Una nuova campagna di smishing che sfrutta il nome dell’INPS alza il livello delle truffe digitali: non si limita a rubare credenziali, ma chiede documenti, buste paga e selfie, usando anche l’intelligenza artificiale per selezionare il materiale più utile ai criminali. Per un’azienda questo conta subito, perché basta il telefono di un dipendente e pochi minuti di disattenzione per esporre dati personali, informazioni sul lavoro e documenti che possono essere riutilizzati in frodi più complesse.
Il punto non è solo che “arriva un SMS falso”. La novità, segnalata dal CERT-AgID il 13 agosto 2026, è che l’AI entra nella catena d’attacco per rendere la falsa procedura più credibile ed efficiente. In pratica, la truffa somiglia sempre di più a un processo vero.
Cosa è successo
Secondo quanto rilevato dal CERT-AgID, nelle ultime giornate è aumentata una campagna di smishing che imita l’INPS usando nome, logo e grafica dell’ente. L’SMS invita la vittima a “verificare i propri dati” con il pretesto di garantire la continuità dei servizi.
Chi clicca sul link viene portato su un sito contraffatto, costruito per sembrare il portale istituzionale. Un dettaglio importante evidenziato dall’analisi è il dominio usato nella campagna, indicato come dati-aggiungi[.]com/inps/, chiaramente diverso dall’infrastruttura ufficiale inps.it. È proprio su questo tipo di differenza che si gioca spesso la prima linea di difesa: il messaggio richiama un ente noto, ma il collegamento porta altrove.
La falsa procedura, sempre secondo il CERT-AgID, accompagna l’utente in un percorso in cinque fasi. Non è quindi una pagina improvvisata: è un flusso studiato per raccogliere più informazioni possibili e spingere la vittima a completare l’intero processo senza fermarsi ai primi dubbi.
Perché questa truffa è diversa dalle altre
Molte campagne di phishing o smishing puntano a rubare password, codici OTP o dati di pagamento. In questo caso, l’obiettivo appare più ampio: costruire un dossier informativo sulla vittima.
Durante la procedura vengono infatti richiesti:
- dati anagrafici;
- documenti identificativi;
- buste paga;
- CUD;
- selfie.
Questo cambia la natura del rischio. Quando un attaccante ottiene solo una password, il danno può essere grave ma circoscritto. Quando invece raccoglie documenti, informazioni lavorative e immagini del volto, può alimentare furti d’identità, tentativi di impersonificazione, richieste fraudolente e altre truffe successive molto più credibili.
Per una PMI il problema è doppio. Da un lato c’è il danno alla persona coinvolta. Dall’altro c’è il possibile riflesso sull’azienda: dati di HR, abitudini interne, riferimenti contrattuali e informazioni usate per attacchi mirati ai colleghi o all’amministrazione.
Come entra in gioco l’intelligenza artificiale
L’elemento nuovo della campagna è l’uso dell’intelligenza artificiale nel controllo dei file caricati dalla vittima. Il modello integrato nel sito malevolo analizza le immagini e prova a stabilire se il contenuto corrisponde davvero al documento richiesto.
Nei test citati dal CERT-AgID, il sistema ha respinto immagini non pertinenti: per esempio, l’illustrazione di una macchina da caffè caricata al posto di un documento è stata riconosciuta e rifiutata. Questo indica un salto di qualità rispetto ai controlli più semplici presenti in alcuni phishing kit, che si limitano a verificare se un file ha dimensioni, luminosità o nitidezza accettabili.
Inoltre, le prove svolte avrebbero mostrato che il sistema è in grado di leggere anche testo presente nelle immagini. Significa che non sta solo controllando “sembra un’immagine valida”, ma tenta di capire cosa contiene.
Secondo quanto emerso dall’analisi, una vulnerabilità nei messaggi di errore avrebbe anche permesso al modello di auto-identificarsi come Gemini 1.5 Pro. Questo dettaglio non cambia il rischio pratico per la vittima, ma conferma che l’AI viene ormai usata anche in campagne fraudolente rivolte al grande pubblico.
L’AI non rende la truffa perfetta, ma la rende più efficiente
È importante non sopravvalutare la componente “intelligente”. Il CERT-AgID ha verificato che il sistema non è infallibile: avrebbe accettato anche documenti palesemente non validi, come una carta d’identità fittizia con filigrana “FACSIMILE”.
Questo ci dice due cose.
La prima: non siamo davanti a un controllo sofisticato come quello di un ente reale. La seconda, più importante: per i criminali non serve la perfezione. Basta un filtro automatico che elimini parte dei caricamenti inutili e lasci passare quelli apparentemente più promettenti.
In altre parole, l’AI viene usata per ridurre il “rumore” nei dati rubati. Meno immagini casuali, più documenti plausibili, meno lavoro manuale per chi gestisce la campagna. È un guadagno operativo per gli attaccanti, non un dettaglio tecnico marginale.
Il vero salto: l’AI come leva psicologica
L’aspetto forse più insidioso non è nemmeno il filtraggio automatico dei documenti, ma il suo effetto sulla fiducia della vittima.
