Cosa succederebbe se la mail di una finta agenzia di recupero crediti sapesse quali farmaci prendi? In Lombardia sta succedendo.
Come funziona la truffa
Il messaggio arriva per email e sembra una comunicazione amministrativa. Oggetto: richiesta di saldo debito, con nome e cognome del destinatario. Dentro c'e l'elenco di prestazioni e medicinali davvero prescritti a quella persona. Si chiede di regolarizzare la propria posizione con un bonifico di circa 40 euro. Il conto di destinazione ha un IBAN spagnolo. Nessun ente pubblico chiede soldi in questo modo.
Perche e piu pericolosa del solito phishing
Il phishing classico e generico: un finto avviso, un link, la speranza che qualcuno abbocchi. Qui invece i dati sono veri. Vedere il nome del proprio farmaco in una mail abbassa la diffidenza. Molti ragionano cosi: se sanno questo, allora la richiesta e legittima. E esattamente la leva su cui puntano i truffatori.
Da dove arrivano i dati
Le verifiche sui sistemi della Regione e delle aziende sanitarie non hanno mostrato intrusioni. Gli investigatori guardano altrove: la piattaforma Paziente Consapevole, usata da molti medici di base lombardi per inviare le ricette ai pazienti, ha subito un furto di dati a marzo. Da li sarebbero uscite anagrafiche, referti e prescrizioni. A fine 2025 si parlava dei dati di circa 90.000 pazienti lombardi in vendita su forum del dark web. Sul caso indaga la Polizia Postale, insieme alle strutture regionali per privacy e cybersecurity e al CSIRT di Aria.
Cosa fare se arriva
Non pagare, non rispondere, non aprire allegati o link. Nessuna ASL o ente pubblico invia richieste di pagamento via email, men che meno su IBAN esteri o tramite recupero crediti. Se hai gia pagato, chiama subito la banca per provare a bloccare il bonifico e segnala tutto alla Polizia Postale. Tieni alta l'attenzione anche nelle settimane successive: quando i dati sanitari sono fuori, tornano in altre forme, a volte con una telefonata che sembra credibile.
💬 Il mio commento
C'e un dettaglio di questa storia che mi colpisce piu della truffa in se: i sistemi della Regione non risultano bucati, eppure i dati sono in giro lo stesso. E il solito punto debole, il fornitore. Una piattaforma usata da tanti medici di base per le ricette viene compromessa, e di colpo il problema non riguarda un singolo studio ma decine di migliaia di pazienti. Secondo me e qui che va spostata l'attenzione, non sul singolo che ha cliccato.
Alle aziende con cui lavoro ripeto una cosa poco simpatica: i vostri dati valgono anche quando sono fermi sul gestionale di qualcun altro. Vale la pena chiedere a chi li tratta come li protegge, dove tiene i backup, cosa fa se qualcuno entra, e mettere queste risposte nero su bianco nel contratto. Nella sanita poi c'e un'aggravante: un indirizzo email e una lista di farmaci non li cambi come una password, chi li ha se li tiene. Per questo non mi convince liquidare tutto come solita truffa da 40 euro: la prossima ondata potra essere piu mirata, magari per telefono. Resta un dubbio onesto: finche la fonte del furto non e confermata, e difficile dire quante persone siano davvero esposte. Se gestisci dati sanitari o ti appoggi a una piattaforma esterna per ricette e referti, posso aiutarti a verificare come quel fornitore protegge le informazioni e cosa prevede il contratto nel caso finiscano fuori.