« MUTUA: la tua nuova tessera di assistenza diretta 2027 è disponibile. Scaricala entro il 31/10 per evitare l'interruzione della copertura: area-assistito-ad[.]net »
Sylvie, 54 anni, assistente amministrativa a Chambéry, ha ricevuto questo messaggio un martedì mattina. Tre giorni prima aveva appena ricevuto una vera lettera dalla sua mutua sull'adeguamento dei contributi. L'SMS arrivava al momento giusto, con il vocabolario giusto, e non chiedeva altro che di «scaricare una tessera». Lei ha inserito nome, data di nascita, numero di previdenza sociale e IBAN «per verificare l'addebito del contributo». Sei giorni dopo, un addebito di 480 € partiva verso un ente sconosciuto e il suo numero di previdenza sociale finiva in un archivio rivenduto.
Ciò che rende efficace questa truffa non è la paura. È la burocrazia ordinaria: in questo periodo dell'anno, una mutua che ti scrive non ha nulla di anomalo. L'SMS falso non crea un evento, si infila in un evento che esiste già.
Perché l'autunno è la stagione ideale per spacciarsi per una mutua
Il calendario delle polizze sanitarie è pubblico e perfettamente prevedibile
In Francia, la grandissima maggioranza delle polizze sanitarie integrative segue l'anno civile: scadenza al 31 dicembre, rivalutazione dei contributi annunciata in autunno, nuova tessera di assistenza diretta inviata a dicembre o gennaio. La legge Chatel impone del resto agli enti di informare l'assicurato della data limite di disdetta prima della scadenza, il che concentra le comunicazioni tra settembre e novembre.
Risultato: tra il 1° ottobre e il 31 gennaio, milioni di francesi ricevono realmente messaggi dalla propria mutua. Avvisi di scadenza, attestati di diritto, nuova tessera, sollecito di mandato SEPA, «aggiornamento della tua area riservata». Il truffatore non ha bisogno di indovinare il tuo ente: gli basta scrivere «MUTUA» o «LA TUA POLIZZA SANITARIA INTEGRATIVA» e lasciare che il destinatario riempia lo spazio bianco con il nome della propria.
Quasi tutti sono coperti, quindi quasi tutti sono un bersaglio
La copertura sanitaria integrativa riguarda la quasi totalità della popolazione: dipendenti tramite le polizze collettive obbligatorie, pensionati con polizze individuali, dipendenti pubblici, autonomi, beneficiari della Complémentaire santé solidaire. In altre parole, un SMS «mutua» inviato a caso colpisce un bersaglio pertinente in quasi il 100 % dei casi — mentre un falso SMS di un operatore telefonico o di una banca sbaglia spesso insegna.
La tessera di assistenza diretta è un oggetto che nessuno sa davvero descrivere
Chiedi in giro com'è fatta una tessera di assistenza diretta, chi la emette e cosa succede se non la si ha. Le risposte sono vaghe. Si sa che serve in farmacia, che ha una data di validità, che sopra c'è un numero. È esattamente il tipo di documento burocratico mal conosciuto che fa la fortuna dello smishing: il destinatario non può rilevare l'incoerenza, perché non ha un riferimento chiaro in mente.
Cosa cerca davvero di ottenere l'SMS falso
A differenza del falso SMS sulla consegna di un pacco, che vuole il numero della tua carta di credito, il falso SMS della mutua mira a un bottino più ampio — e spesso più redditizio sul mercato della revendita.
| Dato richiesto | Pretesto dichiarato | Uso reale |
|---|---|---|
| Nome, data di nascita, indirizzo | «Identificazione dell'assistito» | Costruzione di un profilo credibile per le truffe successive |
| Numero di previdenza sociale | «Verifica dei tuoi diritti» | Frode sulle prestazioni, furto d'identità sanitaria |
| IBAN + firma del mandato | «Conferma dell'addebito del contributo» | Addebiti SEPA fraudolenti ricorrenti |
| Credenziali dell'area riservata | «Accesso alla tua tessera» | Dirottamento dei rimborsi, modifica delle coordinate bancarie |
| Numero di carta di credito | «Spese di riemissione di 1,90 €» | Abbonamento mascherato o test della carta |
Il dettaglio più sottovalutato è il mandato di addebito SEPA. Molte vittime pensano che serva la carta di credito per prelevare denaro. Un IBAN, un nome e una firma elettronica bastano ad attivare un addebito che passerà sul conto senza particolari allarmi, soprattutto se la causale assomiglia a quella di un ente sanitario. Il diritto al rimborso esiste — ne parliamo più avanti — ma bisogna prima individuare la riga sull'estratto conto.
