Campagna malevola con falsi SMS INPS con verifica documentale

CERT-AGID, il Computer Emergency Response Team, ha scoperto una campagna smishing che diffonde falsi SMS INPS con inclusa una verifica documentale tramite intelligenza artificiale. Queste truffe sfruttano nome, logo e grafica dell’Istituto Nazionale di Previdenza Sociale per confondere i destinatari e far credere loro di aver ricevuto una comunicazione ufficiale.

“Gli SMS fraudolenti invitano l’utente a procedere al controllo dei propri dati per garantire la continuità dell’erogazione dei servizi, con un link che conduce a un sito contraffatto“, hanno dichiarato gli esperti per spiegare il metodo della campagna malevola in corso. “Le pagine fraudolente riproducono fedelmente la grafica dei portali istituzionali“.

INPS: informa che, per garantire la continua erogazione dei servizi a Lei destinati, bisogna procedere al controllo dei dati: https://dati-aggiungi.com/inps/.

Nello specifico, la campagna dei falsi SMS INPS propone un “percorso guidato” distribuito in cinque fasi che ha come obiettivo quello di spingere la vittima a caricare informazioni sensibili come dettagli anagrafici, documenti identificativi, buste paga, CUD e selfie. In questa campagna c’è però una novità che la differisce da tutte le precedenti.

La novità della campagna smishing con falsi SMS INPS

“Ciò che cambia, in questa nuova ondata, è l’introduzione di un ulteriore livello di controllo sui file caricati dalla vittima basato su un modello di intelligenza artificiale“, hanno affermato gli esperti riferendosi all’attuale campagna smishing dei falsi SMS INPS. “Il sistema integrato nel sito fraudolento è in grado di descrivere correttamente il contenuto dell’immagine caricata e di confrontarlo con il tipo di documento richiesto“.

Questo nuovo sistema offre due vantaggi evidenti agli attori di questi attacchi. Primo, l’adozione di un modello di intelligenza artificiale che verifica la validità dei documenti caricati, scartando quelli errati o casuali, riduce la mole di dati raccolti rendendo così più efficace lo sfruttamento delle informazioni rubate. Secondo, offre alla vittima un altro strumento che produce in lei la percezione di serietà del processo e quindi di “ufficialità”.

Chi si occupa quotidianamente di truffe e frodi online, come campagne di phishing e smishing, ricorda di non cliccare mai su link ricevuti tramite messaggi di testo o email non richieste, soprattutto se questi sono di dubbia provenienza. Nel caso di dubbi meglio contattare l’ente tramite i canali ufficiali prima di inviare le proprie informazioni sensibili a degli “sconosciuti”.