La truffa della tessera sanitaria gira da settimane via email e SMS, e funziona meglio delle altre per una ragione precisa: chiede pochissimi soldi. Il messaggio annuncia una sostituzione obbligatoria del documento a partire dal 2026 e porta a una pagina che chiede 6,39 euro di spese di spedizione. Una cifra così piccola che in tanti la pagano senza pensarci — ed è esattamente il punto, perché il vero bottino non sono quei sei euro ma i dati della carta.
CERT-AgID e Ministero della Salute hanno segnalato una campagna di phishing che annuncia la sostituzione obbligatoria della tessera sanitaria per un inesistente “nuovo sistema di identificazione sanitaria elettronica”. La pagina falsa raccoglie prima i dati personali, poi numero di carta, scadenza e CVV per un pagamento di 6,39 euro. La tessera sanitaria si rinnova da sola, gratis, e arriva per posta: nessun ente chiede mai un pagamento online per averla.
Indice
- Come funziona la truffa, passo per passo
- Perché 6,39 euro e non 200
- Come funziona davvero il rinnovo della tessera
- I segnali che smascherano il messaggio
- Ho già pagato: cosa fare adesso
- Domande frequenti
Come funziona la truffa, passo per passo
Il messaggio arriva per email o per SMS e annuncia che la tessera sanitaria è in scadenza o deve essere sostituita. La motivazione è la parte più curata: si parla dell’entrata in funzione di un nuovo sistema di identificazione sanitaria elettronica che renderebbe obbligatorio il cambio del documento dal 2026. Un sistema che non esiste, ma che suona plausibile in un Paese dove negli ultimi anni sono davvero cambiati il Fascicolo Sanitario Elettronico e l’identità digitale.
Il link porta a un sito che imita l’aspetto dei portali istituzionali. Da lì la raccolta dei dati avviene in due fasi. Nella prima vengono chiesti nome, cognome, indirizzo email e numero di telefono: informazioni innocue in apparenza, che servono a rendere credibile il passaggio successivo e a profilare la vittima. Nella seconda fase — che non compare sempre, probabilmente perché i truffatori la attivano solo su una parte del traffico — si arriva alla pagina di pagamento, dove vengono richiesti numero della carta, data di scadenza e codice CVV per saldare i presunti 6,39 euro di spedizione.
Il CERT-AgID, la struttura dell’Agenzia per l’Italia Digitale che monitora le minacce informatiche verso la pubblica amministrazione, ha segnalato la campagna invitando espressamente a non pagare alcuna quota e a non fornire dati bancari. Sulla stessa linea l’allerta del Ministero della Salute, che ha ribadito di non inviare mai comunicazioni dirette con richieste di pagamento online per la tessera sanitaria.
Perché 6,39 euro e non 200
La cifra è il cuore dell’inganno, e merita di essere capita perché si ritrova identica in decine di altre campagne. Una richiesta di 200 euro fa scattare l’allarme in chiunque; 6,39 euro no. È una somma coerente con una spedizione postale, abbastanza piccola da non giustificare una telefonata al patronato o una ricerca su Google, abbastanza precisa — non 5, non 10 — da sembrare il risultato di un calcolo vero.
C’è poi un secondo livello di guadagno, meno immediato. I dati raccolti nella prima fase — nome, cognome, email, telefono — vengono rivenduti o riutilizzati per campagne successive, molto più mirate. Chi ha risposto a un messaggio sulla tessera sanitaria è profilato come persona che apre i messaggi istituzionali e che ci casca: nelle settimane seguenti riceverà tentativi più raffinati, magari a tema rimborso sanitario o ticket, che sono tra i temi più sfruttati nelle campagne italiane.
Come funziona davvero il rinnovo della tessera
La regola da tenere a mente è una sola e non ha eccezioni per la stragrande maggioranza delle persone: per chi è iscritto al Servizio Sanitario Nazionale la tessera sanitaria si rinnova da sola. Non esiste alcuna procedura da avviare, alcun modulo da compilare, alcun pagamento da fare. L’Agenzia delle Entrate la genera in automatico alla scadenza e la spedisce all’indirizzo di residenza risultante in anagrafe tributaria.
Se la tessera non arriva, l’unica cosa che di solito serve è verificare che l’indirizzo di residenza sia aggiornato. La copia può essere scaricata dall’area riservata dell’Agenzia delle Entrate o dal Fascicolo Sanitario Elettronico, accedendo con SPID, CIE o CNS, oppure richiesta allo sportello della propria ASL. Anche per le categorie che si iscrivono volontariamente al Servizio Sanitario Nazionale — una minoranza, tipicamente cittadini stranieri non obbligati all’iscrizione — la procedura passa dagli sportelli ASL e mai da un link ricevuto per messaggio.
Ne consegue una scorciatoia mentale che vale sempre: qualunque messaggio che chieda soldi per la tessera sanitaria è falso, a prescindere da quanto sia ben fatto. Non serve nemmeno analizzare il mittente o l’indirizzo del link, anche se aiuta. La richiesta di pagamento è di per sé la prova.
