Il CERT-AgID ha scoperto una nuova campagna di smishing che sfrutta l’intelligenza artificiale per rendere le truffe a tema INPS molto più credibili e insidiose. Gli attaccanti inviano SMS ingannevoli che spingono gli utenti su portali falsi, dove vengono indotti a caricare documenti personali. A differenza delle campagne tradizionali, qui l’AI analizza in tempo reale i file caricati e filtra i dati più utili per il furto d’identità o per convincere la vittima a completare la procedura fraudolenta.
La catena d’attacco spiegata
Lo schema parte da un messaggio che simula comunicazioni ufficiali dell’INPS, con testo che invita ad aggiornare dati o a sbloccare presunti pagamenti. Il link porta a una pagina clone, progettata per sembrare il sito istituzionale. Qui la vittima viene guidata nel caricamento di un documento: carta d’identità, patente, codice fiscale o tessera sanitaria.
In passato, i dati raccolti finivano in database non strutturati e venivano sfruttati solo in un secondo momento. Ora l’AI entra nella catena d’attacco: elabora le immagini e i PDF caricati, estrae nome, cognome, data di nascita, codice fiscale e altri dettagli. Se il documento è parzialmente illeggibile, l’algoritmo può richiedere un nuovo caricamento, aumentando la quantità e la qualità delle informazioni rubate.
Perché l’AI rende lo smishing più pericoloso
L’uso dell’intelligenza artificiale modifica il rapporto tra costo e beneficio per i criminali. Automatizzare l’analisi dei documenti riduce i tempi e permette di gestire campagne su larga scala. Inoltre, i dati estratti sono già strutturati e pronti per essere rivenduti nei mercati illegali o per alimentare attacchi di seconda fase, come il phishing mirato o la richiesta di credenziali bancarie.
La credibilità della falsa procedura aumenta: se l’AI riconosce che il documento caricato è scaduto o non valido, il sito fraudolento può mostrare messaggi personalizzati, convincendo la vittima a fornire ulteriori informazioni. Questo crea un meccanismo di feedback che rende la truffa più adattiva e difficile da smascherare.