Il numero di previdenza sociale, il dato che non si può cambiare
La carta di credito si blocca in dieci minuti. Il numero di previdenza sociale, invece, è attribuito a vita. Permette a un truffatore di apparire legittimo nell'SMS successivo, di tentare un furto d'identità presso gli enti previdenziali o semplicemente di aumentare il valore della tua scheda sui mercati dei dati rubati. È per questo che l'Assurance Maladie ricorda su ameli.fr di non chiedere mai coordinate bancarie né numero di previdenza sociale via SMS o e-mail.
I sette segnali che smascherano il falso SMS della mutua
1. La mutua non viene nominata, o è nominata male
Il tuo ente conosce il proprio nome e lo usa. Un messaggio che dice «la tua mutua», «la tua polizza sanitaria integrativa» o «servizio assistiti» senza mai citare l'insegna è anomalo. Al contrario, diffida anche dei nomi quasi corretti: «Harmonie Mutuelles», «MGEN Service», «Mutuelle Générale de France» — una lettera, un plurale, una parola aggiunta.
2. Una scadenza breve e inventata
«Entro il 31/10», «entro 48 ore», «altrimenti interruzione della copertura». Nessuna mutua sospende i tuoi diritti perché non hai scaricato un file. I diritti dipendono dal pagamento del contributo, non da un clic.
3. Un dominio che non è quello dell'ente
I link falsi assumono forme plausibili: espace-adherent-tp.net, mutuelle-carte2027.info, tierspayant-fr.top. Guarda ciò che precede immediatamente la prima /: è l'unico dominio che conta. Se non è il sito che conosci, il resto dell'indirizzo non ha alcuna importanza.
4. Delle spese, anche minime
«1,90 € di spese di riemissione», «2,50 € di contributo per la spedizione». Una mutua non fa pagare l'invio della tua tessera tramite un link via SMS. Il piccolo importo non è mai l'obiettivo: serve a ottenere sedici cifre.
5. Un modulo che chiede più del necessario
Per scaricare un documento, un'area riservata chiede un nome utente e una password. Non il tuo IBAN, non il tuo numero di previdenza sociale, non una foto della tua tessera sanitaria, non un selfie con il documento d'identità.
6. Un tono che parla di «copertura interrotta»
La minaccia è sempre la stessa: non sarai più rimborsato, il farmacista rifiuterà la tessera, la tua pratica sarà chiusa. Questo registro ansiogeno è un indizio quasi sistematico.
7. Un mittente con numero di cellulare o un numero straniero
Gli enti francesi utilizzano numeri brevi o un nome mittente alfanumerico. Un messaggio «ufficiale» inviato da un 07 o da un +212 va scartato immediatamente. Attenzione però: lo spoofing del nome mittente esiste, quindi un mittente credibile non prova nulla — è un indizio negativo, non una garanzia positiva.
L'unico metodo di verifica che funziona
Si riassume in una frase: non verificare mai un'informazione nello stesso canale che te l'ha portata.
- Chiudi l'SMS senza cliccare.
- Prendi la tua attuale tessera di assistenza diretta, o l'ultimo avviso di scadenza cartaceo.
- Chiama il numero che vi è riportato, oppure apri l'app ufficiale della tua mutua che hai installato tu stesso.
- Chiedi semplicemente: «devo fare qualcosa sulla mia polizza?»
Questa verifica richiede tre minuti e neutralizza l'intera truffa, qualunque sia il suo livello di raffinatezza. Per chi non ama cercare i propri documenti, un raccoglitore con divisori dedicato ai documenti sanitari e tenuto vicino al telefono fa una differenza concreta: si verifica tanto più volentieri quanto più l'informazione è a portata di mano.
Due abitudini che riducono la superficie d'attacco
- Salvare il vero numero della tua mutua nei contatti, con un nome chiaro. Una chiamata in arrivo identificata rassicura, una chiamata sconosciuta mette in allerta.
- Annotare la data di scadenza della tua polizza in un posto stabile. Un calendario familiare da parete o un semplice quaderno con copertina rigida bastano: quando sai che la tua scadenza è il 31 dicembre, un SMS che parla di una sospensione al 15 ottobre perde istantaneamente ogni credibilità.
Hai compilato il modulo: cosa fare
Il tempo conta enormemente. Ecco l'ordine delle priorità.
Entro un'ora
- Se hai fornito un IBAN: chiama la tua banca, chiedi il monitoraggio del conto e la registrazione di una lista nera di beneficiari sul tuo mandato SEPA. Precisa che nessun nuovo mandato deve essere accettato.
