Alerte phishing : on vous demande de remplacer votre carte santé — ne tombez pas dans le piège, voici comment l’éviter

Le CERT‑AgID sonne de nouveau l’alerte : une campagne de phishing visant à tromper les citoyens autour de la « remplacement » de la carte sanitaire (tessera sanitaria) circule actuellement et tente de collecter données personnelles et informations bancaires. Les attaques reprennent un scénario déjà observé en début d’année, mais affichent cette fois une mise en scène particulièrement soignée, incluant des pages web imitant l’apparence du site du Ministère de la Santé. Il est essentiel de comprendre les méthodes employées par les fraudeurs, les signaux d’alerte à repérer et les bons réflexes pour ne pas se faire piéger.

Le mode opératoire : comment se déroule l’arnaque

Les victimes reçoivent un courriel indiquant qu’un « nouveau système électronique d’identification sanitaire » a été déployé et que toutes les cartes émises avant janvier 2023 doivent être remplacées. Le message invite à suivre un lien vers une procédure en ligne — une page qui reproduit visuellement l’univers du Ministère de la Santé. L’utilisateur est alors invité à renseigner des informations personnelles (nom, prénom, téléphone, code fiscal, voire passeport ou permis) et à fournir une adresse de livraison pour la nouvelle carte.

Phase finale : demande de paiement en ligne — des frais affichés (production, gestion administrative, envoi) totalisent un montant modeste (ex. 6,39 €) afin de lever les résistances. Pour finaliser, il est demandé de saisir les coordonnées de carte bancaire (numéro, date, CVV).

Conséquence : les données personnelles et bancaires sont exfiltrées vers un serveur malveillant et peuvent être utilisées pour des fraudes additionnelles (achats, usurpation d’identité, ventes sur le dark web).

Pourquoi cette attaque est‑elle efficace ?

Plusieurs éléments rendent la supercherie crédible :

Le prétexte est plausible : une modernisation des systèmes d’identification sanitaire ou une compatibilité avec de nouveaux lecteurs est une annonce qui peut paraître légitime aux usagers peu familiers des procédures administratives.

Le design du site cloné : les pages frauduleuses reprennent des éléments visuels officiels, réduisant la vigilance des internautes.

Le coût faible demandé : un montant de quelques euros inclut souvent la carte dans l’esprit de la victime mais sert surtout de prétexte à la collecte des données bancaires.

Enfin, la pression temporelle et l’injonction de suivre la procédure pour éviter la désactivation de la carte sont des leviers psychologiques classiques exploités par les fraudeurs.

Les signaux d’alerte à repérer immédiatement

Pour se prémunir, il faut savoir repérer les indices d’une tentative de phishing :

Expéditeur suspect : l’adresse e‑mail n’appartient pas au domaine officiel du Ministère ou contient des anomalies (typos, sous‑domaines étranges).

Liens trompeurs : au‑dessus d’un lien, la destination affichée dans le navigateur est différente de celle visible dans le courriel ; mieux vaut survoler le lien pour vérifier l’URL avant de cliquer.

Demande d’informations sensibles : une administration ne demandera jamais en masse les coordonnées bancaires par courriel pour un renouvellement de carte ; la tessera sanitaria est gérée et envoyée gratuitement par l’Agenzia delle Entrate selon les procédures officielles.

Erreurs de langage ou formulation trop commerciale : fautes, tournures inhabituelles, ou mentions de frais sont des drapeaux rouges.

Que fait le CERT‑AgID et quelles recommandations il formule ?

Le CERT‑AgID a identifié et signalé ces campagnes aux services compétents et publie des recommandations concrètes :

Ne cliquez pas sur les liens contenus dans des e‑mails non sollicités relatifs à la carte sanitaire.

Vérifiez systématiquement l’adresse du site visité et privilégiez l’accès via les portails officiels connus (ex. site du Ministère de la Santé, site de l’Agenzia delle Entrate).

Ne communiquez jamais vos coordonnées bancaires à la demande d’un courriel ; la « demande de paiement » est un indice d’arnaque.

Signalez immédiatement le message suspect aux autorités compétentes et bloquez l’expéditeur.

Que fait le véritable ministère et comment la carte sanitaire est‑elle réellement délivrée ?

Il est essentiel de rappeler le fonctionnement officiel afin d’écarter toute ambiguïté : la carte sanitaire (tessera sanitaria) est renouvelée par les services compétents et, en Italie, elle est normalement émise et envoyée gratuitement par l’Agenzia delle Entrate ou par les services locaux de santé (ASL). Le Ministère de la Santé ou l’Agenzia ne procèdent pas à des envois massifs par e‑mail demandant un règlement en ligne. Toute communication officielle impliquera des canaux institutionnels et des procédures établies (courrier postal, services en ligne authentifiés via SPID ou autres identifiants officiels).

Que faire en cas de doute ou si vous avez fourni vos données ?

Si vous avez cliqué ou transmis vos informations :

Contactez immédiatement votre banque pour bloquer la carte et surveiller d’éventuelles transactions frauduleuses.

Changez les mots de passe des comptes ayant pu être exposés et activez l’authentification à deux facteurs (2FA) si possible.

Déclarez l’incident aux autorités locales et signalez le site frauduleux pour retrait.

Surveillez vos comptes et utilisez des services d’alerte sur la fuite de données personnelles.

Prévenir, c’est mieux : bonnes pratiques pour réduire le risque

Quelques règles simples permettent de réduire significativement l’exposition :

Privilégier l’accès aux services administratifs via des canaux officiels et authentifiés (SPID, CIE, portail des impôts).

Éduquer les proches — notamment les personnes âgées — sur les signes d’un courriel frauduleux.

Mettre à jour régulièrement systèmes d’exploitation et antivirus pour limiter le risque d’exploitation de vulnérabilités.

Utiliser des moyens de paiement sécurisés et, si possible, des cartes virtuelles pour les achats en ligne.

Cette nouvelle vague de phishing autour de la tessera sanitaria est une illustration supplémentaire de la créativité et de la persistance des cybercriminels. La vigilance individuelle et la diffusion d’informations claires par les autorités restent les meilleurs remparts. Les organisations publiques et les fournisseurs de services doivent continuer à alerter, éduquer et rendre accessibles des canaux sûrs pour que les citoyens puissent distinguer l’officiel du frauduleux.