Il CERT-AGID ha individuato nuove campagne di smishing che sfruttano il nome, il logo e la grafica dell’INPS per sottrarre dati personali e informazioni sulle carte di pagamento. A differenza di altre operazioni osservate in passato, questa volta i siti fraudolenti si presentano con due vesti grafiche differenti e richiedono il pagamento di importi molto diversi, un elemento che potrebbe indicare un tentativo di A/B testing da parte degli attaccanti.
L’attacco prende avvio con un SMS contenente un link che rimanda a una falsa pagina “Visualizzazione indebiti”, realizzata per imitare quella presente sul portale dell’INPS. La vittima viene invitata a inserire il proprio codice fiscale, con richiami fittizi ai sistemi di autenticazione SPID, CIE e CNS per rendere la pagina più credibile. Successivamente viene mostrato un presunto debito da saldare, accompagnato da un countdown che induce ad agire rapidamente, fino alla richiesta dei dati completi della carta di pagamento (titolare, numero, scadenza, CVV) e di un numero di telefono.
Le due varianti osservate differiscono sia nell’aspetto grafico sia nell’importo richiesto. Una propone un’interfaccia ricca di elementi che richiamano il sito istituzionale dell’INPS, con badge di sicurezza e numerosi loghi dei circuiti di pagamento, chiedendo 385,40 euro. L’altra adotta invece una grafica più essenziale e richiede il pagamento di soli 6,60 euro.
Secondo il CERT-AGID, questa combinazione di grafica e importo potrebbe rappresentare una forma di sperimentazione comparativa (A/B testing), utilizzata per verificare quale versione della truffa ottenga un tasso di successo maggiore. Non vengono tuttavia escluse altre ipotesi, tra cui l’impiego di kit Phishing-as-a-Service (PhaaS) da parte di affiliati differenti oppure la distribuzione delle diverse varianti a gruppi distinti di destinatari.
Il CERT-AGID ricorda che l’INPS non richiede il pagamento di presunti debiti tramite SMS con link a pagine esterne. Chi riceve comunicazioni di questo tipo non deve cliccare sui collegamenti né inserire dati personali o di pagamento. L’Agenzia ha inoltre richiesto la dismissione dei domini malevoli, informato l’INPS e condiviso gli Indicatori di Compromissione (IoC) con gli enti accreditati.
https://cert-agid.gov.it/news/smishing-a-tema-inps-possibili-tentativi-di-a-b-testing/
