In questo articolo Indice dei contenuti 2 sezioni
Un falso sito INPS sta circolando attraverso alcuni SMS che invitano a cliccare su un link e a scaricare un’applicazione. Chi ha ricevuto messaggi di questo tipo nelle ultime ore farebbe bene a ignorarli senza aprire nulla. A individuare la pagina contraffatta è stato il CERT AGID, l’ente governativo che in Italia si occupa di sicurezza informatica, che ha scoperto un portale costruito per imitare in tutto e per tutto quello dell’Istituto Nazionale della Previdenza Sociale, con logo e nome bene in vista. Il dominio è stato registrato appena due giorni fa e unisce la sigla “INPS” alla parola inglese “Italy”. Un dettaglio che da solo dovrebbe già insospettire. La truffa non è ancora operativa al cento per cento ma proprio per questo merita attenzione, perché chi la sta mettendo in piedi sembra impegnato a rifinire gli ultimi particolari prima di partire davvero con l’attacco. È la fase in cui il pericolo è più concreto, non quella in cui ci si può rilassare.
Come funziona la finta app INPS Mobile
La pagina fraudolenta spinge i visitatori a scaricare quella che viene spacciata per l’applicazione ufficiale INPS Mobile per Android. Non si limita a offrire il download ma fornisce anche le istruzioni per abilitare l’installazione da fonti esterne al Play Store, cioè da siti web anziché dal negozio ufficiale di Google. Questa procedura ha un nome preciso, sideloading, ed è da sempre il metodo preferito per convincere gli utenti meno esperti a installare app che nessuno ha mai controllato.
Quando gli esperti del CERT AGID hanno analizzato il sito, il file proposto era un finto APK da appena 40 byte. Praticamente un contenitore vuoto, che su Android non si riesce nemmeno a installare. Eppure il download sembrava autentico, con tanto di barra di avanzamento e velocità di trasferimento in bella mostra. Entrambi i valori però venivano generati a caso dal browser, una messinscena pensata solo per dare credibilità all’operazione. Anche altri elementi tradiscono una pagina ancora in costruzione: il selettore della lingua non funzionava e le istruzioni erano disponibili esclusivamente in inglese.
Cosa potrebbe succedere e come difendersi
Il CERT AGID ha già trasmesso i dati tecnici del portale alle strutture competenti e ha chiesto che il dominio venga chiuso. Il timore è che la situazione possa peggiorare in fretta. In passato altre campagne che sfruttavano il nome dell’INPS hanno diffuso vere applicazioni malevole, e l’ipotesi considerata più probabile è che quel file innocuo venga sostituito a breve con un’app in grado di sottrarre dati dallo smartphone di chi la installa. Insomma, il falso sito INPS oggi non fa danni ma potrebbe trasformarsi rapidamente in una trappola vera e propria.
La regola da seguire è piuttosto lineare. Non bisogna mai installare applicazioni al di fuori del Play Store solo perché lo chiede un SMS, a prescindere dall’ente o dall’azienda citata nel messaggio. L’Istituto non distribuisce aggiornamenti tramite messaggi di testo e nessuna istituzione italiana chiederà mai di attivare le fonti sconosciute su Android per scaricare qualcosa. Una richiesta del genere è già di per sé un segnale d’allarme piuttosto chiaro. Lo stesso vale per le comunicazioni che sembrano arrivare da altri servizi molto diffusi. Nel caso di messaggi che appaiono inviati da Amazon o da realtà simili, esistono strumenti ufficiali che permettono di verificarne l’autenticità prima di compiere qualsiasi azione.
Fonte: TecnoAndroid