Smishing con intelligenza artificiale, allarme truffe INPS: come riconoscere gli SMS falsi e difendersi

Le truffe attraverso SMS fanno un nuovo salto di qualità. L'utilizzo dell'intelligenza artificiale da parte dei criminali informatici sta infatti rendendo alcuni attacchi sempre più sofisticati e, soprattutto, più difficili da riconoscere a prima vista.

A richiamare l'attenzione è una nuova ondata di smishing a tema INPS, segnalata dal CERT-AgID, il Computer Emergency Response Team dell'Agenzia per l'Italia Digitale.

La nuova variante introduce un elemento particolarmente insidioso: un sistema di verifica basato sull'intelligenza artificiale, capace di rendere il percorso proposto alla potenziale vittima ancora più realistico e credibile.

Il risultato è una truffa costruita per assomigliare sempre di più a una vera procedura digitale istituzionale.

Cos'è lo smishing e perché può essere pericoloso

Il termine smishing nasce dall'unione di "SMS" e "phishing" e indica una tecnica utilizzata dai criminali informatici per sottrarre informazioni attraverso messaggi apparentemente provenienti da soggetti affidabili.

La vittima riceve un SMS che cerca di indurla ad agire rapidamente: aggiornare i propri dati, verificare una posizione, evitare il blocco di un servizio, ottenere un rimborso oppure pagare una presunta somma dovuta.

Nel messaggio viene generalmente inserito un link che conduce a un sito falso, realizzato per assomigliare il più possibile a quello dell'ente, della banca o dell'organizzazione utilizzata come esca.

Una volta entrato nel sito contraffatto, l'utente viene invitato a fornire informazioni personali, credenziali, documenti o dati finanziari.

Truffa INPS via SMS: come funziona il nuovo attacco

La campagna osservata dal CERT-AgID l'11 agosto 2026 sfrutta nome, logo e identità grafica dell'INPS.

Gli SMS invitano il destinatario a verificare i propri dati, utilizzando come pretesto la necessità di garantire la continuità nell'erogazione dei servizi.

Il collegamento presente nel messaggio, però, non porta al vero portale dell'Istituto, bensì a una pagina web contraffattaprogettata per imitarne l'aspetto.

Ed è qui che la nuova truffa diventa particolarmente insidiosa.

Dati personali, documenti, CUD e selfie: cosa cercano i truffatori

Il falso portale accompagna la vittima attraverso un percorso guidato composto da cinque diverse fasi.

Nel corso della procedura vengono richieste numerose informazioni personali e documenti, tra cui dati anagrafici, documenti d'identità, buste paga, CUD e perfino un selfie.

Si tratta quindi di una raccolta di informazioni particolarmente ampia.

Il rischio non riguarda soltanto un'eventuale sottrazione di denaro. La disponibilità di un insieme così dettagliato di informazioni personali può esporre la vittima a ulteriori tentativi di frode e a possibili fenomeni di furto d'identità.

Documenti, immagini e informazioni personali possono infatti diventare strumenti preziosi nelle mani dei criminali per costruire successive truffe ancora più convincenti.

L'intelligenza artificiale rende le truffe più credibili

La novità più significativa della campagna riguarda proprio l'impiego dell'AI nel processo di verifica.

È un'evoluzione da non sottovalutare. Per molto tempo uno dei principali elementi che consentivano di individuare phishing e smishing era la scarsa qualità dei messaggi: errori grammaticali, testi poco naturali, grafica approssimativa e comunicazioni evidentemente diverse da quelle utilizzate dagli enti ufficiali.

Con strumenti tecnologici sempre più avanzati, questi segnali possono diventare meno evidenti.

L'intelligenza artificiale può contribuire alla realizzazione di comunicazioni più curate, procedure più realistiche e interazioni apparentemente coerenti, aumentando la capacità della truffa di conquistare la fiducia dell'utente.

Diventa quindi ancora più importante non valutare l'affidabilità di un messaggio soltanto sulla base del suo aspetto professionale.

Non è la prima campagna di smishing che utilizza il nome dell'INPS

La nuova offensiva si inserisce in un fenomeno già osservato nei mesi precedenti.

A luglio il CERT-AgID aveva individuato altre campagne di smishing nelle quali i criminali utilizzavano nome, logo e grafica INPS con l'obiettivo di sottrarre dati personali e informazioni relative alle carte di pagamento.

In alcuni casi, il collegamento contenuto nell'SMS portava a un sito costruito per imitare la sezione "Visualizzazione indebiti" del portale ufficiale, inducendo l'utente a credere di dover controllare o regolarizzare la propria posizione.

Pretesti, importi richiesti e veste grafica possono cambiare, ma il meccanismo rimane sostanzialmente lo stesso: creare un senso di urgenza, conquistare la fiducia della vittima e convincerla a inserire informazioni riservate.

