イタリアで医療チケット払い戻し詐欺が急増—フィッシングメールの手口と対策

詐欺メールの概要

イタリアの CERT-AgID（国家サイバーセキュリティ機関）が、保健省を装ったフィッシング詐欺キャンペーンを報告しました。このメールは「払い戻しの対象です」という件名で、医療チケット（sanità）の二重払いに対する278.26ユーロの払い戻しを約束しています。

詐欺メールの特徴

送信者の詐称

• メールアドレス「rimborso@salute.gov.it」を名乗っていますが、実は詐欺師が技術的な手法（スプーフィング）で偽造したものです
• 公式な政府機関からのメールに見えるよう工夫されています

メッセージの内容

• 医療費支払いの「確認」を装って払い戻し対象者であることを通知
• 「データを確認する」ボタンをクリックするよう促しており、このボタンが詐欺サイトへ誘導します

詐欺サイトの4段階プロセス

詐欺師たちは、本物の払い戻し手続きに見えるよう入念に設計された4ステップの詐欺ページを作成しました：

第1段階：アクセス検証

• 税務ID番号（Codice Fiscale）と生年月日の入力を要求

第2段階：払い戻し確認画面

• 「医療チケット二重払い」という理由で、払い戻し参照番号と278.26ユーロが表示される
• 本物のプロセスに見えるよう架空の詳細情報を提示

第3段階：個人情報の詐取

• 姓名
• メールアドレス
• 携帯電話番号
• 住所（市町村、県、郵便番号を含む完全な住所）

第4段階：クレジットカード情報の詐取

• カード名義人
• カード番号
• 有効期限
• CVVセキュリティコード
• さらに3D Secure対応カードが必須であるという説明をつけて、プリペイドカードは受け付けないとして信頼性を高めています

詐欺師が得られる情報の危険性

詐取された情報により、詐欺師は以下のことが可能になります：

1. クレジットカード不正利用：カード情報を使って詐欺的な取引を試みる
2. 個人情報流通：収集した氏名、住所、メールアドレス、電話番号などを売却
3. カスケード攻撃：同じ個人の多層的な詐欺キャンペーン
   • スミッシング詐欺（SMS経由）
   • ビッシング詐欺（電話経由）
   • 銀行フィッシング詐欺

重要な事実：政府は直接払い戻しをしない

イタリア保健省は、医療チケットの払い戻しを電子メール経由で直接行うサービスを提供していません。このような請求がある場合は：

• 地域保健局（ASL：Azienda Sanitaria Locale）に直接問い合わせる
• または地元の病院（Azienda Ospedaliera）に連絡する

見分け方と防御方法

フィッシングメール特有の兆候：

• 予期しない払い戻し通知：実際に医療費を二重払いしたと確認していない場合は疑う
• 急を促す表現：「今すぐ確認してください」といった時間的プレッシャー
• メールアドレスの詳細チェック：公式ドメイン名が少し違う、または疑わしい場合がある
• 個人情報を求める：政府機関は通常、重要な認証情報をメール経由で要求しない
• 未知のリンク：メール内のリンクにマウスを乗せて、本当の移動先を確認する

自衛策：

1. このようなメールを受け取った場合、メール内のリンクをクリックしない
2. 保健省の公式ウェブサイトから直接アクセスするか、電話で確認する
3. 個人情報（特にカード情報）を電子メール経由で送信しない
4. 本物の払い戻しが必要な場合は、必ず公式な ASL または病院に直接連絡する
5. メールを保存し、フィッシング報告システムに通報する

当局の対応

CERT-AgID は既に以下の対応を取っています：

• 詐欺サイトをホストしていたドメインの削除を要求
• イタリア保健省に情報提供
• 一般向けの警告を発出