Il falso rimborso INPS 730 euro viene usato come esca per sottrarre dati personali, informazioni della carta e, nella fase finale, spingere la vittima ad autorizzare un’operazione tramite l’app della propria banca. È il meccanismo della nuova campagna di phishing segnalata il 25 agosto 2026 dal CERT-AGID.
La truffa è particolarmente insidiosa perché combina una pagina che imita il portale INPS con una richiesta di autenticazione apparentemente credibile. Il punto da ricordare è semplice: una notifica autentica generata dall’app bancaria non rende automaticamente legittima l’operazione che viene proposta.
Come funziona il falso rimborso INPS da 730 euro
Secondo quanto documentato dal CERT-AGID, la campagna viene diffusa tramite email che riproducono nome, logo e grafica dell’INPS. Il messaggio comunica un presunto credito di 730,00 euro, attribuito a un “ricalcolo automatizzato” della posizione contributiva e fiscale.
L’oggetto dell’email può richiamare una pratica di rimborso approvata e il testo introduce una scadenza molto ravvicinata. È una tecnica ricorrente nel phishing: la promessa di un vantaggio economico viene associata all’urgenza, così da ridurre il tempo dedicato ai controlli.
Il pulsante presente nel messaggio conduce a un dominio estraneo all’INPS, configurato per riprodurre l’aspetto di un portale istituzionale. Grafica curata, loghi e riferimenti tecnici non dimostrano l’autenticità del sito: possono essere copiati facilmente.
Quali dati vengono richiesti dal sito fraudolento
La procedura osservata dal CERT-AGID è suddivisa in più fasi. Nella prima pagina vengono richiesti numerosi dati personali: nome, cognome, codice fiscale, data di nascita, indirizzo, comune, provincia, CAP, email e numero di telefono.
Nella fase successiva il sito domanda i dati della carta di pagamento:
- nome dell’intestatario;
- numero della carta;
- data di scadenza;
- codice di sicurezza CVV.
La pagina mostra inoltre riferimenti a TLS, PCI-DSS, GDPR e connessioni protette. Queste diciture hanno lo scopo di aumentare la credibilità della schermata, ma la loro presenza non certifica che il sito sia affidabile. Anche il lucchetto del browser indica soltanto che la connessione è cifrata, non che chi gestisce il sito sia legittimo.
La falsa procedura 3D Secure 2.2
Dopo l’inserimento dei dati della carta, il sito presenta una schermata denominata “Autorizzazione Bancaria 3D Secure 2.2 in corso”. Alla vittima viene chiesto di aprire l’app bancaria e approvare una notifica push entro pochi secondi.
3D Secure è un sistema realmente utilizzato per aumentare la sicurezza dei pagamenti online. Può richiedere una conferma nell’app, un codice temporaneo o un controllo biometrico. Nella campagna segnalata, però, il nome della tecnologia viene sfruttato come elemento di persuasione: la pagina fraudolenta induce l’utente a interpretare l’approvazione come una semplice verifica necessaria per ricevere il rimborso.
In realtà, i criminali potrebbero utilizzare i dati appena raccolti per avviare un’operazione sulla carta. La notifica inviata dalla banca sarebbe quindi reale, ma riguarderebbe un pagamento o un’altra operazione richiesta dai truffatori, non l’accredito promesso.
Una notifica bancaria autentica non garantisce la legittimità
Questo è il passaggio più importante. L’app della banca può essere autentica, la notifica può provenire davvero dall’istituto e la richiesta può utilizzare i normali sistemi di sicurezza. Ciò che deve essere verificato è l’operazione sottostante.
L’autenticazione bancaria conferma che il titolare ha approvato una richiesta; non controlla che la storia raccontata dal sito di phishing sia vera. Se si autorizza una notifica senza leggere importo, esercente e tipo di operazione, si può confermare involontariamente un pagamento disposto dai criminali.
