La sua prenotazione sanitaria scade oggi. Aggiorni i dati qui”, fornendo poi un link malevolo su cui cliccare. Nel caso dei falsi CAF, invece, il messaggio invita a “contattare con urgenza i nostri uffici CAF Centro Assistenza Formativa al numero 8959009083 per comunicazioni che la riguardano”.

Truffe con link malevoli (ASL): Chi abbocca viene reindirizzato su un sito falso progettato per imitare il portale ufficiale dell’ente. Qui viene chiesto di inserire dati personali, codici di accesso bancari o di scaricare un’app malevola. Il malware più comune è un trojan bancario come SpyNote, che consente ai truffatori di intercettare SMS, rubare credenziali e autorizzare bonifici non autorizzati.

Truffe con numeri a pagamento (CAF/ATS): Chi chiama il numero con prefisso 895 si ritrova una conversazione che non fornisce alcuna informazione concreta, spesso gestita da sistemi automatici o operatori fittizi, ma sufficiente per generare addebiti fino a 15 euro per singola chiamata. Molti utenti si accorgono della truffa solo consultando l’estratto conto telefonico.

Un fenomeno in espansione

Questa tipologia di truffa non rappresenta un caso isolato. Campagne simili sfruttano regolarmente nomi di enti fidati come l’INPS, l’Agenzia delle Entrate, Telepass o le Poste Italiane per indurre le vittime a fornire dati sensibili. È particolarmente insidiosa la tecnica di spoofing che maschera il numero del mittente per farlo sembrare ufficiale, sfruttando la generale fiducia dei cittadini nel sistema sanitario e nei servizi pubblici.

La varietà delle modalità di truffa dimostra l’evoluzione continua delle tecniche criminali: dai tradizionali link malevoli si è passati anche ai numeri a tariffazione speciale, ampliando il ventaglio di possibili danni economici per le vittime.

Come proteggersi dalle truffe

Le autorità, tra cui la Polizia Postale e il Garante Privacy, forniscono precise indicazioni su come difendersi da queste frodi:

Regole di prevenzione:

• Non cliccare mai su link ricevuti da numeri sconosciuti o sospetti
• Non chiamare numeri a tariffazione speciale (prefisso 895, 899, 144, 166) riportati in SMS
• Non scaricare allegati o app da messaggi non richiesti
• Non fornire mai dati personali, bancari o sanitari tramite SMS o telefono
• Verificare sempre la provenienza del messaggio contattando direttamente l’ente attraverso i canali ufficiali

In caso di truffa:

• Segnalare immediatamente l’SMS all’ente dal quale afferma di provenire
• Presentare denuncia-querela presso gli uffici delle Forze dell’Ordine
• Nel caso di addebiti telefonici fraudolenti, richiedere il rimborso al proprio operatore
• Se si sono forniti dati sensibili, cambiare immediatamente tutte le password degli account compromessi
• Monitorare estratti conto bancari e telefonici per individuare eventuali movimenti sospetti

L’importanza della consapevolezza digitale

Questi episodi sottolineano l’importanza crescente dell’educazione digitale. I cybercriminali sfruttano infatti la poca familiarità di molti cittadini con le tecnologie digitali e la naturale fiducia verso le istituzioni sanitarie e fiscali.

È fondamentale ricordare che nessun ente pubblico invia mai comunicazioni urgenti tramite SMS con richieste di dati sensibili o numeri a tariffa speciale. Ogni comunicazione ufficiale avviene attraverso canali istituzionali verificabili e mai con modalità che comportano costi aggiuntivi per il cittadino.

La lotta contro queste frodi richiede una collaborazione tra autorità, operatori telefonici e cittadini, con un impegno costante nell’aggiornamento delle misure di sicurezza e nella sensibilizzazione pubblica sui rischi del mondo digitale.