Smishing INPS, l’intelligenza artificiale usata per rendere più credibile la truffa
Il CERT-AgID segnala una nuova campagna fraudolenta: SMS con il logo dell’Istituto conducono a un falso portale che raccoglie dati personali, documenti, buste paga, CUD e selfie.
Una nuova campagna di smishing a tema INPS è stata rilevata negli ultimi giorni dal CERT-AgID. Gli SMS fraudolenti utilizzano nome, logo e identità grafica dell’Istituto per convincere le vittime a verificare i propri dati e garantire la continuità dei servizi. Il link contenuto nel messaggio conduce però a una pagina web contraffatta, nella quale è stato individuato anche un sistema basato sull’intelligenza artificiale.
La procedura fraudolenta si sviluppa attraverso cinque passaggi e imita il portale istituzionale. L’utente viene invitato a fornire dati anagrafici, documenti identificativi, buste paga, CUD e un selfie. L’obiettivo, secondo l’analisi del CERT-AgID, non sarebbe quindi limitato al furto di credenziali, ma alla costruzione di un ampio patrimonio di informazioni sulla vittima.
L’AI controlla i documenti caricati
L’aspetto più significativo della campagna riguarda il sistema di verifica automatica dei documenti. Il modello integrato nel sito malevolo analizza le immagini caricate e prova a stabilire se corrispondano alla tipologia richiesta.
Nei test del CERT-AgID, il sistema ha riconosciuto e respinto anche immagini che non rappresentavano documenti, come quella di una macchina da caffè. Al contrario, avrebbe accettato anche documenti non validi, tra cui una carta d’identità fittizia con la dicitura “FACSIMILE”. L’AI viene dunque utilizzata come filtro per migliorare la qualità dei dati raccolti, non come garanzia della loro autenticità.
La presenza della tecnologia svolgerebbe anche una funzione psicologica. Durante il caricamento dei documenti, la vittima visualizzerebbe infatti la dicitura “Verifica AI in corso”, elemento potenzialmente capace di rendere più credibile la procedura fraudolenta.
Il rischio per l’identità digitale
Documenti, dati personali, informazioni lavorative e fotografie possono essere impiegati in successive campagne mirate o in tentativi di impersonificazione. Il CERT-AgID sottolinea così un’evoluzione del phishing: l’intelligenza artificiale viene integrata nel meccanismo della truffa per selezionare meglio le informazioni sottratte e aumentare la credibilità dell’attacco.
La raccomandazione è quindi di non considerare procedure apparentemente sofisticate, compresi controlli basati sull’AI, come prova dell’autenticità di un sito. Il CERT-AgID ha attivato le procedure per la dismissione del dominio individuato e ha informato l’INPS, rendendo pubblici anche gli indicatori di compromissione della campagna.
Written by
Redazione 2
