Truffe INPS via SMS e Smishing con l’AI: guida alla prevenzione e sicurezza

Una sofisticata campagna di smishing (phishing tramite SMS) sta colpendo sistematicamente gli utenti dell'INPS, utilizzando tecnologie di intelligenza artificiale per rendere i siti fraudolenti estremamente credibili. A differenza delle truffe classiche, che spesso si basano su controlli tecnici rudimentali, questo nuovo schema automatizzato è in grado di analizzare le immagini caricate dalle vittime, verificando che corrispondano effettivamente ai documenti richiesti, come carte d'identità o buste paga, e respingendo i file non pertinenti.

Il rilevamento di questa evoluzione tecnologica è avvenuto in seguito alle analisi del CERT-AgID (Computer Emergency Response Team dell'Agenzia per l'Italia Digitale), che ha identificato l'uso di modelli avanzati per la validazione dei documenti sui siti contraffatti. Questa capacità di "interpretazione" della scena aumenta drasticamente il tasso di successo nel furto di dati sensibili, poiché il sistema fornisce risposte coerenti agli errori dell'utente, simulando con precisione il rigore di un portale istituzionale reale.

Per i lavoratori della scuola, tra docenti, personale ATA e dirigenti, il rischio non è più limitato alla semplice sottrazione di dati anagrafici. La strategia criminale mira ora al furto d'identità completo, richiedendo alla vittima di fornire scansioni di documenti ufficiali, buste paga, CUD e persino un selfie per completare la procedura di frode. La sofisticazione del metodo rende fondamentale una consapevolezza aggiornata sulle modalità di interazione con le comunicazioni digitali della Pubblica Amministrazione.

L'evoluzione tecnica del phishing: dal controllo del file all'analisi semantica

La tecnica del smishing è nota da tempo, ma il passaggio attuale segna una linea di demarcazione netta: il controllo non è più solo tecnico (verifica del formato .jpg o .pdf), ma semantico e visivo. I truffatori hanno integrato nei loro siti falsi il modello Gemini 1.5 Pro di Google per analizzare i contenuti caricati. Se un utente tenta di caricare una foto non pertinente, come quella di un oggetto domestico, il sistema risponde con messaggi coerenti, ad esempio avvertendo che "non si tratta di un documento".

Questa capacità di analisi permette ai criminali di escludere i caricamenti casuali e ottenere materiale di alta qualità, essenziale per operazioni di furto d'identità su larga scala. Tuttavia, nonostante l'apparente efficacia, il sistema presenta vulnerabilità specifiche: documenti fittizi con la dicitura "FACSIMILE" sono stati accettati senza obiezioni e l'intelligenza artificiale può essere manipolata tramite prompt injection, ovvero istruzioni testuali inserite direttamente nelle immagini che il sistema interpreta come comandi di controllo.

Il CERT-AgID ha già avviato le procedure di dismissione dei domini malevoli individuati, condividendo gli indicatori di compromissione con le organizzazioni accreditate. Tuttavia, la natura dinamica degli attacchi richiede una vigilanza costante, poiché i truffatori possono creare rapidamente nuovi indirizzi web e modificare i testi degli SMS per eludere i blocchi istituzionali.

La procedura di frode in 5 fasi: come vengono sottratti i dati

Le pagine fraudolente sono progettate per guidare la vittima attraverso un percorso lineare che aumenta la fiducia dell'utente man mano che i dati vengono inseriti. La procedura tipica segue questi passaggi:

• Raccolta dati anagrafici: inserimento dei dati identificativi di base.
• Documenti di identità: richiesta di caricare la scansione della carta d'identità o del passaporto.
• Documentazione reddituale: richiesta di buste paga e CUD (Certificazione Unica).
• Verifica biometrica: richiesta di un selfie per il riconoscimento facciale.
• Conferma finale: validazione dei dati inseriti per completare il furto.

Durante il caricamento, compare spesso l'indicazione "Verifica AI in corso...", un elemento psicologico volto a trasmettere alla vittima una sensazione di sicurezza e rigore istituzionale. È importante sottolineare che l'INPS ribadisce ufficialmente di non inviare mai SMS o e-mail con link per confermare dati personali o ricevere rimborsi.

Cosa cambia concretamente per i docenti e il personale scolastico

Per chi lavora nel sistema scolastico, la principale conseguenza operativa è l'aumento della vulnerabilità del profilo previdenziale. Il furto di buste paga e documenti d'identità tramite questi canali può portare alla sottrazione di identità digitale, con possibili conseguenze sui pagamenti e sulle tutele previdenziali. La "credibilità" del sito falso è così alta che la difesa non può basarsi solo sulla riconoscibilità grafica, ma deve basarsi su una regola ferrea di comportamento digitale.

In caso di ricezione di un messaggio sospetto, la procedura corretta prevede di non interagire mai con il link contenuto nell'SMS. Se si sospetta un'operazione legittima, è necessario accedere manualmente al portale ufficiale digitando l'indirizzo nel browser. In caso di invio involontario di dati, è obbligatorio contattare immediatamente la Polizia Postale per denunciare il furto d'identità e monitorare eventuali movimenti sospetti sui propri profili previdenziali o conti correnti.

Per approfondire le linee guida ufficiali sulla prevenzione delle truffe, è possibile consultare il vademecum antitruffe dell'INPS.

Sintesi delle azioni di difesa immediata

• Non cliccare: Ignorare ogni link ricevuto via SMS che promette benefici o avverte di sospensioni.
• Accesso manuale: Digitare sempre www.inps.it direttamente nella barra degli indirizzi.
• Segnalazione: Denunciare tempestivamente ogni tentativo di frode alle autorità competenti.