Il CERT-AGID ha individuato una campagna di phishing diffusa tramite email che utilizza nome, logo e grafica dell’INPS per sottrarre dati personali, coordinate delle carte di pagamento e indurre le vittime ad autorizzare operazioni bancarie.

La leva impiegata dagli attaccanti è la comunicazione di un presunto credito di 730,00 euro, attribuito a un “ricalcolo automatizzato” della posizione contributiva e fiscale del destinatario.

Dettagli della campagna

L’email fraudolenta ha un oggetto simile al seguente “Protoc. INPS/2026/00489 – Pratica di rimborso approvata” e informa il destinatario dell’esistenza di un’eccedenza di versamenti relativa al periodo d’imposta 2025. Il messaggio invita a richiedere la somma entro una data di scadenza a brevissimo termine, attraverso il pulsante “Accedi all’Area Riservata”.

Il collegamento conduce a un sito malevolo ospitato sul dominio feedsafepro[.]com, estraneo all’INPS, che riproduce l’aspetto del portale dell’Istituto e simula una procedura di rimborso articolata in più fasi:

• Verifica dei dati anagrafici: la prima pagina richiede nome, cognome, codice fiscale, data di nascita, indirizzo di residenza, comune, provincia, CAP, email e numero di telefono.
• Conferma dei dati della carta: nella seconda fase vengono richiesti intestatario, numero della carta, data di scadenza e CVV. Per rendere più credibile la pagina, il sito mostra riferimenti a connessioni protette, TLS 1.3, PCI-DSS e GDPR, oltre a un riepilogo fittizio della pratica associata al “Modello 730 / 2026”.
• Finta autorizzazione bancaria: completato l’inserimento dei dati, il sito visualizza una schermata denominata “Autorizzazione Bancaria 3D Secure 2.2 in corso”. Alla vittima viene chiesto di aprire l’app della propria banca e approvare una notifica push entro 60 secondi.

L’ultimo passaggio rappresenta l’elemento più rilevante della campagna: con il pretesto di verificare l’identità del beneficiario, i criminali cercano di indurre la vittima a completare l’autenticazione forte richiesta dalla banca per autorizzare un’operazione non autorizzata.

Azioni di contrasto

Il CERT-AGID ha avviato le attività di contrasto per la dismissione del dominio che ospita le pagine fraudolente e ha informato l’Ente interessato. Gli Indicatori di Compromissione (IoC) sono stati condivisi con le Pubbliche Amministrazioni e con le organizzazioni accreditate al flusso IoC.

Indicatori di Compromissione

Al fine di rendere pubblici i dettagli della campagna odierna si riportano di seguito gli IoC rilevati:

Link: Download IoC