Inizio settembre. I bambini sono tornati a scuola, il contratto della polizza sanitaria integrativa aziendale ha cambiato assicuratore il primo del mese e tu hai tre ricette da far rinnovare entro fine settimana. Il telefono vibra: « Assurance Maladie: la tua tessera sanitaria sta per scadere. Ordina la nuova tessera entro il 15/09 per evitare la sospensione dei rimborsi: [link] ».
Non hai alcun motivo di trovarlo strano. Sai che qualcosa sta cambiando nella tua copertura sanitaria, semplicemente non sai esattamente cosa. È proprio questa zona grigia che i truffatori sfruttano.
La truffa del falso SMS sanitario non è una novità, ma ha una stagionalità temibile: esplode a settembre e a gennaio, nei due momenti in cui le persone ricevono effettivamente comunicazioni dalla propria mutua, dal datore di lavoro o dall'ente sanitario. Il falso messaggio non si insinua nel silenzio: si insinua nel rumore.
Perché la sanità è un terreno di caccia ideale
La maggior parte delle campagne di smishing si regge su tre pilastri: un ente che tutti conoscono, una somma di denaro modesta e una conseguenza sgradevole in caso di inerzia. Il settore sanitario spunta tutte e tre le caselle con una facilità imbarazzante.
Riguarda tutti. A differenza di un falso SMS bancario — che manca il bersaglio nove volte su dieci perché non sei cliente della banca citata —, un messaggio che evoca l'Assurance Maladie tocca il 100 % dei destinatari. I truffatori non hanno nemmeno bisogno di conoscere il tuo profilo.
Il lessico amministrativo è opaco. Tessera sanitaria, terzo pagante, trasmissione telematica, mutua obbligatoria, quota fissa di partecipazione, esenzione per patologia cronica… Poche persone padroneggiano davvero questi meccanismi. Di fronte a un messaggio che usa correttamente queste parole, il riflesso naturale non è il dubbio ma la deferenza.
La conseguenza fa paura senza essere drammatica. « I tuoi rimborsi saranno sospesi » non è la minaccia di un ufficiale giudiziario. È abbastanza fastidioso da spingere a risolvere il problema subito, e non abbastanza grave da far chiamare il coniuge o il commercialista prima di cliccare.
Aggiungi che l'Assurance Maladie, tramite Ameli, invia veri SMS — in particolare per gli appuntamenti di screening, i richiami vaccinali o la disponibilità di un documento. L'utente non ha quindi una regola semplice del tipo « Ameli non invia mai SMS ». Il confine è sfumato, e la confusione gioca sempre a favore dell'aggressore.
I quattro scenari in cui ti imbatterai quest'anno
1. La « nuova tessera sanitaria » da ordinare
È lo scenario dominante da quando è stato annunciato il lancio della tessera sanitaria dematerializzata nell'app dedicata. Il messaggio annuncia la scadenza della tua tessera fisica, o l'obbligo di « migrare » verso la versione digitale, e ti propone un modulo.
Ciò che il modulo richiede, nell'ordine: cognome, nome, data di nascita, numero di previdenza sociale, indirizzo postale, poi — dopo tre schermate, quando sei già coinvolto — il pagamento di « spese di pratica » da 1,50 € a 4,90 €. La cifra è irrisoria, ed è tutto il punto: serve unicamente a catturare il numero della tua carta di credito, la sua data di scadenza e il codice di sicurezza.
Da ricordare: la tessera sanitaria non ha alcuna data di scadenza e la sua emissione è completamente gratuita. Qualsiasi richiesta di pagamento legata a una tessera sanitaria è, per costruzione, una truffa.
2. Il falso rimborso della mutua
« La tua polizza sanitaria integrativa: un rimborso di 47,82 € è in attesa. Inserisci il tuo IBAN per riceverlo. » L'importo con due decimali è un dettaglio di messa in scena straordinariamente efficace: dà l'impressione di un calcolo reale, frutto di un vero conteggio.
Qui il truffatore non chiede denaro — lo promette. Questa inversione disattiva buona parte della vigilanza. L'IBAN raccolto viene poi usato o per addebiti fraudolenti, o per alimentare pratiche di furto d'identità, o per essere rivenduto.
