Il CERT-AGID ha segnalato una nuova campagna di phishing che sfrutta email fraudolente per sottrarre dati personali e coordinate bancarie agli utenti. Le comunicazioni ingannevoli promettono un credito di 730,00 euro a seguito di un presunto ricalcolo contributivo.

La cifra del rimborso, pari a 730 euro, sembra essere stata scelta appositamente per richiamare il numero identificativo del modello dichiarativo utilizzato per la richiesta, aumentando così la credibilità dell’inganno. L’email fraudolenta presenta un oggetto che imita un numero di protocollo INPS e comunica l’approvazione di una pratica di rimborso dovuta a un’eccedenza di versamenti relativa al periodo d’imposta 2025.

Il destinatario viene invitato a richiedere la somma entro un breve lasso di tempo, cliccando sul pulsante “Accedi all’Area Riservata”. Il collegamento ipertestuale non indirizza però al portale ufficiale dell’INPS, bensì ad un sito clone ospitato sul dominio feedsafepro[.]com, che ne riproduce l’aspetto grafico per ingannare l’utente.

La prima pagina del sito fraudolento richiede l’inserimento di dieci dati anagrafici: nome, cognome, codice fiscale, data di nascita, indirizzo di residenza completo (via, comune, provincia e CAP), indirizzo email e numero di telefono. Successivamente, la richiesta si estende ai dettagli della carta di pagamento, chiedendo l’intestatario, il numero, la data di scadenza e il codice CVV.

La pagina web include riferimenti a standard di sicurezza come connessioni protette TLS 1.3, PCI-DSS e GDPR, oltre a un riepilogo fittizio della pratica associata al Modello 730 del 2026. Questi elementi sono pensati per rassicurare la vittima e indurla a proseguire con l’inserimento dei dati senza destare sospetti.

Una volta completato l’inserimento, il sito visualizza una schermata intitolata “Autorizzazione Bancaria 3D Secure 2.2 in corso” e richiede di aprire l’app della propria banca per approvare una notifica push entro un limite massimo di 60 secondi. Il pretesto utilizzato è la verifica dell’identità del beneficiario del rimborso.

In realtà, la conferma richiesta tramite la notifica push rappresenta l’autenticazione forte con cui la banca valida un’operazione fraudolenta che il titolare non ha mai disposto. La rapidità imposta (60 secondi) riduce ulteriormente le possibilità per l’utente di accorgersi dell’inganno. L’app della banca è autentica, ma l’operazione autorizzata tramite la notifica push è illegittima.

Il CERT-AGID ha avviato le procedure necessarie per la dismissione del dominio che ospita le pagine fraudolente e ha informato l’Istituto Nazionale Previdenza Sociale (INPS). Gli indicatori di compromissione sono stati condivisi con le Pubbliche Amministrazioni e con le organizzazioni accreditate al flusso IoC. Si raccomanda pertanto di approvare una notifica push solo nel caso in cui si sia contestualmente disposta un’operazione tramite i canali ufficiali.

* Contenuto realizzato con l’ausilio di sistemi di intelligenza artificiale.