Quando arriva un SMS che sembra provenire dall’INPS — con tono urgente, un link apparentemente ufficiale e la promessa di verificare un pagamento o un rimborso — la reazione istintiva di molti utenti è cliccare. È esattamente su questo riflesso che si costruisce la truffa INPS via SMS, una delle campagne di smishing più diffuse e documentate in Italia, attiva in forme diverse almeno dal 2020 e ancora pienamente operativa nel novembre 2026. Il meccanismo è semplice, l’impatto può essere devastante: credenziali bancarie rubate, dispositivi compromessi, dati personali sottratti.
Cos’è lo smishing e perché funziona così bene
Il termine smishing nasce dalla fusione di SMS e phishing: è una tecnica di inganno che sfrutta i messaggi di testo per indurre la vittima a compiere un’azione dannosa, di solito cliccare un link o scaricare un file. A differenza delle email truffaldine, che molti utenti hanno imparato a riconoscere, gli SMS godono ancora di una percezione di autenticità maggiore. Arrivano sul telefono, spesso accanto a messaggi legittimi della propria banca o di servizi pubblici, e non passano attraverso i filtri antispam dei client di posta.
Nel caso della campagna che imita l’INPS, i messaggi fraudolenti sono costruiti per sembrare comunicazioni istituzionali autentiche. Citano contributi non versati, rimborsi in attesa, accessi sospetti al fascicolo previdenziale. Il tono è calibrato per generare urgenza senza scatenare allarme immediato: lo stesso registro burocratico che ci si aspetta da un ente pubblico. I domini utilizzati nei link — casi documentati includono indirizzi come previdenza-ids.info e protocollo-gov.info, segnalati ufficialmente dall’INPS — sono progettati per assomigliare a URL governativi, ma non hanno alcun collegamento con le infrastrutture reali dell’istituto.
Il malware nascosto nell’app contraffatta
Il passaggio più pericoloso avviene dopo il clic. Il link contenuto nell’SMS non porta a una pagina web di raccolta credenziali, come in molte campagne di phishing tradizionale: porta al download di un file APK, ovvero un pacchetto di installazione per Android distribuito al di fuori del Google Play Store. Una volta installato, questo file introduce sul dispositivo un’applicazione che replica graficamente l’interfaccia dell’INPS, ma lavora in background per scopi ben diversi.
→ Leggi anche: Bonus INPS da 500 euro al mese: come richiederlo
Tra le varianti di malware distribuite attraverso queste campagne, la Polizia Postale e l’INPS stesso hanno documentato la presenza di SpyNote, un software spia particolarmente insidioso. SpyNote è in grado di registrare ciò che viene digitato sul dispositivo, accedere a messaggi e contatti, attivare la fotocamera e il microfono, e intercettare i codici OTP inviati via SMS per l’autenticazione a due fattori. In pratica, una volta installato, l’attaccante ottiene un accesso quasi completo al telefono della vittima, con conseguenze che vanno ben oltre il furto di una singola password.
La scelta di Android come bersaglio privilegiato non è casuale: il sistema operativo di Google consente, con specifiche impostazioni, l’installazione di applicazioni provenienti da fonti esterne al Play Store. Questa flessibilità, utile in contesti legittimi, diventa un vettore di attacco quando l’utente non è consapevole dei rischi che comporta.
Come riconoscere un SMS falso che finge di venire dall’INPS
L’INPS ha pubblicato avvisi ufficiali, anche attraverso i propri canali social, per aiutare i cittadini a distinguere le comunicazioni autentiche da quelle fraudolente. Alcuni elementi ricorrenti nei messaggi truffaldini permettono di identificarli con relativa sicurezza:
- Il link non termina con .gov.it o .inps.it. L’unico sito ufficiale dell’istituto è www.inps.it. Qualsiasi dominio diverso — anche se contiene le parole “inps”, “previdenza” o “gov” — va considerato sospetto.
- Il messaggio chiede di scaricare un’applicazione. L’INPS non distribuisce app tramite SMS né attraverso link diretti. Le applicazioni ufficiali si trovano esclusivamente negli store autorizzati.
- Il tono è urgente e minaccioso. Frasi come “entro 24 ore”, “rischio blocco del fascicolo”, “pagamento scaduto” sono segnali classici di manipolazione psicologica.
- Viene richiesto di inserire credenziali o dati bancari. L’INPS non chiede mai dati sensibili tramite SMS o attraverso link inviati per messaggio.
La raccomandazione ufficiale dell’istituto è esplicita: non cliccare mai sui link contenuti in SMS sospetti e, in caso di dubbio, accedere direttamente al sito www.inps.it digitando l’indirizzo nel browser.
→ Leggi anche: Meta schiera l'intelligenza artificiale contro i falsi profili di minori su Instagram e Facebook
Cosa fare se si è già cliccato o installato l’app
Se si sospetta di aver installato un’applicazione malevola, le azioni da compiere sono immediate e sequenziali. Il primo passo è disconnettere il dispositivo da internet — sia dalla rete Wi-Fi che dai dati mobili — per limitare la trasmissione di informazioni verso i server degli attaccanti. Il secondo è contattare la propria banca per bloccare preventivamente le carte e segnalare l’accaduto, prima che eventuali credenziali sottratte vengano utilizzate.
Sul piano tecnico, è necessario eseguire una scansione con un’applicazione antivirus aggiornata o, nei casi più gravi, procedere al factory reset del dispositivo, che cancella tutti i dati ma elimina anche il malware. È fondamentale cambiare le password di tutti gli account accessibili dal telefono — posta elettronica, home banking, SPID — preferibilmente da un dispositivo diverso e sicuro.
L’episodio va segnalato alla Polizia Postale, che raccoglie le denunce attraverso il portale del Commissariato di P.S. Online. Le segnalazioni contribuiscono a mappare le campagne attive e possono portare alla rimozione dei domini fraudolenti.
Un fenomeno strutturale, non un episodio isolato
Ciò che rende la truffa INPS via SMS particolarmente difficile da estirpare è la sua natura adattiva. Le campagne si rinnovano ciclicamente: cambiano i domini, cambiano i pretesti narrativi — rimborsi fiscali, aggiornamenti del fascicolo, verifiche di identità — ma la struttura di fondo rimane identica. Quando un dominio viene segnalato e oscurato, ne appaiono altri. Quando una variante di malware viene identificata dai software di sicurezza, viene modificata per eludere il rilevamento.
La risposta più efficace non è tecnologica, ma culturale: riconoscere che nessun ente pubblico italiano invia link per il download di applicazioni tramite SMS, che l’urgenza artificiale è uno strumento di manipolazione, e che il dubbio — in questi casi — va sempre risolto a favore della cautela. Controllare direttamente sul sito ufficiale, chiamare il numero verde dell’INPS, aspettare un minuto prima di cliccare: sono abitudini semplici che possono fare la differenza tra un account sicuro e un dispositivo compromesso.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
