Il CERT-AGID ha individuato nuove campagne di smishing che sfruttano il nome, il logo e le grafiche di INPS per sottrarre ai cittadini dati personali e dati delle carte di pagamento. I siti malevoli si presentano con due vesti grafiche diverse e importi da versare estremamente differenti: un dettaglio che apre a una lettura più articolata del fenomeno rispetto alle campagne già osservate in passato.

Come si sviluppa l’attacco

Il link contenuto nella comunicazione iniziale conduce a un sito web che imita la sezione “Visualizzazione indebiti” del portale ufficiale INPS, che permette ai cittadini di verificare online la propria posizione debitoria per somme erogate dall’Ente ma non dovute. La truffa si articola in tre fasi identiche in entrambe le varianti osservate:

• Identificazione: viene richiesto il Codice Fiscale, con richiamo fittizio a SPID, CIE e CNS per rafforzare l’apparenza di autenticità del servizio.
• Visualizzazione indebiti: compare un finto riepilogo con l’importo da pagare e finto un codice di pagamento elettronico (IN), accompagnati da un countdown della sessione che spinge la vittima ad agire senza riflettere.
• Pagamento: vengono richiesti tutti i dati della carta di pagamento elettronico (titolare, numero, scadenza, CVV) insieme a un numero di telefono di contatto.

Due vesti grafiche, due importi opposti

L’elemento più significativo non è soltanto la differenza visiva tra le due pagine, ma la combinazione di grafica e importo richiesto, che disegna il profilo di una sperimentazione su due leve motivazionali contrapposte.

La prima tipologia propone un’interfaccia ricca e “istituzionale”: box informativi multipli (“Attenzione”, “Regolarizzazione”, “Sicurezza”), sei loghi di circuiti di pagamento e badge PCI-DSS/SSL in evidenza, con un importo dovuto di 385,40 euro. La seconda, invece, adotta un layout minimale e diretto, con un solo box di avviso, tre circuiti di pagamento mostrati e un importo dovuto di appena 6,60 euro.

La forbice tra i due importi è troppo ampia per essere casuale. La cifra elevata punta a colpire chi ha una posizione contributiva importante da monitorare, sfruttando la paura di conseguenze serie come la perdita della copertura previdenziale. La cifra irrisoria, al contrario, abbassa quasi a zero la soglia di allarme della vittima: pagare pochi euro sembra un gesto a basso rischio, e questo riduce l’attenzione con cui si verificano dominio e richiesta, puntando probabilmente sul volume di vittime colpite piuttosto che sul valore del singolo pagamento.

Quali ipotesi spiegano la doppia campagna

Tra le spiegazioni possibili di questa modalità operativa, tre appaiono le più plausibili:

• Sperimentazione comparativa (A/B testing): i due template potrebbero essere in test parallelo per capire quale combinazione di importo e presentazione massimizzi il profitto, un pattern che ricorda le logiche di ottimizzazione della conversione tipiche del marketing digitale, qui applicate a fini fraudolenti.
• Distribuzione a più affiliati: nel modello Phishing-as-a-Service, uno stesso kit può essere utilizzato da più affiliati che producono sotto-campagne diverse, ciascuna con la propria grafica e il proprio importo.
• Invio differenziato a liste di numeri distinte: è possibile che i due SMS, con importi diversi, vengano inviati a due lotti di contatti telefonici differenti, basati su una precedente profilazione delle vittime.

Raccomandazioni e azioni intraprese

INPS non richiede il pagamento di presunti debiti contributivi tramite SMS con link a pagine esterne. Si raccomanda a che riceve un messaggio di questo tipo di non cliccare sul link e soprattutto di non inserire alcun dato personale o di pagamento. Il CERT-AGID ha richiesto la dismissione dei domini malevoli ai rispettivi registrar, che hanno già provveduto nella maggior parte dei casi, e ha informato l’Ente interessato della problematica in corso. Gli indicatori di compromissione (IoC) sono stati condivisi con gli enti accreditati attraverso i canali istituzionali. Inoltre, al fine di rendere pubblici i dettagli di queste campagne si riportano di seguito gli Indicatori di Compromissione rilevati.

Link: Download IoC