Fino a qualche anno fa le truffe informatiche si riconoscevano spesso a colpo d’occhio. Un italiano improbabile, qualche verbo mal coniugato, un indirizzo Internet sospetto, una grafica che sembrava disegnata durante la pausa pranzo. Oggi non è più così. I truffatori si sono aggiornati e, soprattutto, hanno scoperto che l’intelligenza artificiale può essere utilizzata non soltanto per scrivere messaggi più credibili, ma persino per costruire procedure capaci di sembrare autentiche.
L’ultima frontiera arriva ancora una volta sotto le insegne fasulle dell’INPS. Il nome dell’Istituto viene utilizzato come esca per una nuova campagna di smishing, cioè phishing attraverso gli SMS, individuata dal CERT-AgID e segnalata nei giorni scorsi. La novità è inquietante: all’interno del meccanismo fraudolento è stato inserito un sistema basato sull’intelligenza artificiale capace di analizzare i documenti caricati dalla vittima.
In altre parole, non siamo più davanti alla semplice paginetta taroccata che raccoglie tutto quello che le viene dato. Il falso portale reagisce a ciò che riceve e proprio per questo può apparire molto più credibile.
A ricostruire il meccanismo è, tra gli altri, Antonio Maroscia, nell’articolo “Hai ricevuto un SMS dall’INPS? Attenzione, la nuova truffa è più difficile da riconoscere”, pubblicato da Lavoro e Diritti. La nuova campagna sarebbe stata osservata dal CERT-AgID l’11 agosto e successivamente rilanciata dall’INPS con un avviso del 14 agosto.
Tutto comincia con un SMS
Il principio resta quello vecchio quanto il mondo: far leva sulla paura oppure sulla speranza di ricevere denaro. Cambia soltanto il mezzo.
Sul telefono arriva un SMS apparentemente inviato dall’INPS. Può riguardare la necessità di verificare i propri dati, aggiornare una posizione, confermare alcune informazioni oppure evitare problemi nell’erogazione di una prestazione.
La parola magica è sempre la stessa: urgenza. Non hai tempo per pensarci. Devi cliccare. Devi confermare. Devi aggiornare. Devi farlo subito.
È precisamente il meccanismo psicologico sul quale si fonda lo smishing: spingere il destinatario ad agire prima che abbia il tempo di domandarsi se ciò che sta leggendo abbia davvero senso.
Il collegamento porta quindi a un sito che imita il portale dell’INPS, riproducendone grafica, colori e identità visiva. Il problema è che oggi copiare l’aspetto di un sito istituzionale è relativamente semplice e, come avverte lo stesso INPS, i criminali continuano a creare nuovi domini o a riattivare quelli già utilizzati modificando contemporaneamente i testi dei messaggi.
Ed è qui che comincia la razzia dei dati.
Vogliono molto più dell’IBAN
Uno degli aspetti più preoccupanti della nuova generazione di truffe INPS è che l’obiettivo non è necessariamente soltanto svuotare una carta di credito. Il bottino può essere molto più prezioso.
La procedura descritta nella nuova campagna accompagna la vittima attraverso diverse schermate e può chiedere dati anagrafici, documenti d’identità, buste paga, CUD e persino un selfie. E non si tratta di un’improvvisa passione dei truffatori per gli album fotografici.
Documenti, informazioni lavorative, dati reddituali e immagini del volto costituiscono insieme qualcosa di assai più pericoloso: un’identità digitale praticamente confezionata e pronta all’uso.
Già nel gennaio 2026 il CERT-AgID aveva segnalato una campagna nella quale venivano richiesti tessera sanitaria, patente, carta d’identità, buste paga e selfie. A questi dati erano stati aggiunti il CUD, la posizione lavorativa, il nome del datore di lavoro, la data di assunzione e il tipo di contratto.
Non sono informazioni raccolte a caso. Messe insieme permettono di costruire un profilo estremamente dettagliato della vittima.
Quando l’AI lavora per i truffatori
Ed eccoci alla vera novità.
Secondo l’analisi pubblicata da Cybersecurity360, firmata dall’esperto ICT Salvatore Lombardo, il sistema individuato dal CERT-AgID utilizza l’intelligenza artificiale per analizzare i documenti caricati dalle vittime, filtrando il materiale ricevuto e rendendo l’intera procedura fraudolenta più efficiente e convincente. È un salto di qualità non indifferente.
Immaginiamo che un falso sito INPS chieda di caricare un documento d’identità. In una vecchia pagina di phishing, probabilmente, sarebbe stato possibile caricare qualsiasi immagine e il sistema avrebbe comunque proseguito.
La nuova tecnica può invece controllare semanticamente l’immagine e capire se ciò che viene caricato corrisponde almeno apparentemente a quanto richiesto. Un’analisi della campagna riferisce, per esempio, che durante alcuni test un’immagine raffigurante una macchina da caffè sarebbe stata correttamente rifiutata perché non corrispondeva al documento atteso.
Ed è proprio qui che scatta la trappola psicologica.Se il sito respinge un documento sbagliato, l’utente tende a pensare: “Allora è un sistema vero”. Invece no. La macchina sta semplicemente aiutando il truffatore a truffare meglio.
L’intelligenza artificiale, dunque, non serve necessariamente a inventare la frode dall’inizio alla fine. Può diventare un ingranaggio del social engineering, eliminando materiale inutile, selezionando quello interessante e contemporaneamente conferendo alla procedura un’apparenza di professionalità. È il passaggio dal phishing artigianale al phishing industrializzato.
