Attenzione alla promessa di un rimborso INPS da 730 euro. È in corso una nuova campagna di phishing. A lanciare l’allarme è il CERT-AgID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, che ha individuato e-mail e siti fasulli costruiti per copiare nome, logo e grafica dell’Istituto di previdenza. Cadere nella truffa significa dare ai truffatori i propri dati anagrafici e l’accesso alla carta di pagamento.
Come funziona la truffa del finto rimborso INPS da 730 euro
Tutto parte da un’e-mail che simula una comunicazione ufficiale dell’INPS. Il messaggio annuncia un credito di 730 euro, per un presunto conguaglio automatico tra quanto versato e quanto dovuto nel 2025. Anche la cifra non è casuale, ma è scelta proprio per far cadere in trappola. Richiama infatti la dichiarazione dei redditi, il Modello 730, che milioni di italiani compilano ogni anno. Tutto così è più “emotivamente” credibile. Nell’oggetto compare un numero di protocollo falso, mentre nel testo si parla di una pratica di rimborso già approvata e di una scadenza molto ravvicinata per richiedere la somma. La fretta è l’altro elemento psicologico che spinge le vittime a cliccare senza pensare
L’e-mail e il sito fasullo: i segnali per riconoscere il phishing
Se si osserva con attenzione però, i segnali di allarme non mancano. L’indirizzo del mittente non corrisponde a un dominio INPS ufficiale e il testo si apre spesso con un generico “Ciao cliente”, senza il nome dell’utente: le comunicazioni reali dell’Istituto sono personalizzate e hanno un tono diverso. Cliccando sul pulsante “Accedi all’Area Riservata” si viene indirizzati a un sito che riproduce la grafica del portale INPS, ma che si trova su un dominio estraneo all’Istituto. Inoltre, a differenza del vero portale INPS, qui non viene richiesto l’accesso tramite SPID, CIE o CNS, che sono gli unici sistemi di identificazione digitale previsti dai servizi INPS reali. Una volta entrati nel falso portale vengono richiesi i dati anagrafici (nome, cognome, codice fiscale, data di nascita, indirizzo di residenza, comune, provincia, CAP, e-mail e numero di telefono) e i dati della carta di pagamento (intestatario, numero, data di scadenza e codice CVV). Per rendere il tutto ancora più credibile e “rassicurare” le vittime, la schermata mostra falsi riferimenti a connessioni protette e un riepilogo fittizio della pratica legata al Modello 730 2026.
La trappola finale: la finta autorizzazione bancaria via app
Il passaggio più pericoloso è l’ultimo. Dopo aver inserito tutti i dati, compare una finta schermata di verifica, etichettata ‘Autorizzazione Bancaria 3D Secure 2.2 in corso” e si chiede di aprire l’app bancaria e a dare conferma entro un minuto, con la scusa di dover verificare l’identità del beneficiario del rimborso. In realtà quella notifica non conferma nessun rimborso, ma autorizza un pagamento che i truffatori hanno appena disposto usando i dati appena sottratti. La notifica push arriva davvero dall’app autentica della propria banca. È quindi quasi impossibile accorgersi dell’inganno seguendo i normali controlli di sicurezza. L’app è quella vera, la richiesta ha l’aspetto di sempre. A essere fraudolenta è l’operazione che si sta per autorizzare, non il canale su cui arriva la richiesta. Il conto alla rovescia di 60 secondi lascia pochissimo tempo per fermarsi a pensare.
Come difendersi dalla truffa del rimborso INPS
Come difendersi se si riceve la e-mail?
- Non cliccare sui link contenuti in e-mail non richieste che promettono rimborsi o crediti INPS, anche se sembrano ufficiali.
- Verificare sempre il dominio del sito: l’INPS utilizza solo il proprio portale ufficiale e richiede l’accesso tramite SPID, CIE o CNS, mai moduli con carta di credito.
- Non inserire mai i dati della carta di pagamento su pagine raggiunte tramite link ricevuti via e-mail.
- Approvare una notifica push della propria banca solo se si è appena disposta un’operazione di persona. Questa è la vera e unica barriera di sicurezza contro questo tipo di truffa.
- In caso di dubbio, controllare la propria posizione direttamente sul sito INPS, accedendo con le proprie credenziali digitali, senza passare da link esterni.
Chi ha già inserito i propri dati o approvato una notifica sospetta dovrebbe contattare immediatamente la propria banca per bloccare la carta e le operazioni in corso, e segnalare l’accaduto alla Polizia Postale.