Abbiamo imparato, collettivamente, a diffidare del pacco bloccato in dogana. Il messaggio è diventato una barzelletta ricorrente: «Il tuo pacco non è stato consegnato, paga 1,99 € di spese». Persino le persone meno a proprio agio con il digitale ormai lo riconoscono al primo sguardo.
I truffatori lo sanno. E hanno traslocato.
Dal 2024, e in modo molto più marcato nel 2025 e nel 2026, un'intera famiglia di truffe via SMS si è spostata su un terreno decisamente più efficace: la salute. Falso promemoria di una visita specialistica, presunto aggiornamento della tessera sanitaria, referti di analisi «disponibili», notifica del fascicolo sanitario elettronico, sollecito di una polizza sanitaria integrativa. È cambiato il registro, ed è cambiato anche il meccanismo.
Perché questi messaggi non fanno più leva sull'avidità né sul timore di una multa. Fanno leva su qualcosa di molto più profondo: il riflesso di obbedienza verso il sistema sanitario. Quando si riceve un messaggio che sembra provenire da un laboratorio di analisi, non ci si chiede «è una truffa?». Ci si chiede «che cosa ho dimenticato?».
Perché la salute è diventata il terreno di gioco ideale
Si sono combinati tre fattori.
Il primo è la banalizzazione degli SMS medici legittimi. Da quando la prenotazione online si è generalizzata, tutti ricevono davvero SMS di promemoria: lo studio dentistico, il centro di radiologia, il laboratorio di analisi cliniche, il fisioterapista. Sono messaggi brevi, asciutti, spesso inviati da un numero breve o da un mittente alfanumerico sconosciuto, e contengono frequentemente un link. In altre parole: il messaggio fraudolento non ha bisogno di assomigliare a qualcosa di eccezionale. Gli basta assomigliare alla norma.
Il secondo è la diffusione del fascicolo sanitario elettronico. Attivato automaticamente per la stragrande maggioranza degli assistiti, questo libretto sanitario digitale resta poco conosciuto nel suo funzionamento concreto. Molte persone sanno di avere un account senza sapere con precisione cosa contenga, chi possa caricarvi un documento, né che aspetto abbia una notifica ufficiale. Questa nebulosità è esattamente lo spazio in cui prospera il phishing.
Il terzo è il valore dei dati raccolti. Una truffa sanitaria non cerca soltanto un numero di carta di credito. Cerca un codice fiscale o un numero di previdenza sociale, una data di nascita, a volte una copia dell'attestazione dei diritti. Questi elementi alimentano poi frodi molto più redditizie: apertura di conti, furto d'identità, richieste di credito o rivendita su mercati criminali.
Una carta di credito compromessa si blocca in dieci minuti e si sostituisce in una settimana. Un numero identificativo previdenziale, invece, vi accompagna per tutta la vita.
I cinque scenari più frequenti nel 2026
1. L'«aggiornamento» della tessera sanitaria
È lo scenario principe. Il messaggio annuncia che la vostra tessera sanitaria sta per scadere, deve essere rinnovata, o che i vostri diritti saranno sospesi in mancanza di aggiornamento. Un link rimanda a una pagina che imita l'interfaccia del portale ufficiale, richiede i dati anagrafici, il numero identificativo, un IBAN «per i rimborsi», poi una carta di credito «per le spese di spedizione di 1 €».
Il punto da tenere a mente è semplice e definitivo: la tessera sanitaria non richiede pagamenti e il suo rinnovo non è mai a pagamento. Gli enti sanitari lo ricordano esplicitamente sui loro siti. L'aggiornamento di una tessera si effettua presso una postazione in farmacia o in uno sportello, mai tramite un link ricevuto via SMS.
2. I falsi referti di analisi
«I tuoi risultati sono disponibili, consultali qui.» Il messaggio arriva a volte qualche giorno dopo un vero prelievo del sangue — pura coincidenza, o effetto massa: quando si inviano centinaia di migliaia di SMS, una parte finisce inevitabilmente a persone realmente in attesa di risultati.
I laboratori veri inviano generalmente un identificativo e rimandano a un portale che richiede un codice riportato sul referto cartaceo. Non chiedono mai un numero di carta di credito, né «spese di pratica».
3. La falsa notifica del fascicolo sanitario
Più sofisticata, imita il tono istituzionale: «Un nuovo documento è stato aggiunto al tuo fascicolo sanitario.» L'obiettivo è recuperare le credenziali dell'account, che danno accesso a uno storico clinico completo — materia prima ideale per ricatti o per successive azioni di ingegneria sociale.