Cos’è la Strong Customer Authentication
La Strong Customer Authentication, o SCA, è l’autenticazione forte del cliente prevista per molte operazioni bancarie e pagamenti elettronici. In termini semplici, richiede almeno due elementi appartenenti a categorie diverse:
- qualcosa che conosci, come PIN o password;
- qualcosa che possiedi, come lo smartphone registrato;
- qualcosa che sei, come impronta digitale o riconoscimento del volto.
La SCA riduce il rischio di operazioni non autorizzate, ma non può proteggere l’utente quando è lui stesso, ingannato dal phishing, ad approvare la richiesta. Per questo la verifica dei dettagli mostrati nell’app resta indispensabile.
Cosa controllare prima di autorizzare una richiesta nell’app bancaria
Prima di premere “Approva”, “Conferma” o comandi equivalenti, è necessario leggere con attenzione tutte le informazioni disponibili:
- tipo di operazione: pagamento, bonifico, registrazione di una carta o accesso;
- importo: deve corrispondere esattamente a un’operazione iniziata consapevolmente;
- beneficiario o esercente: il nome deve essere riconoscibile e coerente;
- data e ora: la richiesta deve coincidere con l’attività svolta in quel momento;
- messaggio della banca: eventuali avvisi come “non approvare se non hai richiesto tu l’operazione” devono essere rispettati.
Un rimborso ricevuto da un ente non dovrebbe richiedere l’autorizzazione di un pagamento. Se il contenuto della notifica non è perfettamente chiaro, bisogna rifiutare la richiesta e contattare la banca tramite i recapiti ufficiali, senza usare numeri o collegamenti presenti nell’email sospetta.
Come proteggersi
Non aprire il link ricevuto nell’email
Per controllare eventuali comunicazioni INPS, accedere al sito o all’app ufficiale digitando direttamente l’indirizzo oppure utilizzando un collegamento già salvato. Non usare il pulsante contenuto nel messaggio.
Controllare il dominio, non soltanto la grafica
Logo, colori e testi possono essere copiati. Occorre verificare con attenzione l’indirizzo completo del sito. Domini insoliti, errori di scrittura o nomi che non appartengono all’ente sono segnali sufficienti per interrompere la procedura.
Non comunicare i dati della carta per ricevere un rimborso
Numero della carta, scadenza e CVV non devono essere inseriti in una pagina raggiunta da un’email inattesa. Un accredito legittimo non richiede di consegnare tutte le credenziali necessarie per effettuare un pagamento.
Rifiutare le notifiche non riconosciute
Se compare una richiesta nell’app bancaria che non corrisponde a un’operazione avviata personalmente, non approvarla. Acquisire eventualmente una schermata, contattare subito la banca attraverso i canali ufficiali e verificare i movimenti.
Se i dati sono già stati inseriti
Contattare immediatamente la banca o l’emittente della carta, chiedere il blocco dello strumento se necessario e seguire le indicazioni ricevute. È opportuno controllare i movimenti, modificare le credenziali eventualmente compromesse e conservare email, indirizzo del sito e schermate utili per una segnalazione.
Fatti confermati e aspetti da non presumere
Il CERT-AGID ha confermato l’esistenza della campagna, la promessa del falso rimborso, la raccolta di dati personali e della carta e la schermata che invita ad approvare una notifica bancaria. Ha inoltre avviato le attività di contrasto sul dominio fraudolento e condiviso gli indicatori di compromissione con i soggetti accreditati.
Non è invece corretto presumere che ogni email con riferimenti all’INPS o ogni notifica bancaria sia fraudolenta. Il giudizio deve basarsi su elementi verificabili: provenienza della comunicazione, dominio utilizzato, operazione mostrata nell’app e coerenza con un’attività avviata consapevolmente dall’utente.
In sintesi
La sicurezza dell’app bancaria non sostituisce l’attenzione dell’utente. Nel falso rimborso INPS 730 euro, l’obiettivo è portare la vittima a completare personalmente una procedura reale di autenticazione, attribuendole però un significato falso. Prima di autorizzare qualsiasi richiesta, fermarsi e verificare sempre cosa si sta realmente confermando.