🛡️ Executive Summary
- Due siti falsi INPS mostrano richieste da 385,40 e 6,60 euro, suggerendo test comparativi su grafica, urgenza e importo.
- La catena sottrae codice fiscale, numero di telefono e dati completi della carta attraverso una falsa posizione debitoria.
- Gli utenti devono ignorare i link negli SMS e verificare eventuali comunicazioni esclusivamente attraverso i canali ufficiali INPS.
Il CERT-AGID ha individuato nuove campagne di smishing INPS progettate per sottrarre dati personali e informazioni delle carte di pagamento. Gli aggressori utilizzano due versioni del falso portale, una con richiesta da 385,40 euro e una da appena 6,60 euro, mantenendo invariata la sequenza di raccolta delle informazioni. La differenza tra importi, grafica e numero di loghi mostrati potrebbe indicare un vero A/B testing criminale, utilizzato per stabilire quale combinazione produca più pagamenti. La truffa sfrutta autorevolezza istituzionale, pressione temporale e una falsa posizione debitoria per accompagnare la vittima fino all’inserimento del CVV.
Cosa leggere
Due varianti puntano su leve psicologiche opposte
La prima pagina riproduce un’interfaccia istituzionale articolata, con box informativi, sei loghi dei circuiti di pagamento e badge PCI-DSS e SSL messi in evidenza per simulare affidabilità tecnica. La somma richiesta, pari a 385,40 euro, mira a generare timore per una presunta irregolarità previdenziale abbastanza grave da richiedere una soluzione immediata. La seconda versione riduce invece il contenuto a un solo avviso, mostra tre circuiti di pagamento e chiede soltanto 6,60 euro. L’importo minimo abbassa la soglia di attenzione: la vittima può considerare più conveniente pagare che controllare l’effettiva esistenza del debito. La stessa logica era già comparsa nello smishing INPS basato su un falso bonus carburante, dove identità visiva dell’ente e promessa economica venivano utilizzate per raccogliere i dati della carta. Nella nuova campagna gli attaccanti sperimentano però due stimoli contrari, paura di una perdita elevata e disponibilità a saldare una cifra irrilevante.
La truffa raccoglie dati in tre passaggi progressivi
Il link contenuto nell’SMS porta a un sito che imita la sezione “Visualizzazione indebiti” del portale INPS. Il primo passaggio richiede il codice fiscale e mostra riferimenti a SPID, CIE e CNS, pur senza utilizzare realmente questi sistemi di autenticazione. L’obiettivo è far apparire la procedura compatibile con i servizi digitali della pubblica amministrazione. Dopo l’inserimento del dato, la pagina presenta un riepilogo fittizio con importo, codice di pagamento elettronico e countdown della sessione.
Il timer crea una pressione artificiale e riduce il tempo dedicato alla verifica del dominio o del messaggio. Nell’ultima fase il sito richiede nome del titolare, numero della carta, scadenza, CVV e numero telefonico. La progressione aumenta gradualmente l’impegno della vittima: dopo avere già fornito codice fiscale e informazioni di contatto, l’inserimento dei dati finanziari può essere percepito come il completamento naturale della procedura. Un modello analogo caratterizza le false pagine della tessera sanitaria usate per rubare dati e carte.
L’A/B testing può ottimizzare le conversioni criminali
Il CERT-AGID considera plausibile che le due versioni siano state realizzate per confrontare il rendimento di importi e layout differenti. I criminali possono misurare quanti destinatari aprono il collegamento, quanti inseriscono il codice fiscale e quanti completano il pagamento, replicando tecniche normalmente adottate nel marketing digitale.
La pagina complessa potrebbe risultare più credibile per utenti abituati ai portali istituzionali, mentre quella minimale riduce distrazioni e porta rapidamente al modulo della carta. Non si può escludere che i kit siano utilizzati da affiliati diversi o inviati a liste già profilate per età, area geografica o precedenti interazioni. La crescente industrializzazione dell’ingegneria sociale tra phishing, smishing, vishing e qishing permette infatti di trattare messaggi, landing page e importi come variabili da ottimizzare. Anche senza conoscere il risultato dei test, la presenza di due percorsi quasi identici dimostra una progettazione più metodica rispetto alle campagne improvvisate.
Loghi e countdown sostituiscono la verifica reale
I simboli dei circuiti di pagamento, i badge di sicurezza e i riferimenti all’identità digitale non dimostrano che il sito sia autentico. Si tratta di elementi grafici facilmente copiabili, utilizzati per indurre la vittima a valutare l’aspetto della pagina invece dell’indirizzo web. Anche il lucchetto del browser indica soltanto che la connessione al dominio è cifrata, non che il dominio appartenga all’INPS. Il countdown svolge una funzione analoga: crea una scadenza inesistente e impedisce all’utente di fermarsi, aprire il sito ufficiale o contattare l’ente. Questi meccanismi sono ricorrenti nelle campagne malevole italiane che combinano false multe, phishing istituzionale e stealer. L’efficacia non dipende dalla sofisticazione tecnica del sito, ma dalla capacità di riprodurre segnali visivi familiari e inserirli in una narrazione coerente con le preoccupazioni del destinatario.
INPS non richiede pagamenti attraverso link negli SMS
L’INPS non comunica presunti debiti contributivi chiedendo il pagamento attraverso collegamenti esterni inviati via SMS. Chi riceve un messaggio di questo tipo deve evitare di aprire il link, non rispondere e controllare la propria posizione soltanto dall’app o dal portale ufficiale digitato manualmente. Se i dati della carta sono già stati inseriti, occorre contattare immediatamente l’emittente, bloccare lo strumento di pagamento e verificare eventuali operazioni non autorizzate.
La compromissione del codice fiscale e del numero telefonico può inoltre alimentare successive frodi personalizzate, quindi è opportuno prestare attenzione a chiamate, email o SMS che riprendano le informazioni fornite. Il CERT-AGID ha richiesto ai registrar la dismissione dei domini malevoli e ha condiviso gli indicatori di compromissione con gli enti accreditati. La presenza di varianti differenti conferma che lo smishing non è più una truffa statica, ma un processo sottoposto a misurazione e ottimizzazione continua.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
