Attenzione alla truffa SMS INPS: in queste settimane è in corso un’ondata di messaggi falsi che imitano nome, logo e grafica dell’Istituto per farsi consegnare documenti e dati personali. L’INPS ha diffuso un avviso il 14 agosto 2026, dopo la segnalazione del CERT-AgID. La novità di questa campagna è che i finti siti usano l’intelligenza artificiale per controllare i documenti caricati dalla vittima, così la procedura sembra più seria e credibile.
Il meccanismo è sempre lo stesso: un SMS che sembra arrivare dall’INPS, un link, un sito contraffatto che chiede di “verificare i dati” per non perdere l’erogazione dei servizi. Cambia il grado di raffinatezza, e questo rende la truffa più difficile da riconoscere anche per chi di solito sta attento.
Come funziona la nuova truffa
Il CERT-AgID, la struttura pubblica che monitora gli attacchi informatici verso la pubblica amministrazione, ha osservato la campagna l’11 agosto 2026. Il percorso è guidato e articolato in cinque passaggi. Passo dopo passo il sito chiede:
- dati anagrafici (nome, cognome, indirizzo, codice fiscale)
- documenti di identità, fronte e retro
- buste paga
- CUD
- un selfie, in alcune varianti con il documento in mano
La novità è nella fase di caricamento. Il sito mostra l’etichetta “Verifica AI in corso” e un modello di intelligenza artificiale controlla davvero le immagini: se carichi una foto qualsiasi al posto della carta d’identità, il sistema la rifiuta e ti spiega cosa hai caricato. Nei test del CERT-AgID il sistema ha respinto correttamente l’immagine di una macchina da caffè.
Serve a due cose. Da un lato i criminali si portano a casa materiale utilizzabile e non spazzatura. Dall’altro la vittima si convince che il processo sia serio e va fino in fondo. Da notare che lo stesso sistema ha accettato senza problemi una carta d’identità falsa con la scritta “FACSIMILE” bene in vista: l’AI serve ai truffatori, non certo a proteggere chi la usa.
Perché è pericolosa
I documenti raccolti non finiscono in un archivio qualsiasi. Il CERT-AgID ha documentato tre utilizzi ricorrenti:
- Attivazione di uno SPID a tuo nome. Con documenti e selfie i criminali provano a registrare un’identità digitale intestata alla vittima, che apre l’accesso a tutti i servizi della pubblica amministrazione.
- Cambio dell’IBAN. Entrando con quello SPID si può modificare il conto su cui vengono accreditati pensione, stipendio pubblico o prestazioni, dirottando i soldi altrove.
- Rivendita dei dati. Documenti e informazioni personali vengono venduti, con il rischio di altre truffe e di contratti sottoscritti a nome della vittima.
Il danno quindi non si vede subito. Spesso ci si accorge di qualcosa solo quando manca un accredito.
Le tre regole per riconoscere il falso
L’INPS è netto su questo punto: non invia mai e-mail o SMS con link per confermare dati o ricevere rimborsi. Le uniche e-mail con link che partono dall’Istituto riguardano le indagini di soddisfazione degli utenti, e in ogni caso non chiedono mai dati bancari o documenti.
Tre controlli semplici:
- Diffida di qualsiasi SMS che chiede dati tramite un link. Enti pubblici e banche non lavorano così.
- Controlla il dominio. L’unico sito ufficiale è www.inps.it e l’indirizzo deve finire con “.inps.it”. I truffatori registrano nomi somiglianti come insp, ipns, inpis, oppure indirizzi tipo “erogazioni-inps”.
- Non fidarti del tono. I messaggi alternano minacce (“la sua dichiarazione risulta mancante, sono previste conseguenze penali”) e urgenza (“il tuo profilo è scaduto, rinnova per evitare la sospensione”). Servono a farti agire di fretta, senza pensarci.
Se hai un dubbio, non cliccare. Digita www.inps.it a mano nella barra del browser ed entra dall’area riservata con SPID o CIE: se c’è davvero una comunicazione per te, la trovi lì.
Cosa fare se hai già inviato i dati
Se hai caricato documenti e premuto “Conferma” o “Avanti”, muoviti subito. Il CERT-AgID indica tre passaggi:
- Sporgi denuncia alla Polizia Postale per furto di dati personali, portando tutto il materiale utile: l’SMS ricevuto, i documenti inviati, gli screenshot del sito.
- Fai anche la segnalazione online sul portale del Commissariato di PS online (commissariatodips.it).
- Controlla i conti correnti nei mesi successivi, in particolare quello su cui ricevi pensione, stipendio o prestazioni, per accorgerti presto di un eventuale cambio di IBAN.
I messaggi sospetti si possono segnalare al contact center INPS (803.164 da telefono fisso, 06.164.164 da cellulare) oppure al CERT-AgID all’indirizzo malware@cert-agid.gov.it.
Va detto con onestà: l’INPS segnala e fa bloccare i domini fraudolenti, ma i truffatori ne aprono di nuovi nel giro di poco, cambiando il testo degli SMS. Per questo l’unica difesa che regge nel tempo è l’abitudine a non cliccare.
Cosa può fare per te il CAAF CGIL Lazio
Se ti arriva un messaggio che dice di venire dall’INPS e non sai se è vero, portalo in uno dei nostri uffici prima di fare qualsiasi cosa. I nostri operatori possono verificare con te la tua posizione reale sul portale INPS: se una pratica è in corso, se risulta davvero un pagamento sospeso, se c’è un debito da sistemare. In pochi minuti sai se il messaggio è autentico, senza aver toccato il link.
Se hai ricevuto un messaggio sospetto, o vuoi semplicemente controllare la tua posizione INPS, trova l’ufficio CAAF CGIL più vicino a te e fissa un appuntamento.