Promemoria utile: l'accesso al fascicolo sanitario avviene esclusivamente dall'app ufficiale o dal sito ufficiale, con identità digitale o con un codice provvisorio inviato al momento della creazione. Nessuna notifica legittima chiede di reinserire una password partendo da un link contenuto in un SMS.
4. Il falso appuntamento dallo specialista
«Il tuo appuntamento del 12/09 è confermato. Per annullarlo: [link].» Questo formato è particolarmente insidioso perché non chiede nulla: spinge a cliccare per annullare qualcosa che non si è prenotato. Il riflesso è correttivo, non avido. E funziona.
5. La falsa assicurazione o polizza sanitaria integrativa
Messaggio che annuncia un rimborso in sospeso, un importo versato in eccesso da recuperare, o l'imminente disdetta del contratto. Spesso viene usato il nome di una compagnia reale. Anche in questo caso, la promessa di denaro dovuto — e non richiesto — disinnesca la vigilanza.
Il metodo delle tre domande
Di fronte a un SMS di questo tipo, è inutile memorizzare un elenco di numeri fraudolenti: cambiano ogni ora. Meglio applicare una griglia di lettura stabile.
Domanda 1: questo messaggio mi chiede di agire con urgenza? Sospensione dei diritti, scadenza entro 48 ore, ultimo sollecito. L'urgenza è lo strumento principale del truffatore, perché cortocircuita la verifica. Nessun ente sanitario sospende diritti via SMS con un preavviso di due giorni.
Domanda 2: questo messaggio mi chiede dati che il mittente possiede già? La vostra ASL conosce il vostro codice identificativo. Il vostro laboratorio conosce il vostro nome. Un ente legittimo non vi richiede ciò che ha già in archivio. Quando un messaggio reclama l'insieme della vostra identità amministrativa, non sta verificando: sta raccogliendo.
Domanda 3: sto usando il link fornito, o il mio percorso di accesso abituale? È il principio più solido di tutta la sicurezza digitale quotidiana. Non entrare mai in un servizio dalla porta che vi viene tesa. Chiudete l'SMS, aprite l'app ufficiale o digitate voi stessi l'indirizzo. Se l'informazione è reale, sarà lì. Se non c'è, la questione è chiusa.
Ciò che i filtri automatici sanno (e non sanno) fare
Nel 2026 le app di messaggistica hanno fatto progressi notevoli. Google Messages ormai classifica una parte degli SMS sospetti in una cartella separata e mostra avvisi sui link dubbi; iOS filtra i mittenti sconosciuti in una scheda distinta già da diverse versioni. Queste protezioni individuano bene le campagne massive, ripetitive, inviate da numeri "bruciati".
Individuano molto meno bene tre cose:
- Le campagne brevi e mirate, inviate solo a qualche migliaio di numeri, che non fanno in tempo a essere segnalate prima di aver prodotto il loro effetto.
- I messaggi senza link, che invitano semplicemente a richiamare un numero. Il vettore torna allora a essere la voce, e l'ingegneria sociale si gioca in diretta.
- I messaggi che si inseriscono in una conversazione esistente, quando un mittente alfanumerico legittimo viene falsificato e l'SMS fraudolento compare nella stessa conversazione di quelli veri.
Quest'ultimo punto merita di essere compreso a fondo: un SMS fraudolento può comparire nel filo di messaggi di un ente reale, perché il nome del mittente visualizzato non è una garanzia di autenticità. L'apparenza di continuità è un'illusione tecnica, non una prova.
Per chi riceve molte sollecitazioni e gestisce più linee, un telefono dual SIM permette quanto meno di compartimentare: una linea riservata alle pratiche amministrative e bancarie, un'altra diffusa più ampiamente. Non è una protezione contro la truffa, ma rende le anomalie molto più leggibili.
Segnalare: i canali che esistono davvero
La segnalazione non è un gesto simbolico. Alimenta banche dati usate dagli operatori per disattivare i numeri mittenti e far chiudere i domini fraudolenti.
| Canale | A cosa serve | Come |
|---|---|---|
| 33700 | Piattaforma ufficiale francese di segnalazione di SMS e chiamate indesiderati, gestita dal settore telecom | Inoltrare l'SMS al 33700, poi inviare il numero del mittente quando la risposta lo richiede |
| Signal Conso / Phishing Initiative | Segnalazione dei siti di phishing per il blocco | Copiare l'URL senza visitarlo |
| Cybermalveillance.gouv.fr | Diagnosi, consigli e messa in contatto con professionisti | Percorso online guidato |
| Assurance Maladie (Ameli) | Segnalazione degli usi abusivi della propria identità visiva | Sezione dedicata ai tentativi di frode |
| Perceval | Segnalazione di un uso fraudolento della carta di credito | Servizio online su service-public.fr |
Il 33700 resta il gesto più utile nella quotidianità: è gratuito, richiede trenta secondi ed è quello che consente la rapida disattivazione dei numeri mittenti.
