La notizia in sintesi
- CERT-AgID segnala email false che imitano INPS.
- La truffa promette un rimborso contributivo di 730 euro.
- Il sito fraudolento raccoglie dati personali e dati delle carte.
- L’approvazione bancaria può autorizzare un pagamento non richiesto.
Riassunto generato con AI
Falso rimborso INPS: come opera il phishing
INPS è al centro di una nuova campagna di phishing individuata dagli esperti del CERT-AgID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, che usa email e pagine web contraffatte per sottrarre dati personali e di pagamento. L’esca è un presunto rimborso di 730 euro, attribuito a un ricalcolo automatizzato della posizione contributiva e fiscale e riferito al periodo d’imposta 2025. I messaggi invitano il destinatario a completare la pratica entro una scadenza ravvicinata, facendo leva sull’urgenza e sulla prospettiva di ricevere denaro.
La comunicazione fraudolenta può presentare un oggetto simile a “Protoc. INPS/2026/00489 – Pratica di rimborso approvata” e indicare un numero di protocollo per apparire credibile. Il bersaglio è chi riceve una mail non richiesta e viene spinto a usare il pulsante “Accedi all’Area Riservata”, anziché verificare autonomamente la propria posizione sul portale ufficiale. Secondo le informazioni diffuse dal CERT-AgID, la campagna mira sia ai dati identificativi sia alle credenziali e alle autorizzazioni necessarie per eseguire operazioni bancarie.
Le innovazioni piu' interessanti di tecnologia e scienza, dritte nella tua inbox.
I segnali della mail e il meccanismo della frode
L’email non proviene dall’indirizzo ufficiale di INPS e contiene formule generiche come “Ciao cliente”, anziché il nome dell’utente. Questo elemento indica un invio su larga scala: il testo è predisposto per raggiungere più destinatari possibile, senza una reale pratica individuale. La promessa del credito e l’indicazione di un termine breve servono a ridurre il tempo dedicato ai controlli, una tecnica ricorrente nelle campagne di phishing.
Il collegamento conduce a un dominio diverso da quello di INPS e apre una pagina che simula la procedura per ottenere il rimborso. Un passaggio rilevante è l’assenza dell’accesso tramite SPID, CIE o CNS, strumenti normalmente previsti per i servizi digitali dell’istituto. La pagina contraffatta guida l’utente attraverso più fasi e chiede nome, cognome, codice fiscale, indirizzo di residenza, comune, provincia, CAP, data di nascita, email e numero di telefono.
La raccolta prosegue con i dati della carta di pagamento: intestatario, numero, scadenza e codice CVV. Al termine, la vittima viene invitata ad aprire l’app della propria banca e approvare una notifica push entro 60 secondi. Quell’azione non serve a ricevere il rimborso promesso, ma può autorizzare una transazione fraudolenta: i 730 euro indicati nel messaggio rischiano quindi di essere prelevati invece che accreditati.
Il CERT-AgID ha segnalato la campagna a INPS e ha richiesto la chiusura del dominio usato per il phishing. La segnalazione conferma che non basta verificare la grafica o il logo: i criminali riproducono elementi visivi dell’ente per rendere più credibile l’inganno. Luca Colantuoni ha riportato che il sito indicato nella campagna risultava ancora online al momento della pubblicazione della segnalazione descritta.
La verifica diretta riduce il rischio
La conseguenza pratica della campagna è che ogni email inattesa su rimborsi, contributi o eccedenze fiscali va trattata come potenzialmente pericolosa prima di cliccare. Il controllo più sicuro consiste nel raggiungere INPS digitando autonomamente l’indirizzo del sito ufficiale e verificando nell’area personale l’eventuale presenza della pratica. Non vanno usati link, recapiti o istruzioni contenuti nella mail sospetta.
La richiesta di approvare una notifica bancaria è il punto più delicato della procedura, perché trasforma il furto dei dati in un possibile pagamento autorizzato dall’utente. Nessun rimborso descritto nelle fonti richiede di fornire il codice CVV della carta attraverso una pagina aperta da un messaggio ricevuto via email. L’invito ad agire entro pochi secondi è un ulteriore segnale di pressione, non una prova della legittimità della pratica.
La campagna mostra inoltre come il phishing possa combinare dati fiscali plausibili, linguaggio amministrativo e imitazione grafica per costruire una richiesta credibile. La difesa più immediata rimane interrompere la procedura e contattare l’ente esclusivamente attraverso i canali ufficiali pubblicati sul suo sito. Questo passaggio evita che un presunto rimborso diventi un’autorizzazione a un’operazione bancaria indesiderata.
FAQ
Quanto vale il falso rimborso INPS?
Sì, l’importo indicato nella campagna è di 730 euro, presentato come credito derivante da un ricalcolo contributivo e fiscale relativo al periodo d’imposta 2025.
Quali dati chiede il sito fraudolento?
Sì, il sito può chiedere dati anagrafici completi, contatti e dati della carta: intestatario, numero, scadenza e codice CVV.
Come riconoscere l’email falsa INPS?
Sì, controlla mittente e saluto: un indirizzo non ufficiale e formule generiche come “Ciao cliente” sono segnali concreti di phishing.
Perché viene chiesta la notifica bancaria?
Sì, l’approvazione della notifica push entro 60 secondi può autorizzare una transazione fraudolenta, non il rimborso promesso nella comunicazione.
Come è stata verificata questa notizia?
Sì, nasce da analisi e verifica incrociata della Redazione su punto-informatico.it e telefonino.net; ogni articolo è sottoposto a supervisione umana della Redazione prima della pubblicazione.
Articolo generato dal sistema di redazione AI di Datamoney, con supervisione umana finale.Non perdere gli errori di prezzo clamorosi su Amazon!
Iscriviti al canale Telegram e ricevili in tempo reale
Guide agli acquisti su Amazon
