In questo articolo Indice dei contenuti 2 sezioni
Una nuova truffa INPS sta girando in questi giorni via email e promette un rimborso che non esiste, con l’obiettivo di svuotare il conto di chi ci casca. La segnalazione arriva dal CERT-AgID, la squadra che si occupa della sicurezza informatica per l’Agenzia per l’Italia Digitale, che ha intercettato una campagna di phishing costruita con nome, logo e grafica dell’istituto di previdenza. Il messaggio parla di un credito da 730,00 euro, cifra scelta con evidente furbizia perché richiama subito il modello dichiarativo più familiare agli italiani.
Il meccanismo è di quelli rodati. Arriva una mail che sembra spedita dall’INPS e informa il destinatario che, dopo un ricalcolo automatizzato della posizione contributiva e fiscale, sarebbe emerso un credito legato a versamenti del periodo di imposta 2025. Nel testo compaiono un numero di protocollo e una scadenza entro cui presentare la richiesta, due dettagli inseriti solo per mettere fretta. Nelle ultime settimane, del resto, sono state individuate diverse truffe che ricalcano siti fasulli molto simili al portale ufficiale dell’ente.
I segnali che smascherano il falso rimborso fiscale
Basta guardare la mail con un minimo di attenzione per accorgersi che qualcosa non torna. L’indirizzo del mittente non appartiene all’INPS, è semplicemente camuffato. E poi c’è quel saluto iniziale, un generico “Ciao cliente” che nelle comunicazioni istituzionali non si vede mai. Le mail vere riportano il nome e il cognome della persona e mantengono un tono formale, mai amichevole. Quel saluto anonimo tradisce l’invio di massa a migliaia di indirizzi, nella speranza che qualcuno abbocchi.
Il pulsante “Accedi all’area riservata” è il punto di non ritorno. Cliccandolo si finisce su un sito di phishing ospitato su un dominio che non ha niente a che vedere con quello dell’INPS. Un altro campanello d’allarme, forse il più importante, riguarda l’autenticazione. Sul portale legittimo l’ingresso avviene solo tramite SPID, CIE o CNS, mentre qui non viene chiesto nulla di tutto questo. Il sito finto salta a piè pari le identità digitali e passa direttamente alla raccolta dei dati, che è l’unica cosa che interessa ai criminali.
Dati anagrafici, carta di credito e la notifica push da 60 secondi
La procedura guidata è dettagliata al punto da risultare credibile. Vengono richiesti nome, cognome, codice fiscale, indirizzo di residenza, comune, provincia, CAP, data di nascita, indirizzo email e numero di telefono. Fin qui potrebbe sembrare la solita burocrazia. Poi arriva la parte che dovrebbe far scattare qualsiasi allarme, perché il modulo chiede anche i dati della carta di credito: intestatario, numero completo, data di scadenza e codice CVV. Nessun rimborso pubblico ha mai funzionato così.
L’ultimo passaggio è quello decisivo. Alla fine della compilazione il sito invita ad aprire l’app della propria banca e ad approvare una notifica push entro 60 secondi. Quella conferma non sblocca alcun accredito, autorizza invece una transazione fraudolenta. In altre parole, i 730,00 euro rischiano di uscire dal conto anziché entrarci. La finestra temporale così stretta serve proprio a impedire qualsiasi ripensamento, perché con il conto alla rovescia davanti agli occhi la tentazione è di premere e ragionare dopo.
Il CERT-AgID ha già inoltrato la segnalazione all’INPS e ha chiesto la chiusura del dominio utilizzato per l’attacco, che al momento risulta ancora raggiungibile. Fino a quando resterà online, la campagna di phishing continuerà a colpire chi apre la mail senza controllare il mittente. La regola resta sempre la stessa: nessuna comunicazione autentica dell’istituto chiede i dati della carta per erogare un rimborso fiscale, e ogni verifica va fatta accedendo al portale ufficiale in autonomia, digitando l’indirizzo nel browser e usando le credenziali digitali previste, senza passare dai collegamenti contenuti nel messaggio ricevuto.
