Truffa della tessera sanitaria: come difendersi dal phishing

La truffa della tessera sanitaria è una campagna di phishing che sfrutta il nome del Ministero della Salute per convincerti a “rinnovare” la tessera su un sito falso. Il CERT-AgID, la squadra per la sicurezza informatica dell’Agenzia per l’Italia Digitale (AgID), ha lanciato l’allarme su più ondate di messaggi nel corso del 2026. L’obiettivo è sempre lo stesso: rubare i tuoi dati personali per usarli a tuo nome.

In questo articolo trovi come funziona il raggiro, come riconoscerlo e cosa fare se hai già inserito i tuoi dati.

Tutto comincia con un’email dal tono allarmante. Il messaggio annuncia la presunta scadenza della tessera sanitaria e ti invita a rinnovarla subito, “per non interrompere le prestazioni a sostegno del cittadino”. La grafica imita quella istituzionale, con loghi e colori del Ministero della Salute.

Nel messaggio c’è un link. Ti porta su un sito falso, molto simile a quello ufficiale del Ministero, con un modulo da compilare. Ti vengono chiesti nome, cognome, data di nascita, indirizzo e numero di telefono. Spesso anche una foto del documento d’identità e un selfie.

Nelle campagne segnalate dal CERT-AgID nel 2026, al modulo anagrafico segue una seconda fase. Il sito simula la spedizione della nuova tessera e chiede un piccolo importo, in alcuni casi 6,39 euro. In realtà l’obiettivo è ottenere numero, scadenza e codice di sicurezza della tua carta.

Lo stesso schema circola via SMS, con un testo breve e un link abbreviato. È una forma di smishing, cioè phishing via messaggio di testo. Le regole per difenderti sono identiche.

La truffa della tessera sanitaria è un chiaro caso di phishing: sfrutta la fiducia che riponi nelle istituzioni pubbliche. È lo stesso meccanismo della truffa della falsa autorità, in cui il truffatore si presenta come un ente credibile per abbassare le tue difese.

I dati raccolti possono servire per aprire conti correnti o chiedere prestiti a tuo nome. La combinazione di documento d’identità e selfie è particolarmente pericolosa. Sono proprio gli elementi usati in molte procedure di identificazione a distanza, per esempio per aprire un conto online.

I tuoi dati possono anche essere rivenduti o riutilizzati per truffe successive, più credibili perché il truffatore conosce già nome, indirizzo e telefono. In questi casi si parla di furto d’identità a scopo finanziario.

La tessera sanitaria ha una validità di sei anni. Alla scadenza l’Agenzia delle Entrate invia in automatico la nuova tessera all’indirizzo di residenza. Il rinnovo è gratuito e non richiede alcuna azione da parte tua.

Questo significa che non devi compilare moduli, inviare foto o pagare spese di spedizione. Il Ministero della Salute, con un avviso del 6 luglio 2026, ha ricordato di non inviare comunicazioni con link per il rinnovo della tessera.

Ricorda anche che, se la tessera dovesse scadere davvero, in Italia le prestazioni sanitarie continuano a essere erogate senza problemi. Nessun messaggio può quindi “bloccare” la tua assistenza sanitaria.

Per evitare di cadere in questa truffa bastano alcune semplici regole:

1. Non inserire mai dati personali tramite un link arrivato da un’email o da un SMS non verificati.
2. Controlla sempre l’indirizzo del mittente: spesso imita quello ufficiale con piccole differenze, come una lettera in più o un dominio diverso.
3. Vai direttamente sul sito ufficiale dell’ente citato nel messaggio, digitando l’indirizzo nel browser, senza seguire il percorso indicato.
4. Non farti mettere fretta: anche se la tessera scadesse davvero, le prestazioni sanitarie continuano a essere erogate.
5. Non fare nulla se la nuova tessera non è ancora arrivata: è l’Agenzia delle Entrate a occuparsi dell’invio in automatico a casa tua.

Se ricevi un messaggio che ti chiede dati e ti sembra sospetto, non cliccare sui link e non rispondere. Segnalalo alla Polizia Postale, tramite il portale del Commissariato di P.S. Online, e all’ente da cui dovrebbe provenire. Qui trovi una guida su come segnalare una mail o un sito di phishing.

Le frodi che usano loghi noti e affidabili sono sempre più frequenti. Per questo è importante verificare ogni richiesta sui siti ufficiali o contattando direttamente il servizio clienti.

Se hai compilato il modulo su un sito falso, agisci subito. Ogni ora conta per limitare i danni.

1. Hai inserito i dati della carta? Contatta subito la tua banca e blocca la carta, anche se non vedi ancora addebiti sospetti.
2. Cambia le password degli account che usano credenziali simili, a partire da email e home banking.
3. Sporgi denuncia alla Polizia Postale e conserva email, SMS e screenshot del sito. La denuncia è utile anche se in futuro qualcuno usasse il tuo documento per aprire conti o chiedere finanziamenti.
4. Tieni sotto controllo i movimenti del conto, per esempio attivando il servizio SMS Alert, che ti avvisa a ogni operazione con la carta.
5. Verifica di non avere finanziamenti a tuo nome consultando gratuitamente i dati della Centrale dei Rischi della Banca d’Italia.
6. Diffida di chi ti ricontatta dopo l’accaduto offrendoti aiuto per “mettere al sicuro” i tuoi soldi: è uno schema frequente di seconda truffa.

L’articolo è di carattere divulgativo aggiornato alla data di pubblicazione. Per conoscere l’offerta della Banca consulta l’area Prodotti.

“Messaggio pubblicitario con finalità promozionale. Per le condizioni contrattuali si rinvia ai fogli informativi e/o alla documentazione contrattuale disponibili sul sito www.bancobpm.it e presso le filiali della Banca. Per l’emissione della carta di debito e della carta di credito la Banca si riserva la valutazione dei requisiti necessari alla concessione e dei massimali di spesa da assegnare alla stessa.”