Una nuova ondata di truffe informatiche sta prendendo di mira gli utenti INPS e questa volta i criminali hanno alzato il livello, utilizzando anche l'Intelligenza Artificiale per rendere l'inganno più credibile. L'allarme arriva direttamente dall'Istituto, che il 14 agosto ha segnalato un'impennata delle campagne di "smishing", cioè i tentativi di sottrarre dati personali attraverso falsi SMS.
La nuova variante è stata individuata dal CERT-AgID l'11 agosto 2026 e introduce un sistema di verifica basato sull'Intelligenza Artificiale. Il meccanismo parte da un messaggio apparentemente inviato dall'INPS: vengono utilizzati nome, logo e grafica dell'Istituto e si invita il destinatario a verificare i propri dati, sostenendo che l'operazione sarebbe necessaria per garantire la continuità nell'erogazione dei servizi.
Il vero pericolo arriva cliccando sul link contenuto nell'SMS. L'utente viene indirizzato verso un sito contraffatto che riproduce l'aspetto del portale INPS e viene accompagnato attraverso una procedura articolata in cinque fasi. Le informazioni richieste sono particolarmente sensibili: dati anagrafici, documenti d'identità, buste paga, CUD e addirittura un selfie. Una quantità di informazioni che, se consegnata ai criminali, può esporre la vittima a ulteriori frodi e possibili utilizzi illeciti della propria identità.
Non si tratta, peraltro, di un fenomeno isolato. Già nel mese di luglio il CERT-AgID aveva individuato campagne che sfruttavano il nome e l'immagine dell'INPS per sottrarre dati personali e informazioni relative alle carte di pagamento. In alcuni casi i siti truffaldini imitavano perfino la sezione "Visualizzazione indebiti" del portale istituzionale.
L'INPS indica però una regola fondamentale che permette di smascherare gran parte di questi tentativi: l'Istituto non invia mai e-mail o SMS contenenti link attraverso i quali confermare dati personali o ottenere rimborsi. Le sole e-mail INPS che possono contenere collegamenti riguardano le indagini sulla soddisfazione degli utenti e, comunque, non richiedono mai documenti o coordinate bancarie.
Bisogna inoltre prestare particolare attenzione all'indirizzo del sito sul quale si viene indirizzati. I criminali registrano domini molto simili a quello autentico, utilizzando piccole variazioni come "insp", "ipns" o "inpis" proprio per confondere chi legge velocemente. L'INPS raccomanda quindi di accedere ai propri servizi digitando direttamente l'indirizzo ufficiale e verificando che il dominio termini correttamente in ".inps.it".
In caso di SMS sospetto, la prima precauzione è semplice: non cliccare sul collegamento e non inserire alcun dato. L'Istituto mette inoltre a disposizione un vademecum antitruffe con esempi delle frodi già individuate. I domini fraudolenti vengono segnalati per consentirne il blocco, ma la capacità dei truffatori di aprirne rapidamente di nuovi rende indispensabile l'attenzione degli utenti.
Con l'impiego dell'Intelligenza Artificiale, insomma, anche le truffe digitali diventano più sofisticate. Logo corretto, grafica apparentemente autentica e procedure sempre più realistiche possono far abbassare la guardia. La regola resta una: davanti a un SMS che chiede dati, documenti o di cliccare su un link attribuendolo all'INPS, meglio fermarsi e verificare direttamente attraverso i canali ufficiali.