- Se hai fornito un numero di carta di credito: blocca immediatamente la carta tramite l'app della tua banca o il servizio interbancario di blocco (0 892 705 705).
- Se hai inserito delle credenziali: cambia la password dell'area riservata interessata e di qualsiasi altro account in cui usavi la stessa. È il momento in cui un gestore di password smette di essere un gadget e diventa utile: permette di sapere esattamente dove la password compromessa era riutilizzata.
- Controlla le tue coordinate bancarie nell'area riservata: la manovra classica consiste nel sostituire il tuo IBAN con quello del truffatore per dirottare i tuoi rimborsi.
Entro 48 ore
- Segnala il messaggio inoltrandolo al 33700, piattaforma ufficiale di segnalazione degli SMS fraudolenti gestita insieme agli operatori francesi.
- Segnala il sito di raccolta dati su Phishing Initiative e l'accaduto su cybermalveillance.gouv.fr, che propone un percorso di assistenza passo per passo.
- Avvisa la tua mutua: gli enti tengono elenchi delle campagne in corso e allertano i propri assistiti.
- Presenta una denuncia, online o presso le forze dell'ordine. Da essa dipende una parte dei ricorsi.
Nelle settimane successive
- Rileggi i tuoi estratti conto riga per riga per tre mesi. In materia di addebito SEPA non autorizzato, il Code monétaire et financier ti riconosce il diritto al rimborso su contestazione entro un termine di 13 mesi (8 settimane senza particolare motivazione per un addebito contestato). Più agisci rapidamente, più la procedura è semplice.
- Se il tuo numero di previdenza sociale è stato trasmesso, monitora i rendiconti sul tuo account ameli e segnala qualsiasi visita o erogazione che non riconosci.
- Aspettati una seconda ondata: le vittime vengono richiamate da falsi «servizi antifrode» o falsi consulenti. Questa richiamata è la logica continuazione della truffa, non un caso.
Il caso particolare delle polizze collettive aziendali
Se la tua mutua è quella del tuo datore di lavoro, sei doppiamente esposto. Prima di tutto perché spesso non conosci né il nome esatto dell'ente né le condizioni della polizza — è l'ufficio HR che gestisce. Poi perché i truffatori sfruttano questa distanza: «Il tuo datore di lavoro ha modificato la tua polizza sanitaria, conferma i tuoi dati».
La regola resta la stessa, passando per un altro canale: nessuna modifica di una polizza collettiva si conferma via SMS. Si verifica presso l'ufficio HR o il gestore indicato sulla nota informativa consegnata all'assunzione. Molti dipendenti non l'hanno mai letta; tirarla fuori una volta all'anno richiede dieci minuti ed evita molti dubbi.
Proteggere una persona cara che gestisce male questi messaggi
Le persone più colpite sono quelle che ricevono molta corrispondenza sanitaria: pensionati con polizze individuali, persone con patologie di lunga durata, caregiver che gestiscono la pratica di un genitore. Per loro, tre gesti semplici bastano spesso:
- Installare l'app ufficiale della mutua al loro posto e concordare che nessun link ricevuto via SMS verrà mai aperto.
- Stabilire una regola della «doppia voce»: ogni messaggio che chiede un dato personale comporta una telefonata a una persona di fiducia prima di qualunque azione.
- Fornire un supporto di lettura comodo — un supporto per telefono regolabile o una lente d'ingrandimento illuminata aiutano realmente a leggere un indirizzo web per intero, che è la condizione per individuare un dominio falso.
Da ricordare
- La stagione dei rinnovi delle polizze sanitarie (ottobre → gennaio) è un picco strutturale di falsi SMS delle mutue.
- La truffa non mira in primo luogo alla tua carta di credito, ma a un insieme di dati: numero di previdenza sociale, IBAN, credenziali.
- Nessun ente sanitario chiede queste informazioni via SMS, né fa pagare l'invio di una tessera di assistenza diretta.
- La verifica si fa sempre fuori dall'SMS: numero riportato sulla tua tessera, app installata da te.
- In caso di clic: blocco della carta o del mandato entro un'ora, segnalazione al 33700, denuncia, poi monitoraggio degli estratti conto per tre mesi.
Un falso SMS della mutua non si riconosce dalla sua goffaggine — le campagne del 2026 sono pulite, ben scritte e ben calibrate sul calendario. Si riconosce da una cosa sola: ti chiede di agire dentro il suo stesso link. Appena si esce da quel link, la truffa non ha più alcun potere.
