Phishing INPS: la finta mail del rimborso da 730 € che può fregarti in 60 secondi

Arriva una mail “ufficiale” dell’INPS: rimborso da 730 euro, numero di protocollo, scadenza, pulsante “Accedi all’area riservata”. Tutto perfetto. Peccato sia una truffa. E funziona proprio perché sembra normale, urgente e conveniente.

La finta mail del rimborso: come ti porta nella trappola

Questa campagna di phishing, segnalata dal CERT-AgID, sfrutta un copione collaudato: ti promette un accredito da 730 euro “dopo un ricalcolo automatizzato dei contributi”. Nella mail trovi tutti i dettagli che ti aspetteresti da un ente pubblico: logo, tono istituzionale, un numero di protocollo e, soprattutto, una scadenza ravvicinata. Il bottone “Accedi all’area riservata” ti porta su un sito che replica l’aspetto del portale INPS.

Da lì parte la raccolta dati: prima i tuoi dati personali (nome, codice fiscale, data di nascita, contatti), poi quelli della carta (numero, scadenza, CVV). Il colpo di teatro arriva alla fine: il sito finto cita TLS, GDPR e “sistemi di sicurezza” per rassicurarti e ti chiede di aprire l’app della tua banca per approvare una notifica entro 60 secondi. Tu pensi di confermare la tua identità per ricevere un rimborso; in realtà rischi di autorizzare tu stesso un’operazione fraudolenta.

Perché funziona così bene

Le truffe online sono meno tecnologiche e più psicologiche. Colpiscono leve semplici: urgenza, denaro in arrivo, paura di perdere un’opportunità. E c’è un fattore in più: siamo abituati a vedere siti e app che cambiano grafica di continuo. Un clone “quasi uguale” oggi passa più facilmente per vero.

Come riconoscere la truffa “INPS 730 €”

Pressione del tempo: scadenza lampo per incassare il rimborso. L’urgenza serve a farti saltare i controlli.
Link che punta fuori dall’INPS: il dominio non è “inps.it”. Spesso usa sottodomini o nomi simili per confondere.
Richiesta di dati sensibili non necessari (carta di credito, CVV) per un presunto rimborso. L’INPS non chiede queste informazioni via form esterni.
Lingua “troppo perfetta” o troppo generica: niente errori evidenti, ma anche nessun riferimento puntuale alla tua posizione reale.
Finta sicurezza esibita: loghi e diciture su TLS, GDPR, “verifiche KYC” usate come specchietto per le allodole.
Autorizzazione via app bancaria richiesta “per identificazione”: è il trucco per farti approvare un pagamento.

La segnalazione ufficiale del CERT-AgID conferma dinamiche e obiettivi: rubare dati e innescare operazioni bancarie non autorizzate sfruttando l’ingegneria sociale.

Cosa fare se ti arriva una mail del genere

Regola aurea: non accedere mai a INPS, banca o Agenzia delle Entrate da link ricevuti via email, SMS o WhatsApp.
Apri il browser e digita tu l’indirizzo del sito ufficiale che già conosci, oppure cerca il dominio corretto.
Verifica dalla tua area riservata: se la comunicazione è reale, la troverai lì.
Prenditi 30 secondi prima di qualsiasi clic: interrompere l’impulso è metà della sicurezza.
Segnala e cancella: inoltra la mail sospetta agli indirizzi ufficiali di segnalazione del tuo provider o dell’ente e poi eliminala.

Hai cliccato?

Blocca subito la carta e avvisa la banca per annullare eventuali operazioni.
Cambia le password dei servizi coinvolti e abilita l’autenticazione a due fattori.
Controlla movimenti e notifiche bancarie nei giorni successivi.
Valuta una denuncia alla Polizia Postale con eventuali prove (mail, screenshot, URL).

Perché oggi è più difficile smascherare i cloni

I servizi pubblici e bancari aggiornano spesso grafica e percorsi di navigazione. Questa variabilità riduce il nostro “sesto senso” visivo: se qualcosa non torna, pensiamo “avranno aggiornato il sito”. I truffatori lo sanno e puntano su interfacce pulite, coerenti e familiari. Il risultato? Poche storture visibili, molta credibilità percepita. Per questo non basta più cercare refusi: serve metodo.

Le buone pratiche che ti salvano davvero

Domini ufficiali: verifica l’URL prima di fare login. INPS usa “inps.it”. Diffida di sottodomini strani o domini simili.
Indipendenza dal link: accedi sempre digitando l’indirizzo o tramite segnalibro salvato da te.
Diffida dei “rimborso immediato”: le buone notizie improvvise dall’INPS sono come gli unicorni: meglio verificare che esistano davvero.
2FA ovunque: attiva l’autenticazione a due fattori su email, banca e servizi critici.
Certificato https non basta: il lucchetto indica connessione cifrata, non la bontà del sito.
Password manager: aiuta a riconoscere domini falsi (il riempimento automatico non scatta su URL sospetti).
Aggiornamenti e antivirus: tieni sistemi e browser aggiornati, usa soluzioni di sicurezza affidabili.
Formazione continua: condividi questi segnali con colleghi e familiari: meno vittime, meno guadagni per i truffatori.

La sicurezza non è paranoia: è metodo. Basta una regola semplice e ripetuta nel tempo per evitare problemi grandi. E ricordati: nessun ente serio ti chiede carte e codici via link esterni “per darti dei soldi”.

Conclusione

👉 Per scoprire tutti i dettagli e l’opinione personale di Mario Moroni, ascolta la puntata completa su Spotify: clicca qui.