Durante il caricamento, secondo l’analisi, compare un messaggio del tipo “Verifica AI in corso”. Per molte persone questo linguaggio richiama processi moderni, ufficiali e affidabili. Se un sito sembra professionale, guida l’utente passo dopo passo e mostra un controllo “intelligente”, la percezione di autenticità aumenta.
È qui che l’intelligenza artificiale diventa anche uno strumento di ingegneria sociale. Non serve solo a processare i dati raccolti: serve a convincere la persona che sta facendo qualcosa di legittimo.
Per le aziende questo è un campanello d’allarme importante. La formazione anti-phishing tradizionale si è concentrata per anni su email scritte male, loghi sgranati e richieste grossolane. Oggi una truffa può essere ordinata, coerente, credibile e perfino “assistita” da un linguaggio che richiama le tecnologie usate davvero dalle organizzazioni.
Perché il tema riguarda anche chi non tratta pratiche INPS
Potrebbe sembrare una minaccia limitata al rapporto tra cittadino e INPS. In realtà non è così.
In azienda, smartphone personali e strumenti di lavoro si mescolano continuamente. Un dipendente può ricevere il messaggio sul proprio telefono, caricare documenti reali che includono dati lavorativi, e poi diventare il punto di partenza per ulteriori attacchi. Buste paga e CUD, ad esempio, possono contenere elementi utili a ricostruire il datore di lavoro, il ruolo, l’inquadramento o altri dettagli sfruttabili per colpire amministrazione, HR o colleghi.
Il rischio quindi non è solo individuale: è organizzativo. Una campagna che parte dallo smishing può trasformarsi in una porta d’ingresso per frodi amministrative, furto di identità e successivi tentativi di accesso ai sistemi aziendali.
Cosa significa per la tua azienda
Per una PMI italiana, la risposta non può essere solo “state attenti agli SMS”. Servono misure semplici ma concrete.
Primo: chiarite una regola interna netta. Nessun dipendente deve caricare documenti personali o aziendali partendo da link ricevuti via SMS, email o chat, soprattutto quando il messaggio parla di urgenza, continuità del servizio o verifica dei dati.
Secondo: spiegate come controllare il dominio. Nel caso segnalato, il punto decisivo è che il sito non appartiene a inps.it. In molte truffe basta fermarsi qui per evitare il danno.
Terzo: includete lo smishing nella formazione periodica. Molte aziende fanno awareness sull’email, ma oggi il telefono è uno dei canali più efficaci per la frode. Una buona formazione deve coprire SMS, WhatsApp, app di messaggistica e QR code.
Quarto: preparate una procedura interna di segnalazione rapida. Se un dipendente ha cliccato, caricato un file o inserito dati, deve sapere immediatamente chi avvisare, senza timore di “aver fatto una sciocchezza”. La velocità è essenziale per limitare i danni.
Quinto: rafforzate la protezione dei dispositivi e la gestione del parco client. Aggiornamenti, configurazioni coerenti, controllo degli endpoint e supporto agli utenti riducono l’esposizione complessiva e aiutano a reagire meglio agli incidenti. In questo ambito possono essere utili servizi strutturati di desktop IT management e un presidio continuativo di sicurezza informatica.
Sesto: valutate l’impatto privacy. Se attraverso una truffa finiscono all’esterno documenti di dipendenti o collaboratori, il tema non è solo operativo ma anche di tutela dei dati personali. È utile avere processi chiari e supporto sull’adeguamento al GDPR.
Infine, fate una verifica pratica: oggi in azienda tutti saprebbero riconoscere un messaggio falso che usa il nome di un ente noto e un sito graficamente convincente? Se la risposta è no, il momento per intervenire è adesso, non dopo il primo caso reale.
Come comportarsi se qualcuno ha già risposto al messaggio
Se un dipendente o un collaboratore ha già interagito con una campagna simile, conviene agire subito in modo ordinato.
- Interrompere immediatamente la procedura e non inviare altro materiale.
- Conservare screenshot del messaggio, del link e delle pagine visitate.
- Verificare quali dati sono stati inseriti o caricati.
- Segnalare l’episodio al referente IT o al fornitore di assistenza.
- Valutare il cambio delle credenziali eventualmente coinvolte.
- Monitorare possibili contatti successivi, richieste anomale o tentativi di impersonificazione.
La priorità è capire se il caso resta personale o se tocca anche dati aziendali. È questa distinzione a determinare le azioni successive sul piano tecnico, organizzativo e privacy.
Domande frequenti
Se il messaggio cita l’INPS, posso fidarmi?
No. Il nome dell’ente non basta. Verifica sempre il dominio del sito: nel caso segnalato dal CERT-AgID, il link non apparteneva a inps.it.
Perché chiedono anche selfie, buste paga e CUD?
Perché l’obiettivo non è solo una password, ma un insieme di dati e documenti utili per furto d’identità e frodi successive.
L’AI rende impossibile riconoscere la truffa?
No, ma la rende più credibile ed efficiente. Per questo servono formazione, procedure interne e controlli tecnici, non solo attenzione individuale.