Un’escalation che dura da mesi
Quella di agosto non nasce dal nulla. Nel corso del 2026 il CERT-AgID ha registrato diverse campagne che hanno sfruttato il marchio INPS.
A gennaio erano finiti nel mirino persino CUD e informazioni lavorative. A maggio era comparso il falso “bonus carburante”: in appena quattro giorni il CERT-AgID aveva rilevato 14 campagne basate su domini differenti, questa volta orientate soprattutto all’acquisizione dei dati delle carte di credito.
A luglio è arrivata un’altra evoluzione. Il CERT-AgID ha individuato siti malevoli con due differenti vesti grafiche e richieste economiche di importo molto diverso, tanto da ipotizzare possibili tecniche di A/B testing: in sostanza, i criminali potrebbero sperimentare versioni differenti della stessa truffa per capire quale riesca a convincere più persone.
Il truffatore digitale, insomma, comincia a ragionare come un’azienda di marketing. Solo che il prodotto da vendere è una frode e il cliente da conquistare è la vittima.
I documenti rubati hanno un mercato
C’è poi un particolare che dovrebbe togliere definitivamente dalla testa l’idea secondo cui, se non ci hanno sottratto immediatamente denaro dal conto corrente, allora “non è successo niente”.
Nel marzo 2025 il CERT-AgID aveva documentato qualcosa di molto concreto: documenti appartenenti a cittadini italiani, accompagnati da selfie, erano finiti in vendita online.
Nei soli primi tre mesi del 2025 erano stati individuati 33 falsi domini INPS creati appositamente per sottrarre documenti d’identità. L’Agenzia per l’Italia Digitale spiegava che i dati trafugati potevano essere impiegati per il furto dell’identità digitale, compreso lo SPID, oppure venduti nel dark web.
Il documento rubato, dunque, è merce. Una fotografia nitida della carta d’identità, il codice fiscale, una tessera sanitaria e soprattutto un selfie con il documento accanto al volto possono essere infinitamente più utili a un’organizzazione criminale di qualche decina di euro sottratta una tantum.
Con quell’identità possono essere tentate altre frodi, sottoscritti contratti, costruiti account fasulli o predisposti ulteriori inganni. La truffa iniziale rischia quindi di essere soltanto il primo anello di una catena molto più lunga.
La regola che può salvarci
Fortunatamente esiste una regola semplicissima. L’INPS ha chiarito che gli SMS ufficiali relativi a pratiche e pagamenti non contengono link cliccabili.
Le notifiche via SMS hanno funzione informativa: avvisano il cittadino che esiste una comunicazione da consultare. Per vedere il contenuto bisogna entrare autonomamente nella propria area MyINPS, utilizzando i canali ufficiali e autenticandosi tramite SPID o CIE.
Quindi, se arriva il messaggino che dice più o meno “clicca qui per aggiornare i dati”, non si clicca. Niente panico, niente fretta e soprattutto niente curiosità. Si chiude l’SMS, si apre autonomamente il portale ufficiale INPS e si controlla la propria posizione da lì.
È inoltre utile osservare attentamente il dominio. I criminali sfruttano indirizzi che a una lettura frettolosa possono sembrare autentici, giocando persino con inversioni delle lettere come “insp”, “ipns” o forme simili. Sul piccolo schermo del telefonino basta un’occhiata distratta per non accorgersene.
E se abbiamo già abboccato?
Cliccare sul link, da solo, non significa necessariamente avere già consegnato la propria identità ai criminali. Il problema diventa serio quando si compilano i moduli, si inviano documenti, si comunicano credenziali oppure si inseriscono i dati della carta. In quel caso non bisogna perdere tempo.
Il CERT-AgID raccomanda, in caso di sottrazione di informazioni e documenti personali, di presentare denuncia alla Polizia Postale, conservando l’SMS, il sito visitato e tutta la documentazione disponibile. È inoltre necessario sorvegliare attentamente i propri conti e verificare che l’IBAN utilizzato per pensioni, stipendi o altre erogazioni non sia stato modificato abusivamente. Se sono stati consegnati dati bancari o della carta, occorre contattare immediatamente la banca attraverso i suoi canali ufficiali.
La prudenza deve essere ancora maggiore se sono stati inviati documento e selfie, proprio perché questo materiale può essere riutilizzato anche molto tempo dopo la truffa originaria.
Il vecchio buon senso contro la truffa 4.0
La morale di questa storia ha qualcosa di paradossale. Più le truffe diventano tecnologicamente sofisticate, più la difesa efficace torna a essere elementare.
Non fidarsi di un SMS. Non cliccare su un collegamento ricevuto. Non consegnare documenti perché una schermata dall’aspetto istituzionale ce lo ordina. Fermarsi e verificare. Il vecchio buon senso, insomma.
Perché siamo entrati nell’epoca nella quale la grammatica perfetta non garantisce più nulla, una grafica impeccabile non garantisce nulla e persino un sistema capace di controllare intelligentemente un documento non garantisce nulla.
L’intelligenza artificiale può essere un formidabile strumento. Ma, come ogni strumento, dipende dalle mani nelle quali finisce. E i criminali informatici hanno evidentemente capito molto in fretta come utilizzarla.
Prima copiavano il logo dell’INPS. Oggi costruiscono un falso sito INPS che sembra persino ragionare. E forse è proprio questo il dato più preoccupante della nuova truffa: non siamo più soltanto noi a dover imparare a riconoscere le macchine. Sono le macchine dei truffatori che hanno cominciato a riconoscere noi.
Sii il primo a commentare