Il CERT-AgID ha rilevato nelle ultime giornate un incremento delle campagne di smishing che sfruttano il nome, il logo e l’identità grafica dell’INPS.
Gli SMS fraudolenti invitano la vittima a verificare i propri dati con il pretesto di garantire la continuità nell’erogazione dei servizi. Infatti, il messaggio contiene un link che conduce a una pagina web contraffatta, progettata per imitare il portale istituzionale.
Ma l’elemento più interessante della nuova campagna sarebbe l’introduzione di un sistema di verifica basato sull’intelligenza artificiale.
Un percorso in cinque fasi per raccogliere informazioni
Secondo il CERT-AgID, la pagina che riproduce fedelmente la grafica del portale istituzionale accompagna l’utente attraverso un percorso guidato articolato in cinque fasi.
Vale la pena notare come la semantica della nomenclatura del dominio dati-aggiungi[.]com/inps/, chiaramente incongruente con l’infrastruttura ufficiale dell’INPS (inps.it), suggerisca all’utente un’attività di aggiornamento dei dati.
Fonte: CERT-AgID.
Durante la procedura vengono richiesti dati anagrafici, documenti identificativi, buste paga, CUD e selfie. L’obiettivo è quindi molto più ambizioso rispetto al semplice furto di credenziali o dati di pagamento.
I criminali cercano di costruire un vero e proprio patrimonio informativo sulla vittima, comprendente anche materiale documentale utilizzabile per successive attività fraudolente.
La verifica dei documenti affidata all’intelligenza artificiale
Come anticipato l’elemento più interessante della nuova campagna è l’introduzione di un sistema di verifica basato sull’intelligenza artificiale. Il modello integrato nel sito malevolo analizza le immagini caricate dall’utente e cerca di determinarne il contenuto.
Il sistema è in grado di confrontare l’immagine ricevuta con il tipo di documento richiesto. Nei test effettuati dal CERT-AgID, per esempio, il modello ha riconosciuto immagini che non rappresentavano documenti respingendole (una semplice illustrazione di una macchina da caffè, caricata al posto di un documento, è stata identificata correttamente e rifiutata).
Questo comportamento rappresenta un’evoluzione rispetto ai controlli più elementari osservati in alcuni phishing kit, basati esclusivamente su parametri come risoluzione, luminosità o sfocatura dell’immagine. Ulteriori prove hanno dimostrato che il sistema leggerebbe anche il testo eventualmente incorporato nell’immagine.
Fonte: CERT-AgID.
Un controllo intelligente per aumentare la qualità dei dati
L’impiego dell’intelligenza artificiale risponde a una precisa esigenza operativa dei criminali. Un sistema capace di filtrare automaticamente i caricamenti errati consente di ridurre il cosiddetto rumore all’interno dei dati raccolti. In altre parole, il modello può aiutare gli attaccanti a selezionare automaticamente il materiale più utile, evitando di accumulare immagini casuali o inutilizzabili. Il processo rende quindi più efficiente la successiva gestione delle informazioni sottratte.
Il sistema non appare tuttavia infallibile. Il CERT-AgID ha verificato che il modello ha accettato anche documenti evidentemente non validi, tra cui una carta d’identità fittizia caratterizzata dalla presenza della filigrana “FACSIMILE”.
Questo dimostra come l’intelligenza artificiale venga utilizzata principalmente come filtro automatizzato e non come garanzia dell’autenticità del documento.
Il processo di controllo evidenzierebbe inoltre una vulnerabilità che permetterebbe di visualizzare istruzioni di controllo interne insieme ai messaggi di errore. Ciò avrebbe premesso al modello di intelligenza artificiale adottato nel flusso di validazione di auto identificarsi come Gemini 1.5 Pro.
Fonte: CERT-AgID.
L’intelligenza artificiale diventa anche uno strumento di ingegneria sociale
L’elemento particolarmente significativo della campagna è che l’IA non viene utilizzata soltanto per migliorare la raccolta dei dati. La sua presenza contribuisce anche a rendere più credibile la truffa.
Secondo l’analisi degli esperti durante il caricamento dei documenti la vittima visualizzerebbe infatti un’indicazione relativa alla “Verifica AI in corso”.
Un messaggio di questo tipo può trasmettere l’impressione di trovarsi davanti a una procedura ufficiale rafforzando la fiducia della vittima e aumentando la probabilità che completi l’intera procedura.
Il rischio per l’identità digitale
La raccolta di documenti identificativi, dati anagrafici, informazioni lavorative e selfie rende questa tipologia di campagna particolarmente pericolosa. Le informazioni ottenute possono infatti essere utilizzate in ulteriori campagne di phishing mirato oppure combinate con dati già disponibili per costruire profili più completi delle vittime.
Il problema diventa ancora più rilevante quando il materiale acquisito comprende immagini di documenti e fotografie utilizzabili nei processi di verifica dell’identità. La disponibilità di informazioni di questo tipo può aumentare le possibilità di realizzare successive frodi basate sull’impersonificazione.
La nuova frontiera del phishing
La campagna a tema INPS osservata dal CERT-AgID evidenzia quindi un cambiamento significativo nel modello operativo del cybercrime. I criminali non si limitano più a costruire pagine che raccolgono indiscriminatamente qualsiasi informazione inserita dall’utente.
Attraverso l’integrazione di modelli di visione artificiale possono introdurre controlli dinamici capaci di valutare, almeno parzialmente, ciò che la vittima sta caricando.
L’intelligenza artificiale diventa così un ulteriore componente dell’attacco, utilizzata non per attaccare direttamente un sistema informatico, ma per ottimizzare la frode e aumentare il valore dei dati sottratti.
Per gli utenti il messaggio deve essere chiaro.
La presenza di procedure apparentemente sofisticate, controlli automatici o riferimenti all’intelligenza artificiale non costituisce una garanzia di autenticità. Anche un processo digitale apparentemente professionale può essere stato progettato dai criminali per rendere più credibile una campagna di phishing.
Il CERT-AgID ha attivato le procedure per la dismissione del dominio individuato, informando l’INPS e rendendo pubblici gli IoC (Indicatori di Compromissione) relativi alla campagna.
Un indicatore interessante da evidenziare
La pagina principale del dominio espone una directory listing Apache. La root del sito mostra oltre alla directory denominata inps/ (creata il 6.08.2026) l’identificazione del server in uso Apache/2.4.52 su Ubuntu e in ascolto alla porta TCP 443.
Fonte: CERT-AgID.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Salvatore Lombardo
Source link
