Grazie alla collaborazione con l’INPS, il CERT-AGID ha avuto modo di analizzare un sito che imita il portale dell’Istituto e il cui link è stato diffuso via SMS. Il nome del dominio, registrato appena due giorni fa, combina la sigla «INPS» con il termine inglese «Italy».

Il sito riproduce il nome e la grafica dell’INPS e invita a scaricare una presunta versione dell’app “INPS Mobile” per Android. Le istruzioni spiegano come abilitare, se richiesto, l’installazione da fonti sconosciute e come aprire il file INPS_Mobile_v4.12.0.apk dalla cartella dei download.

Download simulato

Al momento della verifica il download era simulato. Nel sorgente della pagina, il commento Trigger actual file download simulation introduce il codice che genera il file nel browser. La percentuale di avanzamento e la velocità mostrate all’utente sono calcolate casualmente. Al termine, il file salvato con estensione .apk contiene soltanto 40 byte di testo e non può essere installato su Android.

Anche l’interfaccia presenta elementi incompleti. Il testo della pagina e le istruzioni di installazione sono in inglese. In alto compare la voce “ENG”, affiancata da una freccia che suggerisce la presenza di un menu. Il controllo è inattivo e non consente di passare all’italiano. È quindi plausibile che anche la traduzione della pagina debba ancora essere completata.

Campagna in costruzione

Il download simulato e il selettore di lingua inattivo suggeriscono che la pagina sia ancora in fase di allestimento. Le istruzioni spiegano però già come installare un’app al di fuori degli store ufficiali. In passato il CERT-AGID ha osservato campagne che sfruttavano il nome dell’INPS per distribuire APK malevoli. Alla luce di questi precedenti, è plausibile che il file di esempio venga a breve sostituito con un’applicazione malevola.

Azione di contrasto

Il CERT-AGID ha già provveduto a diramare gli IoC alle strutture accreditate al Flusso IoC e ha chiesto la dismissione del dominio.