Un SMS attribuito all’INPS annuncia un aiuto per affrontare l’aumento del prezzo dei carburanti. Il beneficio è concreto, la scadenza vicina e il collegamento già pronto. La truffa non chiede di riflettere: chiede di agire prima che sia troppo tardi.
Questa volta l’esca arriva via SMS
Il 15 maggio 2026 CERT-AGID ha documentato nuove campagne di smishing che utilizzavano il nome dell’INPS e un presunto “sussidio per il carburante”. Smishing significa phishing distribuito tramite SMS: il messaggio invita a seguire un collegamento e porta la persona in un percorso progettato per sottrarre informazioni.
Il fenomeno aveva già una dimensione significativa. In quattro giorni CERT-AGID aveva rilevato 14 campagne basate su domini distinti. Cambiare rapidamente indirizzi consente a chi gestisce l’operazione di sostituire le pagine rimosse e continuare la distribuzione.
Tre leve nello spazio di uno schermo
La campagna combinava tre elementi semplici: il nome di un ente riconoscibile, un problema quotidiano come il costo di benzina e diesel e una scadenza fissata al 16 maggio, il giorno successivo alla pubblicazione dell’avviso. La pagina prometteva 300 euro attraverso un presunto schema di compensazione.
Non serviva una storia complessa. Su uno schermo piccolo l’attenzione è selettiva: il mittente apparente, la cifra e il termine ravvicinato occupano il centro della decisione, mentre l’indirizzo completo e la necessità delle richieste rischiano di restare sullo sfondo.
Il percorso è pensato per il telefono
Il sito fraudolento era visualizzabile soltanto da smartphone e riproduceva un layout mobile riconducibile all’INPS. Prima chiedeva nome, indirizzo, città, CAP e numero di telefono. Il passaggio finale proponeva un “accredito rapido sulla carta” e raccoglieva nome del titolare, numero della carta, scadenza e CVV.
CERT-AGID evidenzia che, rispetto a precedenti campagne sullo stesso tema, l’obiettivo appariva concentrato sui dati di pagamento, con il probabile scopo di effettuare addebiti non autorizzati. La richiesta del CVV è un segnale particolarmente chiaro: quel codice serve ad autorizzare pagamenti, non a ricevere un contributo.
Il phishing è diventato anche un servizio
L’analisi tecnica ha individuato elementi compatibili con Darcula, un ecosistema di Phishing-as-a-Service. L’espressione descrive piattaforme che mettono a disposizione kit, pagine e infrastrutture per realizzare campagne fraudolente. In pratica, una parte della complessità tecnica viene confezionata e resa riutilizzabile.
Il codice osservato era offuscato e i dati sottratti venivano trasmessi in forma cifrata e poi codificata. Sono dettagli che mostrano un’operazione organizzata, ma non cambiano il comportamento richiesto alla persona: interrompere il percorso prima di consegnare informazioni.
Come togliere velocità alla truffa
- Non usare il collegamento contenuto nell’SMS per verificare un bonus o una scadenza.
- Aprire il browser e raggiungere autonomamente il sito ufficiale dell’ente.
- Non fornire numero completo della carta, scadenza o CVV per ricevere un accredito.
- In azienda, inoltrare il messaggio al canale interno di segnalazione senza interagire con la pagina.
CERT-AGID ha informato il reparto di sicurezza informatica dell’INPS, richiesto ai registrar la dismissione dei domini malevoli e condiviso gli indicatori di compromissione con le organizzazioni accreditate. Il contrasto tecnico riduce l’esposizione, ma nuove varianti possono usare altri domini e altre promesse.
La consapevolezza deve funzionare anche di fretta
Una formazione efficace non può basarsi soltanto sul riconoscimento di un messaggio già noto. Deve creare un’abitudine semplice e trasferibile: quando una comunicazione promette denaro, impone una scadenza e chiede dati finanziari, si esce dal percorso e si verifica altrove. È un gesto breve, adatto proprio ai momenti in cui il telefono ci spinge ad andare veloci.