3. L'« aggiornamento del terzo pagante »
Variante più tecnica, spesso inviata all'inizio dell'anno scolastico quando cambiano i contratti collettivi. L'SMS ti invita a « riattivare la trasmissione telematica tra la tua mutua e il tuo ente ». Il sito di destinazione imita un'area riservata e chiede le credenziali di accesso all'area soci della mutua.
Queste credenziali hanno un valore particolare: un'area riservata contiene lo storico delle tue cure, i tuoi beneficiari, il tuo IBAN, a volte i dati del tuo datore di lavoro. È un dossier identitario completo, molto più ricco di un semplice numero di carta di credito.
4. Il falso screening o la falsa convocazione
Più raro ma in crescita: un SMS che annuncia uno screening organizzato (tumore del colon-retto, tumore al seno) con un link per « confermare la partecipazione ». Sfrutta il fatto che Santé publique France e l'Assurance Maladie conducono effettivamente campagne di questo tipo. La finalità è identica: raccolta di dati personali sanitari, rivenduti o utilizzati per truffe mirate successive.
Come riconoscere il falso in dieci secondi
Esistono alcuni indicatori affidabili, a patto di sapere dove guardare. Il primo riflesso non è mai leggere il testo: è guardare dove porta il link.
| Ciò che vedi | Che cosa significa |
|---|---|
| Un link accorciato (bit.ly, tinyurl, cutt.ly) | Un ente pubblico non usa mai un accorciatore di URL |
Un dominio del tipo ameli-remboursement.info | Il vero dominio è ameli.fr, punto e basta |
.ameli.fr.securite-xyz.com | Il vero nome di dominio è quello che precede l'ultimo punto: qui securite-xyz.com |
| Un mittente con numero di cellulare | Gli enti ufficiali usano un nome mittente o un numero breve |
| Una richiesta di pagamento, anche di 1 € | Nessuna pratica amministrativa sanitaria si paga via SMS |
Il terzo punto della tabella è il più importante e il meno conosciuto. I truffatori costruiscono indirizzi che contengono il vero nome dell'ente per ingannare l'occhio. La regola meccanica: leggi il nome di dominio da destra a sinistra, partendo dal .fr o dal .com. Ciò che si trova immediatamente prima è il vero proprietario del sito.
Su uno schermo piccolo questa lettura è faticosa, e non è un caso. Molti utenti che ricevono quotidianamente messaggi amministrativi finiscono per consultarli da un tablet con schermo grande, dove l'indirizzo completo resta leggibile senza strizzare gli occhi — un dettaglio banale che evita buona parte degli errori di disattenzione.
La trappola specifica per anziani e caregiver
Le persone anziane cumulano tre fattori di vulnerabilità proprio su questo tema: fanno realmente un uso intensivo del sistema sanitario, ricevono effettivamente molte comunicazioni dal loro ente e dalla loro mutua, e sono state educate a rispondere alle amministrazioni.
Il problema non è l'ingenuità. Un pensionato che riceve tre prospetti di rimborso al mese non ha alcun motivo strutturale per considerare sospetto un quarto messaggio. Applica una routine legittima a un messaggio illegittimo.
Alcuni accorgimenti concreti per un familiare anziano:
- Stabilire una regola unica e assoluta: « non si clicca su nessun link ricevuto via SMS, mai, chiunque sia il mittente ». Una regola senza eccezioni è infinitamente più efficace di un elenco di criteri da valutare.
- Installare insieme l'app della tessera sanitaria o l'app Ameli ufficiale, dallo store delle applicazioni, e spiegare che d'ora in poi tutto passa da lì.
- Scrivere il numero del proprio ente su un supporto fisico, accanto al telefono. Un quaderno con caratteri grandi posato vicino all'apparecchio risolve metà delle situazioni: invece di cliccare, la persona telefona.
- Verificare la leggibilità del dispositivo. Molti errori di lettura derivano da uno schermo troppo scuro o da caratteri troppo piccoli. Un paio di occhiali da lettura ingrandenti posati accanto al telefono è a volte più utile di un antivirus.
- Concordare un « secondo parere » sistematico: ogni messaggio che parli di denaro o di salute comporta una telefonata al caregiver prima di qualsiasi azione. Senza rimproveri, senza giudizio, come un riflesso condiviso.
L'obiettivo non è trasformare un familiare in esperto di cybersicurezza. È ridurre il numero di decisioni che deve prendere da solo, di fretta, su uno schermo da sei pollici.
