Итальянская команда CERT-AGID зафиксировала серию активных фишинговых атак, направленных на жителей страны. Злоумышленники используют единую мошенническую схему, развернутую на нескольких десятках доменов. Цель кампании - сбор персональных данных и платежной информации граждан под предлогом обязательной замены медицинских карт.
Описание
В основе атаки лежит убедительный предлог, рассчитанный на широкую аудиторию. Мошенники утверждают, что с 2026 года все медицинские карты (tessera sanitaria) подлежат принудительной замене. Причиной называется внедрение некоего "нового электронного идентификационного механизма для здравоохранения". На поддельных страницах размещено "Важное уведомление", в котором говорится, что все карты, выданные до января 2023 года, необходимо заменить, иначе они будут поэтапно деактивированы. Такое построение сообщения сознательно создает ощущение срочности - классический приём социальной инженерии.
Сайты-двойники визуально копируют оформление официальных порталов Министерства здравоохранения Италии. На них присутствуют логотипы, цветовая гамма ведомства, а также поддельный раздел часто задаваемых вопросов с раскрывающимися пунктами. Для усиления доверия мошенники вставляют вымышленные номера протоколов и правдоподобные даты обновления. Вся процедура сбора данных разбита на несколько этапов.
Первым делом жертва попадает на форму, где требуется ввести имя, фамилию, налоговый код (или номер водительских прав, или паспорта) и номер телефона. В анкете также предлагается указать альтернативный адрес доставки. Эта деталь придает процедуре дополнительную реалистичность. После отправки данных система показывает формальный сводный экран. На нём отображаются введённые сведения и детализация стоимости: 2,50 евро за изготовление и персонализацию карты, 0,99 евро за административное сопровождение и 2,90 евро за доставку почтой - итого 6,39 евро. Сумма намеренно невысокая. Анализ подобных атак в Европе показывает, что малый платеж снижает бдительность пользователя. Пострадавший воспринимает его как несущественный и не уделяет внимания проверке легитимности операции.
Финальный этап - страница оплаты. Жертву перенаправляют на форму, где запрашиваются полные реквизиты банковской карты: номер, срок действия и CVV-код. Страница содержит надпись: "Платёж на 100% безопасен. Ваши данные защищены шифрованием SSL". Именно эти сведения и являются конечной целью мошенников. Получив их, злоумышленники могут проводить несанкционированные списания или продавать данные в даркнете.
Для граждан Италии важно понимать, что никакой обязательной процедуры замены медицинских карт через интернет не существует. Для лиц, зарегистрированных в Национальной службе здравоохранения, карта обновляется автоматически и бесплатно Агентством по доходам. Документ высылается по адресу проживания без каких-либо запросов со стороны владельца. Для категорий с добровольной регистрацией процедура также не производится по ссылкам из электронных писем или SMS. Любое взаимодействие по поводу медицинской карты осуществляется исключительно через официальные каналы местных ASL (органов здравоохранения). Министерство здравоохранения никогда не направляет гражданам прямые сообщения с требованием оплаты за выдачу или замену tessera sanitaria.
Данная кампания представляет собой типичный пример фишинга, адаптированного под реалии конкретной страны. Использование государственного бренда, создание ложного ощущения срочности и маленькая сумма платежа делают схему опасной для неподготовленного пользователя. Защититься от подобных атак можно с помощью критического отношения к любым неожиданным уведомлениям. Любое сообщение, побуждающее перейти по ссылке и ввести личные данные, следует проверять через официальные источники. Не стоит переходить по ссылкам из писем или SMS. Лучше самостоятельно открыть браузер и ввести адрес государственного портала.
Международный опыт показывает, что подобные схемы мигрируют между странами. После отработки на итальянской аудитории злоумышленники могут адаптировать сценарий под другие государства, заменяя название ведомства и сумму. Любые сомнения должны решаться через личный кабинет или непосредственное обращение в ведомство.
CERT-AGID уже проинформировал компетентные органы о выявленных доменах, и часть из них заблокирована. Однако кампания продолжает использовать новые адреса. Пользователям, которые ввели свои данные на подозрительных страницах, рекомендуется немедленно связаться со своим банком для блокировки карт и смены паролей к аккаунтам. Дополнительно следует подать заявление в полицию о факте мошенничества. Предотвращение ущерба возможно только при быстром реагировании.
Индикаторы компрометации
Domain
- salutev.bond
- salutev.cfd
- salutev.sbs
- salutex.cfd
- salutex.sbs
- salutez.cfd
- salutez.sbs
- salutte.sbs
URL
- https://salutev.bond/asfdmpowefm/footer.html
- https://salutev.bond/IT
- https://salutev.bond/otphtml/otpheader.html
- https://salutev.bond/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutev.bond/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutev.bond/ZWTtfartyN/api
- https://salutev.cfd/asfdmpowefm/footer.html
- https://salutev.cfd/IT
- https://salutev.cfd/otphtml/otpheader.html
- https://salutev.cfd/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutev.cfd/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutev.cfd/ZWTtfartyN/api
- https://salutev.sbs/asfdmpowefm/footer.html
- https://salutev.sbs/IT
- https://salutev.sbs/otphtml/otpheader.html
- https://salutev.sbs/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutev.sbs/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutev.sbs/ZWTtfartyN/api
- https://salutex.cfd/asfdmpowefm/footer.html
- https://salutex.cfd/IT
- https://salutex.cfd/otphtml/otpheader.html
- https://salutex.cfd/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutex.cfd/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutex.cfd/ZWTtfartyN/api
- https://salutex.sbs/asfdmpowefm/footer.html
- https://salutex.sbs/IT
- https://salutex.sbs/otphtml/otpheader.html
- https://salutex.sbs/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutex.sbs/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutex.sbs/ZWTtfartyN/api
- https://salutez.cfd/asfdmpowefm/footer.html
- https://salutez.cfd/IT
- https://salutez.cfd/otphtml/otpheader.html
- https://salutez.cfd/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutez.cfd/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutez.cfd/ZWTtfartyN/api
- https://salutez.sbs/asfdmpowefm/footer.html
- https://salutez.sbs/IT
- https://salutez.sbs/otphtml/otpheader.html
- https://salutez.sbs/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutez.sbs/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutez.sbs/ZWTtfartyN/api
- https://salutte.sbs/asfdmpowefm/footer.html
- https://salutte.sbs/IT
- https://salutte.sbs/otphtml/otpheader.html
- https://salutte.sbs/we127_ca_SocialSecurity_HealthCards/footer.html
- https://salutte.sbs/we127_ca_SocialSecurity_HealthCards/header.html
- https://salutte.sbs/ZWTtfartyN/api
