Nelle ultime settimane sono state segnalate nuove campagne di smishing che sfruttano nome, logo e grafica di INPS. Quella più recente, descritta dagli esperti del CERT-AgID (Computer Emergency Response Team dell’Agenzia per l’Italia Digitale), prevede l’uso dell’intelligenza artificiale per verificare i documenti caricati dagli utenti. Si tratta in pratica di un filtro che semplifica il “lavoro” dei cybercriminali.
Furto dei dati con smishing e AI
Lo smishing è spesso più efficace del phishing, in quanto i controlli sugli SMS sono meno approfonditi rispetto a quelli sulle email. Non è noto come i cybercriminali hanno ottenuto i numeri di telefono. Le potenziali vittime ricevono un messaggio che invita a controllare i dati per continuare ad utilizzare i servizi di INPS. È presente un link che porta al sito fasullo con un design simile a quello legittimo.
La pagina iniziale è relativa ad un presunto aggiornamento della banca dati lavoro. Durante la procedura guidata è necessario inserire dati anagrafici (nome, cognome, telefono, email, datore di lavoro, posizione lavorativa, tipo di contratto, mese e anno di assunzione, IBAN di accredito). Successivamente viene chiesto di caricare tre documenti: carta d’identità, codice fiscale e patente.
Il CERT-AgID ha scoperto che il sito fake sfrutta l’intelligenza artificiale per rilevare il tipo di documento. Il sistema integrato può riconoscere correttamente diverse immagini, ma non è molto efficace (ha considerato valido il facsimile di una carta d’identità).
Questa soluzione ha un duplice scopo. Il primo è ingannare gli utenti, in quanto credono che sia la reale procedura di INPS e caricano quindi immagini di maggiore qualità. Il secondo è velocizzare la raccolta delle informazioni. Ciò consente ai cybercriminali di ottenere informazioni migliori da sfruttare in seguito.
Durante la procedura vengono chiesti anche buste paga, CUD e selfie. I cybercriminali possono così rubare l’identità degli utenti e mettere in atto vari tipi di truffe, ad esempio la richiesta di prestiti o finanziamenti. Il CERT-AgID ha informato INPS e chiesto la chiusura dei domini.
Ti potrebbe interessare
11 ago 2026