INPS falso via SMS: CERT-AGID rileva sito fraudolento per Android

INPS falso. Il CERT-AGID, in collaborazione con l’INPS, ha documentato la diffusione tramite SMS di un sito web che replica il portale dell’Istituto. La pagina offre agli utenti un’applicazione denominata INPS Mobile per dispositivi Android.

Il dominio del sito fraudolento è stato registrato il 9 novembre e combina la sigla “INPS” con il termine inglese “Italy”. Il sito riproduce l’aspetto grafico dell’Istituto, fornendo istruzioni su come abilitare, se necessario, l’installazione di applicazioni da fonti esterne ai negozi ufficiali e come aprire il file INPS_Mobile_v4.12.0.apk presente nella cartella dei download.

INPS falso: perché è importante

L’analisi del codice sorgente della pagina ha rivelato la presenza di un meccanismo che simula il download di un file, con una percentuale di avanzamento e una velocità calcolate in modo casuale. Il file .apk scaricato contiene solamente 40 byte di testo e non può essere installato su dispositivi Android; l’interfaccia utente risulta inoltre incompleta.

Il testo della pagina e le istruzioni per l’installazione sono presentate in lingua inglese, con un elemento grafico che suggerisce la possibilità di passare alla versione italiana. Tuttavia, questa opzione è inattiva. Il CERT-AGID ritiene che questi elementi indichino che la pagina è ancora in fase di sviluppo ed è plausibile che anche la traduzione sia incompleta.

Il CERT-AGID ha già condiviso gli Indicatori di Compromissione (IoC) con le strutture accreditate al Flusso IoC e ha richiesto la disattivazione del dominio. Nelle ore successive alla rilevazione, è stato individuato un bot sviluppato in linguaggio Python che consente ai gestori del sito di selezionare, tramite l’applicazione Telegram, il file da rendere disponibile per il download.

Questo sistema permette di sostituire il file senza modificare il link già diffuso via SMS. Il sito web filtra inoltre gli accessi, privilegiando le connessioni provenienti dall’Italia e bloccando i tentativi di scansione automatica o l’utilizzo di user-agent predefiniti. Prima di inviare il file, il sito tenta di notificare al gestore su Telegram informazioni relative alla richiesta, come indirizzo IP, posizione approssimativa e browser utilizzato.

Cosa cambia e quali sono gli effetti

I commenti presenti nel codice sorgente e i messaggi del bot sono in lingua russa, mentre l’identità degli autori della campagna resta sconosciuta. Il CERT-AGID aveva già osservato campagne simili che sfruttavano il nome dell’INPS per distribuire applicazioni malevole su dispositivi Android. Alla luce di questi precedenti, è plausibile che il file di esempio venga a breve sostituito con un’applicazione dannosa.

Il commento “Trigger actual file download simulation” presente nel sorgente della pagina introduce il codice responsabile della generazione del file direttamente nel browser. Il CERT-AGID sottolinea come le istruzioni presenti sul sito spieghino già come installare applicazioni al di fuori degli store ufficiali.

Fonte e approfondimento su INPS falso: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.