L’SMS sul contributo non pagato è una trappola: attenzione alla truffa Inps

iStock

• Una campagna di SMS finti avvisa di contributi previdenziali non pagati e rimanda a siti clonati dell'INPS che mirano a rubare i dati della carta.
• La pagina truffa simula procedure ufficiali e usa importi bassi e un conto alla rovescia per spingere all'azione, pur non interrogando alcun archivio reale.
• Per difendersi, evitare link negli SMS, controllare la posizione contributiva sul sito ufficiale con SPID e segnalare o bloccare la carta in caso di esposizione.

Arriva sullo smartphone come una qualsiasi notifica di servizio, con un tono formale e un riferimento a un contributo previdenziale non pagato: il mittente sembra l’Inps e, diciamolo, in questo periodo sembra assolutamente verosimile. Invece, sì: si tratta di una truffa, nonostante il linguaggio richiami le comunicazioni istituzionali e il messaggio paventi possibili azioni legali in caso di mancato versamento.

Bisogna fare molta attenzione, perché negli ultimi giorni questi SMS stanno circolando con insistenza e colpiscono soprattutto lavoratori e pensionati, abituati a ricevere comunicazioni dall’Istituto.

• Come funziona la truffa?
• Il finto sito dell'Inps
• Perché la cifra è così bassa?
• Come riconoscere l'inganno?
• Cosa fare se si è già cliccato?

Come funziona la truffa?

Come praticamente sempre in questi casi, tutto parte da un messaggio che avvisa di un contributo previdenziale rimasto in sospeso e invita a saldarlo in fretta per evitare conseguenze legali. La leva è quella classica di queste campagne: un debito inventato, una minaccia vaga e la pressione a risolvere subito, prima ancora di ragionare. Precisamente, potremmo leggere:

INPS: Hai un contributo previdenziale non pagato. Ti preghiamo di saldarlo al più presto, altrimenti potresti incorrere in azioni legali.

In coda al testo però compare un link che rimanda a uno specifico dominio: chi fa tap si ritroverà su una pagina che riproduce quella dell’Inps in ogni dettaglio, dalla grafica ai colori, fino alla favicon che appare nella barra del browser.

Il finto sito dell’Inps

Anche in questo caso, si tratta di qualcosa di già visto: come accaduto per PagoPA, Ministero della Salute e persino per Booking.com, la pagina d’atterraggio è più che verosimile ed è progettata per simulare una procedura ufficiale in tre passaggi. Il primo è l’identificazione: viene richiesto il codice fiscale e qui si nasconde già un indizio rivelatore, perché il sistema accetta qualsiasi codice, anche inventato, e restituisce comunque un debito.

Di fatto, dunque, non viene interrogato alcun archivio reale. Dopodiché, si passa al secondo passaggio, ovvero la verifica: compare un riepilogo con un importo principale di 5,20 euro, più sanzioni e interessi per 1,40 euro, per un totale di 6,60 euro. Ci sono un codice pagamento, una data di scadenza e, soprattutto, è presente un conto alla rovescia che scandisce la sessione, per alimentare la fretta.

È da notare che nonostante il conto alla rovescia, la data di scadenza è relativamente distante nel tempo: la deadline è fissata per la fine del mese. Eppure, il sistema mette una certa pressione e, sicuramente, spinge ad agire in fretta e a passare al prossimo step che, ovviamente, è il pagamento:

Questo è ovviamente il passaggio centrale della truffa, perché vengono richiesti numero della carta, scadenza, CVV, nome del titolare e recapito telefonico. Una volta inseriti, il danno è fatto: abbiamo fornito ai truffatori l’accesso ai nostri conti.

Perché la cifra è così bassa?

Vale la pena fare un passaggio sull’importo: la cifra bassa è una delle costanti di queste truffe. Lo stesso avviene per esempio quando si riceve il falso SMS di GLS, quello del pedaggio autostradale o quello che paventa delle multe Atac e Atm: i pochi euro richiesti sembrano davvero una sciocchezza e molti pagano al volo pur di togliersi il pensiero.

In alcuni casi il passaggio è ancora più subdolo: c’è chi sottolinea che “non c’è niente da pagare” e che i dati servono solo per “verificare la carta”. Ovviamente, la realtà è un’altra: nelle mani dei truffatori, come dicevamo finiscono i dati completi della carta, con il codice di sicurezza, pronti per essere riutilizzati o rivenduti.

A completare la messinscena ci sono le rassicurazioni mostrate a schermo, dai riferimenti a Spid e Cie fino alla dicitura sulla crittografia SSL. Elementi che servono soltanto a tranquillizzare la vittima mentre compila il modulo.

Come riconoscere l’inganno?

Il criterio più affidabile è uno solo, e lo ha ribadito più volte l’Istituto stesso: le notifiche ufficiali dell’Inps via SMS hanno funzione puramente informativa e mai contengono link cliccabili. Qualsiasi messaggio a nome dell’Inps con un collegamento da aprire è, di conseguenza, un tentativo di truffa. Il mittente del messaggio, comunque, è già rivelatorio, come il link stesso, che non porta mai ai canali ufficiali dell’Istituto.

C’è poi la questione dei pagamenti: i versamenti verso l’Istituto passano dai canali riconosciuti, come il modello F24 o il portale dei pagamenti con PagoPA. Una pagina raggiunta tramite SMS che chiede numero della carta e CVV è fuori da qualsiasi procedura reale. In caso di dubbio sulla propria posizione contributiva, la via corretta è accedere in autonomia al sito ufficiale con Spid, Cie o Cns e controllare da lì.

Cosa fare se si è già cliccato?

Le indicazioni dell’Inps e della Polizia Postale sono chiare: niente clic sul link, niente dati inseriti, niente pagamenti, e il messaggio va cancellato senza rispondere. È utile anche segnalare il tentativo all’Istituto e alla stessa Polizia Postale, così da contribuire al blocco dei domini fraudolenti, che comunque rispuntano di continuo con indirizzi e testi aggiornati.

Chi ha già inserito i dati della carta deve muoversi in fretta: contattare la banca per bloccarla, monitorare i movimenti del conto e valutare una denuncia. Fermarsi un attimo prima di cliccare resta, anche in questo caso, la difesa più efficace.