I segnali che smascherano il messaggio
Detto questo, riconoscere gli altri indizi serve per le campagne future, che cambieranno tema ma non metodo. Il primo è l’urgenza: il messaggio stabilisce una scadenza ravvicinata oltre la quale si perderebbe l’assistenza sanitaria. Nessuna amministrazione italiana comunica la decadenza di un diritto sanitario con un SMS e un conto alla rovescia.
Il secondo è il dominio. Le pagine clone usano indirizzi che assomigliano a quelli ufficiali ma non lo sono: sottodomini lunghi, estensioni insolite, parole come “tessera” o “sanitaria” attaccate a un nome di dominio qualsiasi. I siti veri della pubblica amministrazione italiana stanno su .gov.it, e la tessera sanitaria in particolare fa capo ad agenziaentrate.gov.it e sistemats.it. Conviene aprire il sito digitando l’indirizzo a mano invece di cliccare, abitudine che da sola neutralizza la quasi totalità di queste campagne.
Il terzo indizio è il tipo di dato richiesto. Un ente pubblico che deve incassare qualcosa usa PagoPA, dove il pagamento avviene sul circuito ufficiale e non su un modulo che chiede il CVV. Il CVV, in particolare, non serve mai a un’amministrazione: è un codice pensato per autorizzare pagamenti a distanza, e vederselo chiedere in un contesto istituzionale è già un allarme rosso. Abbiamo raccolto i segnali generali di un sito fraudolento nella guida su come riconoscere un sito truffa, e il funzionamento delle truffe via SMS nel pezzo sullo smishing.
Ho già pagato: cosa fare adesso
La prima cosa, e va fatta subito, è bloccare la carta. Si fa dall’app della banca in pochi secondi, oppure chiamando il numero verde sul retro della carta stessa; se si tratta di una carta di credito o di una prepagata, il blocco impedisce ulteriori addebiti anche se i dati sono già in mano a qualcuno. Chiedere la sostituzione della carta è l’unica soluzione definitiva: cambiando numero e CVV, i dati rubati diventano inutilizzabili.
Il secondo passo è il disconoscimento dell’operazione. La normativa europea sui pagamenti prevede che, in caso di operazione non autorizzata, la banca rimborsi l’importo salvo dolo o colpa grave del cliente. Va presentata una contestazione scritta all’istituto, allegando copia del messaggio ricevuto e della pagina fraudolenta se se ne ha uno screenshot. Sui micropagamenti la restituzione è generalmente rapida; il problema vero sono gli addebiti successivi, ed è per questo che il blocco viene prima di tutto.
Terzo passo, la denuncia. Si può presentare al Commissariato di Polizia Postale online oppure di persona presso qualsiasi comando dei Carabinieri o Polizia. Serve sia per tutelarsi in caso di uso fraudolento dei dati, sia perché le segnalazioni alimentano il lavoro di contrasto: molte pagine clone vengono oscurate proprio grazie alle segnalazioni degli utenti. Chi ha fornito solo nome, email e telefono senza arrivare al pagamento non ha subito un danno economico, ma farà bene ad aspettarsi altri tentativi e a diffidare per un po’ di qualunque messaggio istituzionale non sollecitato.
Domande frequenti
La tessera sanitaria scade davvero nel 2026?
Le singole tessere hanno una data di scadenza stampata, di norma a sei anni dall’emissione, quindi è del tutto normale che la propria scada nel 2026. Ma la sostituzione avviene d’ufficio e gratuitamente a cura dell’Agenzia delle Entrate, con spedizione all’indirizzo di residenza. Non esiste alcuna sostituzione obbligatoria generalizzata legata a un nuovo sistema di identificazione.
Ho cliccato sul link ma non ho inserito nulla: rischio qualcosa?
Il semplice clic su una pagina di phishing non compromette dispositivi aggiornati: queste campagne puntano a farsi consegnare i dati, non a installare software. Resta però l’ipotesi che il link porti a un allegato o a un file da scaricare: in quel caso conviene una scansione antivirus. Se non hai inserito dati e non hai scaricato niente, la cosa finisce lì.
Come posso avere una copia della tessera sanitaria se l’ho persa?
La ristampa si richiede gratuitamente nell’area riservata del sito dell’Agenzia delle Entrate accedendo con SPID, CIE o CNS, oppure allo sportello della propria ASL. Molte Regioni consentono di scaricarne una versione digitale dal Fascicolo Sanitario Elettronico, utilizzabile per le prenotazioni. In nessuno di questi canali viene chiesto un pagamento.
Perché il messaggio conosceva il mio nome?
Perché i dati personali circolano da tempo, spesso provenienti da violazioni di banche dati commerciali che non hanno nulla a che vedere con la sanità. Un messaggio personalizzato non è una prova di autenticità: oggi personalizzare è banale, e anzi i messaggi più pericolosi sono proprio quelli che sembrano scritti apposta per noi.