Ho cliccato. E adesso?
Cliccare su un link non è, di per sé, catastrofico. Il pericolo comincia con l'inserimento dei dati. La reazione va quindi graduata.
Se non avete inserito nulla: chiudete la pagina, eliminate il messaggio, segnalatelo. Il rischio residuo è basso.
Se avete inserito delle credenziali: cambiate immediatamente la password del servizio interessato, e anche quella di ogni altro account in cui la stessa password era riutilizzata. È il momento di ricordare che un gestore di password rende questa operazione banale invece che angosciante — e che soprattutto permette di non riutilizzare mai più una password da un servizio all'altro.
Se avete inserito dati bancari: chiamate subito il servizio di blocco della vostra banca, poi denunciate l'operazione. La direttiva europea sui servizi di pagamento disciplina in modo rigoroso i casi di rimborso in presenza di operazioni non autorizzate: la banca deve rimborsare salvo dimostrare una vostra colpa grave, il che presuppone da parte sua una vera dimostrazione, non una semplice affermazione.
Se avete comunicato il vostro numero identificativo previdenziale e i vostri dati anagrafici: non esiste un pulsante di annullamento. Controllate gli estratti dei rimborsi sul vostro account online per diversi mesi, e avvisate il vostro ente. Annotate la data e l'ora dell'incidente: sono elementi che contano in caso di successiva denuncia.
Prendere l'abitudine di conservare una traccia scritta di questi incidenti — in un semplice quaderno per appunti dedicato tenuto vicino alla scrivania o in un file cifrato — evita di dover ricostruire i fatti a memoria sei mesi dopo, quando un ente chiede precisazioni.
Il caso particolare delle persone care più vulnerabili
Queste truffe colpiscono statisticamente di più le persone seguite dal punto di vista medico: pazienti cronici, anziani, donne in gravidanza, famiglie con bambini piccoli. Non per crudeltà calcolata, ma per meccanica: sono quelle per cui un SMS sanitario è plausibile in qualsiasi momento.
Tre misure semplici, senza sorveglianza né infantilizzazione:
- Stabilire una regola unica invece di un elenco di divieti. «Non si compila mai un modulo arrivato via SMS» è memorizzabile. «Attenzione ai link .it sospetti» non lo è.
- Designare un numero di emergenza. Un contatto di riferimento da chiamare prima di fare qualunque cosa, senza giudizio. La vergogna di «essersi fatti fregare» è il primo fattore di silenzio, e quindi di aggravamento.
- Ridurre la superficie di esposizione. Su un telefono destinato a un uso semplice, un telefono per anziani a tasti grandi privo di browser web elimina puramente e semplicemente il vettore del link cliccabile. Non è un passo indietro: è una riduzione volontaria della superficie d'attacco.
Per aiutare una persona cara a formarsi senza drammatizzare, una guida divulgativa sulla cybersicurezza funziona spesso meglio di un discorso familiare, perché sposta l'autorità fuori dalla relazione.
Cosa ricordare
Le truffe sanitarie via SMS non sono né tecnicamente più sofisticate, né più difficili da individuare delle precedenti. Sono semplicemente calibrate meglio dal punto di vista psicologico. Non chiedono di credere a una vincita improbabile: chiedono di credere a un'amministrazione ordinaria.
La contromossa sta in una frase, valida per la tessera sanitaria come per la banca, l'assicurazione o la scuola: nessuna informazione reale dipende dal link che vi viene inviato. Esiste già da qualche parte, in uno spazio a cui accedete con i vostri mezzi. Prendersi i trenta secondi di verifica per quella strada basta a far fallire la quasi totalità di queste campagne.
E quando il dubbio persiste, il riflesso più economico resta la segnalazione prima di qualsiasi altra azione. Una segnalazione di trenta secondi protegge raramente chi la invia — ma protegge spesso le migliaia di persone che riceveranno lo stesso messaggio nell'ora successiva.
Fonti e risorse ufficiali: Assurance Maladie (ameli.fr), Cybermalveillance.gouv.fr, service-public.fr (Perceval), piattaforma 33700, Mon espace santé (monespacesante.fr).