Come riconoscere un falso SMS dell'INPS

Esiste una regola fondamentale che può aiutare i cittadini a evitare molte di queste truffe.

L'INPS ricorda che non invia SMS o e-mail contenenti link attraverso i quali confermare i propri dati personali o ricevere rimborsi.

Le uniche e-mail contenenti collegamenti inviate dall'Istituto riguardano le indagini sulla soddisfazione degli utenti e, anche in questi casi, non vengono mai richiesti dati bancari o documenti personali.

Bisogna quindi diffidare di qualsiasi SMS che chieda di cliccare immediatamente su un collegamento per aggiornare informazioni, verificare pagamenti, ricevere somme di denaro o evitare presunte sospensioni.

Attenzione all'indirizzo del sito: basta una lettera per ingannare l'utente

Un altro controllo fondamentale riguarda l'indirizzo internet.

Il sito ufficiale dell'Istituto è www.inps.it e le pagine autentiche appartengono al dominio "inps.it".

I criminali informatici cercano invece di registrare indirizzi molto simili a quello originale, modificando una lettera, invertendo alcuni caratteri oppure aggiungendo termini apparentemente credibili.

Possono comparire, ad esempio, denominazioni che ricordano INPS ma contengono sequenze come "insp", "ipns" o "inpis".

A una lettura veloce la differenza può passare inosservata, soprattutto quando il messaggio invita ad agire con urgenza.

Per questo è preferibile non utilizzare mai il link ricevuto attraverso un SMS sospetto, anche quando la grafica della pagina che compare sullo smartphone sembra perfettamente autentica.

Cosa fare quando arriva un SMS sospetto

La prima regola è semplice: non cliccare sul collegamento.

Se il messaggio riguarda una prestazione, un pagamento o una comunicazione INPS, è meglio accedere autonomamente al portale dell'Istituto digitandone direttamente l'indirizzo nel browser oppure utilizzando i canali ufficiali.

L'INPS mette inoltre a disposizione un vademecum antitruffe, attraverso il quale è possibile conoscere le principali modalità utilizzate dai truffatori e confrontare le comunicazioni sospette con gli esempi già individuati.

È importante anche evitare di scaricare allegati o fornire codici, credenziali, dati bancari, documenti e fotografie sulla base di una richiesta ricevuta attraverso un SMS.

Cosa fare se sono già stati comunicati dati personali

La situazione richiede maggiore attenzione quando la vittima ha già cliccato sul collegamento e inserito informazioni personali.

In questi casi è opportuno agire rapidamente, soprattutto se sono stati comunicati dati bancari, credenziali di accesso, informazioni relative alle carte di pagamento o documenti d'identità.

È consigliabile contattare tempestivamente gli intermediari interessati quando sono coinvolti strumenti di pagamento, modificare le credenziali potenzialmente compromesse e conservare SMS, schermate, indirizzi del sito e ogni altro elemento utile per un'eventuale segnalazione alle autorità competenti.

CERT-AgID e INPS: il contrasto alle nuove campagne fraudolente

Un ruolo importante nell'individuazione delle campagne è svolto dal CERT-AgID, struttura che monitora le minacce informatiche e le campagne di phishing e smishing, analizza gli incidenti di sicurezza e diffonde informazioni utili a riconoscere gli attacchi.

Le segnalazioni consentono anche agli enti coinvolti, come l'INPS, di intervenire per favorire il blocco dei domini fraudolenti e avvertire tempestivamente i cittadini.

Il problema, tuttavia, è la rapidità con cui operano i criminali informatici. Un sito può essere bloccato e sostituito poco dopo da un nuovo dominio, accompagnato magari da un SMS leggermente diverso.

AI e truffe online: la prudenza diventa la prima difesa

L'evoluzione dello smishing dimostra come anche le truffe informatiche stiano entrando in una nuova fase.

L'intelligenza artificiale, che offre enormi opportunità a cittadini, imprese e pubbliche amministrazioni, può essere utilizzata anche con finalità fraudolente, contribuendo a rendere messaggi, siti e procedure false sempre più difficili da distinguere da quelle autentiche.

Per questo cambiano anche le regole della sicurezza digitale. Non basta più chiedersi se un SMS "sembra vero".

Davanti a una comunicazione che richiede dati personali, documenti, credenziali o pagamenti è necessario verificare sempre attraverso un canale ufficiale indipendente dal messaggio ricevuto.

Un controllo di pochi secondi può evitare conseguenze molto più serie. Nell'era delle truffe potenziate dall'intelligenza artificiale, infatti, diffidare di un link inatteso non è eccesso di prudenza, ma una fondamentale regola di sicurezza digitale.