Il Cert-Agid, la struttura dell’Agenzia per l’Italia Digitale che presidia la sicurezza informatica della Pubblica Amministrazione, ha segnalato una nuova ondata di smishing a tema Inps, cioè messaggi truffa recapitati via sms. La novità è un sistema di verifica dei documenti basato sull’intelligenza artificiale, che rende l’inganno più credibile. Chi riceve il messaggio si trova davanti a una procedura che imita quasi alla perfezione quella ufficiale.
Indice
Come funziona la nuova truffa Inps
La frode parte da un sms che sfrutta nome, logo e grafica dell’Inps e invita il malcapitato a verificare i propri dati per evitare di perdere l’erogazione dei servizi. Il link porta a un sito contraffatto, costruito per somigliare al portale istituzionale.
Da lì la vittima viene accompagnata lungo un percorso in 5 fasi, durante le quali vengono chiesti:
- dati anagrafici;
- documenti d’identità;
- buste paga;
- Certificazione Unica;
- un selfie.
È lo stesso meccanismo già visto nei mesi scorsi: a luglio il Cert-Agid aveva individuato campagne analoghe, con due vesti grafiche diverse e importi da versare molto differenti, che imitavano la sezione Verifica degli indebiti del sito Inps.
Che cosa rischiano le vittime
Dati anagrafici, documenti e selfie servono per ricostruire l’intera identità digitale della vittima. La combinazione di documento e selfie permette di superare i controlli di riconoscimento richiesti per aprire conti correnti, usare wallet o profili online, attivare utenze o chiedere prestiti a nome di chi ha subito il furto.
Gli stessi dati aprono la strada all’accesso illecito allo Spid e ai servizi digitali della Pubblica Amministrazione.
Quando nella procedura entrano anche le coordinate di pagamento, il rischio è vedere addebiti non autorizzati e movimenti sul conto. Nei casi peggiori le informazioni sottratte finiscono in vendita sul dark web, dove alimentano altre frodi.
La verifica con l’intelligenza artificiale
Quello che cambia in questa ondata è un ulteriore controllo sui file caricati dalla vittima. Il sito fraudolento integra un modello di intelligenza artificiale che analizza le immagini caricate: ne descrive il contenuto e lo confronta con il documento richiesto.
Nei test del Cert-Agid ha respinto le immagini non pertinenti, restituendo messaggi che ne descrivevano il contenuto reale, per esempio “l’immagine mostra una macchina da caffè anziché un documento“.
È un controllo più raffinato dei semplici filtri su nitidezza o luminosità già visti nei tentativi di phishing. Il sistema ha però accettato anche una carta d’identità falsa con tanto di filigrana FACSIMILE: la verifica non è infallibile.
Perché viene utilizzata l’AI per lo smishing
Scartando i caricamenti sbagliati o casuali, l’AI riduce il “rumore” nei dati raccolti e li rende più facili da sfruttare. Allo stesso tempo l’etichetta Verifica AI in corso trasmette alla vittima un’impressione di serietà e la spinge a completare tutte le fasi, cedendo informazioni di qualità più alta.
Il Cert-Agid ha avviato la disattivazione dei domini malevoli e diffuso gli Indicatori di Compromissione (Ioc), i dati tecnici che permettono a enti e operatori di riconoscere e bloccare i siti coinvolti.
Come riconoscere le truffe a nome Inps
L’Inps ricorda ancora una volta una regola semplice: non invia mai sms o e-mail con link per confermare dati o ricevere rimborsi. Le uniche e-mail con link sono quelle relative alle indagini sulla soddisfazione degli utenti, che comunque non chiedono mai dati bancari o documenti.
Il solo sito ufficiale è http://www.inps.it e l’indirizzo deve terminare con .inps.it. Attenzione ai domini con storpiature del nome come “insp”, “ipns” o “inpis”.
Davanti a un sms sospetto la regola è non cliccare e non inserire alcun dato. Il messaggio va confrontato con gli esempi del vademecum antitruffe pubblicato sul sito Inps. L’Istituto segnala e fa bloccare i domini fraudolenti ma i truffatori ne aprono di nuovi o riattivano i vecchi cambiando i testi degli sms.
Chi ha già caricato documenti o coordinate bancarie dovrebbe contattare la propria banca, controllare eventuali accessi anomali e valutare una segnalazione alla Polizia postale.
