Previdência não está a solicitar a renovação de teu cartão sanitário, é uma fraude
O Ministério adverte de uma campanha em massa de 'phishing' que suplanta a identidade para roubar dados bancários com a desculpa de uma falsa caducidad da TSI
Uma nova onda de ciberataques está suplantando a identidade do Ministério de Previdência para roubar dados pessoais e bancários de milhares de cidadãos. O Instituto Nacional de Ciberseguridad (INCIBE) e o próprio Ministério têm emitido uma alerta de importância "Alta" sobre esta campanha fraudulenta que chega através de correios eletrónicos e, principalmente, mensagens de texto (SMS).
O engano é simples, mas efetivo: a mensagem alerta à vítima de que seu Cartão Sanitário Individual (TSI) tem expirado ou deve ser substituída obrigatoriamente por um "novo sistema de verificação". Os ciberdelincuentes instam a realizar a gestão através de um enlace, ameaçando com a perda do acesso aos serviços sanitários se não se completa o trâmite num curto período de prazo.
Assim funciona a fraude do cartão sanitário passo a passo
O Ministério de Previdência tem confirmado que não está a solicitar nenhuma renovação em massa de cartões sanitários por esta via. Trata-se de uma fraude de phishing desenhada para criar uma falsa sensação de urgência e roubar informação sensível.
O modus operandi dos estafadores é muito sofisticado:
- A isca (SMS ou e-mail): a vítima recebe uma mensagem com erros gramaticales evidentes (como "Actualiza seu TSI" ou "Renovacion" sem chame) ou desde um remitente suspeito (um número de telefone estranho ou um domínio de correio que não é o oficial: sanidad.gob.es).
- O site falso: ao pulsar o enlace, o utente é redirigido a uma página site que imita visualmente à perfección o portal do Ministério de Previdência. Inclusive pode incluir logotipos falsificados (sem o fundo amarelo oficial) ou um passo de "verificação humana" (como um cálculo simples) para gerar confiança.
- A personalização: o site fraudulento solicita à vítima que seleccione sua Comunidade Autónoma. Ao fazê-lo, a página personaliza-se com o logo oficial da Consejería de Previdência correspondente, fazendo o engano ainda mais creíble.
- O roubo de dados: depois de solicitar o RG ou NIE, o site apresenta o passo final: o pagamento de uma pequena quantidade (geralmente 2,99 euros) em conceito de "despesas de envio" para o novo cartão. Esta é a única opção que oferece a página.
- O formulário final: o utente é dirigido a um formulário onde deve introduzir seus dados pessoais completos e, finalmente, os dados de seu cartão bancário (número, data de caducidad e CVV).
- Falsa verificação: depois de introduzir os dados bancários, o site simula uma "autenticação segura", pedindo um código que supostamente chegará ao móvel. Neste ponto, os ciberdelincuentes já têm toda a informação necessária para operar com o cartão da vítima.
Que faço se tenho recebido a mensagem?
Se tens recebido esta notificação, mas não tens introduzido nenhum dado, a solução é singela:
- Não pulses no enlace baixo nenhum conceito.
- Bloqueia ao remitente da mensagem ou correio.
- Elimina a notificação imediatamente.
- Reporta: podes reenviar a informação ao buzón de incidentes de INCIBE ou contactar com o número 017, a linha de Ajuda em Ciberseguridad, se tens qualquer dúvida.
Que faço se tenho caído na armadilha?
Se tens acedido ao enlace e tens proporcionado teus dados pessoais e bancários, o tempo é crucial. Actua de imediato:
- Contacta com teu banco: lume imediatamente a tua entidade bancária para informar da fraude, cancelar o cartão afectado e bloquear qualquer pagamento suspeito.
- Recopila provas: guarda todas as evidências possíveis: capturas de ecrã do SMS, do site falso, dos formulários recheados e qualquer correio de confirmação.
- Denúncia: apresenta uma denúncia formal ante as Forças e Corpos de Segurança do Estado (Polícia Nacional ou Policia civil) contribuindo todas as provas que tens recopilado.
- Vigia tua identidade: realiza egosurfing (procura teu nome e RG em Google) periodicamente para comprovar se teus dados têm sido filtrados ou estão a ser usados sem teu consentimento na rede.
As autoridades recordam que nenhum organismo público solicitará jamais dados bancários, senhas ou informação pessoal sensível através de SMS ou correio eletrónico. Qualquer gestão oficial que requeira identificação se realiza sempre através da sede eletrónica oficial e mediante sistemas seguros como Cl@ve, RG eletrónico ou certificado digital. Se um suposto site oficial não te solicita estes métodos de acesso, desconfia: é uma fraude.