Quanto valgono davvero questi dati
Si sottovaluta enormemente il valore di un numero di previdenza sociale. A differenza di una password, non si cambia. A differenza di una carta di credito, non si blocca. Ti segue per tutta la vita e codifica il tuo sesso, il tuo anno e mese di nascita, la tua provincia di nascita.
Associato al tuo nome, al tuo indirizzo e alla tua data di nascita, permette:
- di aprire pratiche presso enti che verificano male l'identità;
- di rendere credibile un attacco successivo — un truffatore che ti richiama citando il tuo numero di previdenza sociale diventa istantaneamente « ufficiale » ai tuoi occhi;
- di alimentare campagne di frode molto più mirate, in cui il messaggio non dice più « gentile cliente » ma il tuo nome, la tua città e il tuo ente di affiliazione.
È il punto cieco di molte vittime: pensano di non aver « perso nulla » perché nessun pagamento è stato addebitato. In realtà hanno consegnato la materia prima della truffa successiva, quella che arriverà tra tre o sei mesi e che, quella sì, sarà perfettamente credibile.
I canali giusti, una volta per tutte
La migliore difesa contro un falso messaggio non è saperlo riconoscere meglio: è conoscere a memoria il percorso vero, per non dover mai più valutare un SMS.
Per tutto ciò che riguarda l'Assurance Maladie, un solo punto di accesso: il sito ameli.fr o l'app Ameli, aperti dai tuoi preferiti o dallo store del telefono. Mai da un link ricevuto. Il numero 36 46 permette di parlare con un consulente per togliersi un dubbio.
Per la tua polizza sanitaria integrativa, il numero è riportato sulla tessera di terzo pagante, quella che è nel tuo portafoglio. È l'unica fonte di informazione che nessuno può falsificare a distanza.
Per la tessera sanitaria, ricorda tre fatti che bastano a scartare il 100 % delle truffe del genere:
- Non scade.
- È gratuita.
- Si richiede dal tuo account Ameli o in farmacia, non tramite un link.
Per segnalare, inoltra l'SMS al 33700, servizio ufficiale gestito dagli operatori francesi in collegamento con le autorità. Riceverai una risposta automatica che ti chiederà il numero del mittente: trasmettilo. La segnalazione è gratuita e alimenta le liste di blocco. Cybermalveillance.gouv.fr propone inoltre un percorso di assistenza se hai già trasmesso delle informazioni.
Se hai già compilato il modulo
Niente panico, ma metodo, in quest'ordine.
Se hai fornito le tue coordinate bancarie: chiama immediatamente la banca per bloccare la carta, oppure usa la funzione di blocco nell'app bancaria — spesso è più rapido di una telefonata. Poi controlla i micro-addebiti di pochi centesimi, spesso test che precedono un'operazione più consistente.
Se hai fornito le credenziali della mutua o di Ameli: cambia la password dal sito ufficiale, e cambiala ovunque tu l'avessi riutilizzata. Se non hai idea di quale sia l'elenco, è il momento di adottare un gestore di password, o come minimo un quaderno di codici riservati custodito in un cassetto — una soluzione fuori moda, ma infinitamente superiore a tre password identiche.
Se hai fornito solo i tuoi dati identitari: nulla da « riparare » tecnicamente, ma tienine conto nei mesi successivi. Considera sospetta ogni chiamata o messaggio che ti citi con precisione e ti chieda un'azione. Un truffatore ben informato non è un interlocutore legittimo.
In ogni caso: sporgi denuncia, online o presso le forze dell'ordine. Anche se la pratica non porta a risultati individuali, alimenta le statistiche che fanno scattare le indagini collettive. E ti sarà richiesta dalla banca per qualsiasi rimborso.
Il vero riflesso, quello che non costa nulla
Sta in una frase: non si tratta mai una questione sanitaria da un SMS.
Non è una questione di vigilanza né di competenza tecnica. È una questione di canale. Un messaggio ricevuto sul telefono non è una fonte di informazione, è una notifica — al massimo, un promemoria per verificare altrove. Il giorno in cui questo riflesso è radicato, la qualità del falso messaggio non ha più alcuna importanza: che sia grossolano o perfettamente imitato, finisce nello stesso posto, inoltrato al 33700 e poi cancellato.
Il resto — gli errori di ortografia, i loghi, le formulazioni strane — sono indizi utili, ma sono indizi che i truffatori correggono ogni anno. Il canale, invece, non cambierà.
