Nuova campagna di smishing ai danni degli utenti italiani. Gli esperti del CERT-AgID, il Computer Emergency Response Team dell'Agenzia per l'Italia Digitale, hanno individuato un falso sito che imita quello dell'INPS e promette di scaricare un'app per Android. Il link arriva tramite un classico SMS con mittente contraffatto, ma dietro la facciata si nasconde un tentativo di infettare i dispositivi delle vittime.
Un sito ancora in costruzione, ma già pericoloso
Il dominio è stato registrato appena due giorni fa presso Hosting Concepts B.V., azienda olandese con sede a Rotterdam, e scadrà il 9 novembre 2027. La grafica richiama quella del portale ufficiale, con differenze però evidenti. Attualmente la pagina è interamente in inglese e nessun link della home è funzionante: segnali chiari che il sito è ancora in fase di allestimento, ma l'intenzione dei cybercriminali è già chiara.
Al centro della pagina campeggia un pulsante "Download APK" che dovrebbe consentire il download dell'app ufficiale per Android. Cliccandolo parte effettivamente un download, ma il file è solo un testo da 40 byte e non può essere installato sul sistema operativo di Google. In basso compaiono inoltre le istruzioni per il sideloading, ovvero l'installazione di applicazioni al di fuori del Google Play Store.
L'obiettivo: infostealer e trojan bancari
Lo scopo di queste campagne è convincere le vittime ignare a installare un'app fasulla inviata con SMS apparentemente firmati INPS. Una volta installata, l'app contiene in genere un malware capace di rubare dati dal dispositivo, come un infostealer, oppure di accedere ai conti correnti tramite un trojan bancario. Il consiglio è prestare la massima attenzione ai messaggi ricevuti e controllare sempre il nome del dominio nella barra degli indirizzi.
Il CERT-AgID ha già richiesto la chiusura del dominio, ma al momento la pagina risulta ancora accessibile. Per scaricare le app ufficiali è necessario utilizzare esclusivamente il sito istituzionale dell'INPS e le relative pagine per Android e iOS, evitando link ricevuti via SMS o email che richiedono l'installazione di file APK.
