Truffa online: il falso portale INPS spinge a scaricare un APK

Il CERT-AGID ha segnalato un falso sito dell’INPS diffuso tramite SMS per indurre gli utenti a scaricare un APK potenzialmente dannoso. Il portale riproduce l’aspetto della pagina ufficiale e sfrutta il nome dell’ente per guadagnare credibilità.

Il portale arriva via SMS

Il dominio è stato registrato soltanto pochi giorni prima dell’identificazione e contiene i riferimenti “INPS” e “Italy”. Il sito è ancora incompleto: al momento risulta disponibile soltanto in inglese e il comando per cambiare lingua non è attivo.

La grafica riprende diversi elementi riconoscibili del vero portale dell’Istituto. Il collegamento, però, non conduce a un servizio ufficiale, ma a una pagina costruita per attirare gli utenti con l’aspetto di INPS Mobile.

Il download dell’APK

Al centro della pagina compare la richiesta di ottenere l’applicazione per Android. Le istruzioni spiegano anche come autorizzare l’installazione da fonti sconosciute e come aprire il file una volta salvato sul dispositivo.

Il download mostrato sul sito è fasullo: l’indicatore di avanzamento procede con una percentuale casuale e il file ricevuto pesa appena 40 byte. Si tratta di un semplice testo, quindi non può essere installato su Android.

Un segnaposto per il malware

Secondo l’analisi del CERT-AGID, il file attualmente disponibile è stato inserito come segnaposto, in attesa di una possibile sostituzione con un’applicazione malevola. Il rischio riguarda quindi soprattutto l’eventuale aggiornamento della pagina e del contenuto scaricato.

Gli utenti non devono aprire il collegamento ricevuto via SMS, né seguire le indicazioni per abilitare installazioni da fonti non verificate. Per accedere ai servizi dell’INPS è necessario utilizzare esclusivamente i canali ufficiali dell’Istituto.