Una nueva campaña de phishing altamente dirigida está suplantando al Ministerio de Salud de Italia para robar datos personales y sanitarios de ciudadanos registrados en el sistema público de salud. La estafa utiliza correos electrónicos que imitan notificaciones oficiales y redirigen a páginas fraudulentas diseñadas para capturar información sensible.

El incidente confirma una tendencia creciente: el sector sanitario europeo se ha convertido en uno de los objetivos prioritarios del cibercrimen, tanto por el valor de los datos médicos como por la confianza que generan las instituciones públicas.

Cómo opera la campaña

La campaña se dirige específicamente a usuarios del sistema Tessera Sanitaria italiano.

Los correos fraudulentos:

• Utilizan logotipos oficiales, tipografías institucionales y lenguaje administrativo creíble.
• Simulan avisos de caducidad, renovación o incidencias en la tarjeta sanitaria.
• Crean sensación de urgencia para inducir al usuario a actuar rápidamente.

El enlace incluido dirige a un sitio web falso que imita al portal oficial del Ministerio de Salud, donde se solicita introducir datos personales.

Información que buscan los atacantes

Los formularios fraudulentos intentan obtener:

• Datos personales (nombre, fecha de nacimiento, domicilio).
• Número de identificación sanitaria.
• Credenciales de acceso a servicios médicos.
• Información reutilizable para fraude financiero o suplantación de identidad.

Una vez obtenidos, estos datos pueden ser utilizados para:

• Acceder a historiales médicos.
• Realizar fraudes en nombre de la víctima.
• Construir perfiles para ataques más dirigidos (spear-phishing, extorsión, fraude financiero).

Por qué el impacto es especialmente grave

Este tipo de ataques no solo comprometen datos sensibles, sino que:

• Afectan a la privacidad médica, uno de los ámbitos más protegidos legalmente.
• Permiten ataques posteriores más sofisticados.
• Erosionan la confianza en las comunicaciones oficiales del Estado.
• Dificultan que las administraciones utilicen el correo electrónico como canal legítimo.

Recomendaciones de mitigación

Se recomienda:

• No hacer clic en enlaces de correos que soliciten datos personales o sanitarios.
• Acceder siempre a portales oficiales escribiendo manualmente la URL en el navegador.
• Verificar el dominio del remitente y del enlace antes de interactuar.
• Implementar filtros antiphishing en entornos corporativos.
• Realizar campañas periódicas de concienciación a usuarios y personal sanitario.