Il CERT-AgID ha individuato un falso sito dell’INPS che distribuisce un’app infetta per Android. Al momento della segnalazione, la pagina non era ancora pienamente operativa, mentre l’intenzione dei cybercriminali appariva chiara. Il link viene inviato via SMS, quindi si tratta di smishing. Gli utenti devono prestare molta attenzione ai messaggi ricevuti e verificare il nome del dominio nella barra degli indirizzi.
Il dominio è stato registrato due giorni prima della segnalazione presso Hosting Concepts B.V., azienda olandese con sede a Rotterdam, e la registrazione scade il 9 novembre 2027. Il design del falso sito assomiglia a quello del sito legittimo, ma presenta differenze evidenti. Al momento della segnalazione era soltanto in inglese, senza possibilità di selezionare la lingua, nonostante fosse destinato all’utenza italiana.
Nessun link nella home page del falso sito era funzionante. Al centro della pagina era presente un pulsante “Download APK”, apparentemente predisposto per scaricare l’app ufficiale per Android. In realtà, il pulsante avvia il download di un file che in realtà è un file di testo di 40 byte e non può essere installato su Android. La presenza di un contenuto non utilizzabile e di collegamenti inattivi fa pensare che la pagina fosse ancora in fase di allestimento.
Nella parte inferiore della pagina sono presenti istruzioni per il sideloading, cioè l’installazione di un’app al di fuori del Google Play Store. Questo dettaglio è coerente con l’obiettivo indicato delle campagne di smishing: convincere le vittime a installare un’app fasulla tramite SMS con mittente INPS. Le app fasulle distribuite in queste campagne di smishing contengono solitamente malware capaci di rubare dati dal dispositivo o di accedere ai conti correnti.
Il CERT-AgID ha chiesto la chiusura del dominio, che al momento della segnalazione era ancora accessibile. Le applicazioni ufficiali per Android e iOS dell’INPS possono invece essere scaricate dal sito istituzionale e dalla pagina dedicata alle app.
