Gli esperti del CERT-AgID (Computer Emergency Response Team dell’Agenzia per l’Italia Digitale) hanno individuato un falso sito dell’INPS che distribuisce un’app infetta per Android. Al momento non è ancora operativo, ma sembra piuttosto chiara l’intenzione dei cybercriminali. Gli utenti deve prestare molta attenzione ai messaggi ricevuti e leggere il nome del dominio nella barra degli indirizzi.
App mobile di INPS per Android con malware
Come specificato dagli esperti del CERT-AgID, il link al sito viene inviato via SMS, quindi si tratta del classico smishing. Il dominio è stato registrato due giorni fa presso Hosting Concepts B.V., azienda olandese con sede a Rotterdam. Il dominio scade il 9 novembre 2027. Il design è simile a quello del sito legittimo, ma si notano differenze evidenti.
Attualmente è in inglese, quindi è ancora in sviluppo, essendo destinato all’utenza italiana (la lingua non può essere selezionata). Nessun link nella home page è funzionante. Al centro c’è un pulsante “Download APK” che dovrebbe consentire il download dell’app ufficiale per Android.
Cliccando sul pulsante viene avviato il download, come si può vedere nell’immagine. In realtà, il file APK non può essere installato su Android perché è solo un file di testo da 40 byte. Sembra quindi evidente che il sito sia ancora in fase di allestimento. Nella parte inferiore della pagina sono scritte le istruzioni per il sideloading (installazione fuori dal Google Play Store).
L’obiettivo di queste campagne di smishing è convincere le ignare vittime ad installare un’app fasulla inviando SMS con mittente INPS. L’app contiene solitamente un malware che può rubare dati dal dispositivo (infostealer) oppure accedere ai conti correnti (trojan bancario).
Il CERT-AgID ha chiesto la chiusura del dominio, ma al momento è ancora accessibile. Il sito ufficiale di INPS è questo. Le app per Android e iOS possono essere scaricate da questa pagina.
Ti potrebbe interessare
11 nov 2026