Il Ministero della Salute ha lanciato un allarme ufficiale su una campagna di phishing che sfrutta il nome dell’istituzione per ingannare i cittadini italiani: false email — e in alcuni casi falsi SMS — circolano chiedendo di rinnovare la propria Tessera Sanitaria cliccando su un link. Chi cade nella trappola finisce su un sito contraffatto dove viene invitato a inserire dati personali, sensibili e, in certi casi, bancari. La truffa tessera sanitaria è attiva almeno dal 12 gennaio 2026 e risulta ancora in circolazione.
Come funziona la truffa tessera sanitaria: la catena del phishing
Il meccanismo è quello classico del phishing, ma l’esca è particolarmente efficace perché sfrutta un documento che quasi tutti gli italiani possiedono e che periodicamente viene davvero rinnovato: la Tessera Sanitaria. Il messaggio fraudolento — che arriva via email o SMS — si presenta come una comunicazione ufficiale del Ministero della Salute e invita il destinatario a cliccare un link per procedere al rinnovo della propria tessera.
Il link non porta al sito istituzionale reale, ma a una pagina contraffatta graficamente simile alle piattaforme ufficiali. È questo il punto più insidioso: l’impaginazione, i colori e persino i loghi possono sembrare autentici a un primo sguardo. Una volta atterrati sulla pagina falsa, agli utenti viene mostrato un modulo da compilare con dati personali e sensibili. In alcuni casi, secondo quanto riportato, viene richiesta anche l’informazione bancaria.
La catena, quindi, è precisa:
- Ricezione del messaggio (email o SMS) apparentemente dal Ministero della Salute
- Click sul link contenuto nel testo
- Atterraggio su un sito falso graficamente simile a quello istituzionale
- Compilazione di un modulo con dati personali, sensibili e potenzialmente bancari
- Furto dei dati da parte dei truffatori
Non basta ricevere il messaggio per subire un danno: il rischio concreto inizia nel momento in cui si clicca sul link e si inseriscono le proprie informazioni nel form.
L’allerta ufficiale: cosa ha comunicato il Ministero della Salute
Il Ministero della Salute ha pubblicato un avviso ufficiale sul proprio sito istituzionale già il 12 gennaio 2026, definendo esplicitamente la campagna come un tentativo di truffa basato sul phishing. L’obiettivo dichiarato dei malintenzionati è sottrarre dati personali e sensibili ai cittadini.
L’allerta non si è esaurita nei mesi successivi: false email e SMS a nome del Ministero della Salute continuano a circolare anche nell’ottobre 2026, mantenendo lo stesso schema — la richiesta di cliccare un link per rinnovare la Tessera Sanitaria. Questo significa che la campagna ha una durata e una persistenza inusuali, segno che i truffatori la ritengono ancora redditizia.
Il fatto che l’allarme provenga direttamente dall’ente impersonato è importante: il Ministero non invia email con link per il rinnovo della tessera sanitaria. Qualunque comunicazione di questo tipo deve essere considerata sospetta.
Perché questa truffa è difficile da riconoscere
La truffa tessera sanitaria è particolarmente insidiosa per alcune ragioni strutturali. Prima di tutto, il rinnovo della Tessera Sanitaria è un evento reale nella vita dei cittadini: la tessera scade e viene periodicamente aggiornata, quindi il pretesto non è inverosimile. In secondo luogo, il sito contraffatto verso cui reindirizza il link è graficamente simile alle piattaforme istituzionali ufficiali, rendendo difficile per un utente non esperto distinguerlo dall’originale.
A questo si aggiunge il fatto che i messaggi possono arrivare sia via email che via SMS, moltiplicando i canali di attacco. Chi è abituato a ricevere comunicazioni dalla pubblica amministrazione via entrambi i canali potrebbe abbassare la guardia.
Il consiglio più immediato è verificare sempre l’indirizzo del mittente e, soprattutto, non cliccare mai su link contenuti in messaggi non attesi che richiedono l’inserimento di dati personali. Per qualsiasi dubbio sul rinnovo della propria tessera, è sufficiente accedere direttamente al sito ufficiale digitando l’indirizzo nella barra del browser, senza passare da link ricevuti via email o SMS.
Cosa fare se si è già cliccato sul link
Se si è già interagito con il messaggio fraudolento e si sono inseriti dati nel modulo, la situazione richiede alcune azioni rapide. Chi ha fornito dati bancari — come numeri di conto, coordinate IBAN o credenziali di accesso all’home banking — dovrebbe contattare immediatamente il proprio istituto di credito per bloccare eventuali operazioni sospette e cambiare le credenziali di accesso.
Chi ha inserito dati anagrafici o sanitari deve essere consapevole che queste informazioni potrebbero essere usate per ulteriori tentativi di frode o per operazioni di identity theft. È opportuno monitorare con attenzione eventuali comunicazioni anomale nei mesi successivi.
Il riferimento istituzionale per segnalare episodi di questo tipo è la Polizia Postale, che gestisce i reati informatici e raccoglie le segnalazioni dei cittadini. L’allerta ufficiale del Ministero è consultabile direttamente sul sito del Ministero della Salute.
La truffa tessera sanitaria dimostra quanto le campagne di phishing siano diventate sofisticate nel mimare la comunicazione pubblica. L’unica difesa efficace rimane la stessa da sempre: non fidarsi dei link ricevuti via messaggio, verificare sempre la fonte direttamente e non inserire mai dati personali o bancari su pagine raggiunte attraverso un link non richiesto.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
