Nelle ultime giornate il CERT-AGID ha osservato un incremento delle campagne di phishing che sfruttano il nome, il logo e la grafica di INPS. Gli SMS fraudolenti invitano l’utente a procedere al controllo dei propri dati per garantire la continuità dell’erogazione dei servizi, con un link che conduce a un sito contraffatto.

Le pagine fraudolente riproducono fedelmente la grafica dei portali istituzionali e propongono un percorso guidato in cinque fasi, identico nella struttura a quello già documentato nelle precedenti campagne che hanno sfruttato il medesimo tema e finalizzato al caricamento delle seguenti informazioni: dettagli anagrafici, documenti identificativi, buste paga, CUD e selfie.

Ciò che cambia, in questa nuova ondata, è l’introduzione di un ulteriore livello di controllo sui file caricati dalla vittima basato su un modello di intelligenza artificiale.

Il sistema integrato nel sito fraudolento è in grado di descrivere correttamente il contenuto dell’immagine caricata e di confrontarlo con il tipo di documento richiesto. Nei test condotti, il sistema ha rifiutato correttamente diversi tipi di illustrazioni, restituendo un messaggio di errore che ne descrive puntualmente il contenuto reale (ad es. “l’immagine mostra una macchina da caffè anziché un documento“). Si tratta di un comportamento che va oltre i controlli euristici talvolta osservati nei kit di phishing (basati su risoluzione, sfocatura o luminosità dell’immagine) e che indica l’impiego di un modello di visione artificiale con reali capacità di comprensione semantica del contenuto.

È tuttavia da notare come il medesimo sistema ha accettato senza obiezioni documenti evidentemente non validi, come, ad esempio, una carta d’identità fittizia, recante un’evidente filigrana “FACSIMILE”.

L’adozione di un modello IA per la validazione dei documenti caricati non è casuale: scartando automaticamente i caricamenti manifestamente errati o casuali, il sistema riduce il “rumore” nella mole di dati raccolti dai criminali, rendendo più efficiente lo sfruttamento successivo delle informazioni sottratte. Allo stesso tempo, introduce nella vittima una percezione di rigore e serietà del processo (rinforzata anche dall’etichetta “Verifica AI in corso…” mostrata durante il caricamento), aumentando la probabilità che l’utente completi l’intera procedura fornendo materiale di qualità più alta e quindi più sfruttabile.

Attività di contrasto

Il CERT-AGID ha attivato le procedure di dismissione dei domini malevoli individuati e ha provveduto a informare l’Ente interessato. Gli Indicatori di Compromissione (IoC) relativi alla campagna sono stati diramati attraverso il feed del CERT-AGID verso tutte le organizzazioni accreditate.

Indicatori di Compromissione

Al fine di rendere pubblici i dettagli della campagna odierna si riportano di seguito gli IoC rilevati:

Link: Download IoC