Un SMS con un link a una pagina che riproduce il portale INPS invita a scaricare una presunta versione di INPS Mobile per Android. Il nome e la grafica dell’Istituto possono rendere credibile la proposta, ma il sito è falso. Al momento della verifica, anche il download presenta un’anomalia decisiva: il file contiene soltanto testo e non può essere installato su Android.
Che cosa arriva nel messaggio che richiama l’INPS?
Il punto di partenza è un collegamento diffuso via SMS. L’11 novembre il CERT-AGID, con la collaborazione dell’INPS, ha documentato il sito falso raggiunto attraverso questi messaggi, come riferisce la notizia di HWUpgrade. Per chi riceve il messaggio, il passaggio da esaminare è quindi quello tra il link sul telefono e la pagina che invita al download.
Il richiamo all’INPS prosegue dopo l’apertura del collegamento: il sito riproduce il nome e la grafica dell’Istituto. Questa continuità visiva può far sembrare coerenti il messaggio e la destinazione, ma non dimostra che il collegamento provenga dall’INPS. Il logo, da solo, non autentica la pagina e non rende affidabile il file proposto.
La proposta riguarda una presunta app INPS Mobile per Android. È questo l’invito concreto da riconoscere quando si valuta il messaggio: il destinatario viene indirizzato verso un download presentato attraverso una pagina che imita l’Istituto. Per verificare la proposta, il riferimento deve essere il sito ufficiale dell’INPS, senza affidarsi alla sola somiglianza della pagina aperta dall’SMS.
Dove porta il link e che cosa chiede la pagina?
Il collegamento conduce a un sito il cui dominio combina la sigla “INPS” con il termine inglese “Italy”. Il dominio è stato registrato il 9 novembre. Il richiamo all’Istituto compare dunque anche nell’indirizzo, oltre che nella grafica, ma la presenza della sigla nel dominio non equivale a una conferma della sua autenticità.
La richiesta documentata è scaricare una presunta versione di INPS Mobile per Android. Non è indicata una richiesta di dati personali da compilare: gli elementi descritti riguardano il sito, le istruzioni di installazione e il file offerto. Il sito privilegia inoltre il download per chi si collega dall’Italia, pur presentando testi e istruzioni in inglese.
Al momento del controllo, il file scaricato contiene soltanto 40 byte di testo. Non può quindi essere installato su Android. Questo dato descrive ciò che è stato trovato durante la verifica: la pagina promette un’app, mentre il download esaminato non corrisponde a un’applicazione installabile. Non offre alcun motivo per seguire le istruzioni che chiedono di consentire installazioni da fonti sconosciute.
Per il CERT-AGID, le anomalie osservate indicano una pagina ancora in allestimento. La valutazione riguarda lo stato del sito verificato: l’invito al download è già presente, ma il file disponibile non realizza ciò che la pagina propone. Il fatto che il download non funzioni non rende autentico il sito che lo distribuisce.
Quali elementi distinguono questo sito dal canale ufficiale?
Il primo elemento è la differenza tra l’identità mostrata e il contenuto della pagina. Il sito riproduce nome e grafica dell’INPS, mentre testi e istruzioni di installazione sono in inglese. Non basta quindi riconoscere un marchio familiare: occorre leggere anche ciò che accompagna il download e verificare la provenienza della pagina.
Un’altra anomalia riguarda la voce “ENG”. È presente nell’interfaccia, ma è inattiva e non permette di passare all’italiano. Chi cerca una versione italiana non trova quindi una funzione utilizzabile. Questo dettaglio si aggiunge alle istruzioni in inglese e al file non installabile tra gli elementi sui quali il CERT-AGID basa la valutazione di un sito ancora in preparazione.
Anche il dominio va letto nel suo insieme. La combinazione di “INPS” e “Italy” richiama l’Istituto e l’Italia, ma non certifica alcun rapporto con l’INPS. Allo stesso modo, la registrazione del 9 novembre è un elemento della verifica, non un’autorizzazione al download. La conferma da cercare resta quella sul sito ufficiale dell’Istituto, anziché nella grafica o nelle parole scelte per l’indirizzo.
Che cosa fare se l’SMS è già arrivato?
Se il messaggio è sul telefono, non scaricare la presunta app dal collegamento ricevuto. L’invito a installare INPS Mobile non va considerato attendibile soltanto perché la destinazione mostra il nome dell’Istituto. Prima di procedere, verifica sul sito ufficiale dell’INPS: è il riferimento indicato per controllare una proposta che sfrutta la sua identità visiva.
Se hai già aperto il link, non proseguire con il download seguendo la pagina. In particolare, non abilitare l’installazione da fonti sconosciute sulla base delle istruzioni ricevute. La presenza di indicazioni per installare un file non dimostra che quel file provenga dall’INPS, neppure quando compare accanto a un logo riconoscibile.
Se il file è già stato scaricato, il dato disponibile resta circoscritto al controllo effettuato: quello esaminato conteneva 40 byte di testo e non era installabile su Android. Non occorre cercare di superare questo ostacolo modificando le impostazioni del telefono. Interrompi il tentativo di installazione e usa il sito ufficiale dell’INPS per verificare la proposta prima di qualsiasi ulteriore download.
