Il CERT-AgID ha individuato un falso sito dell’INPS che distribuisce un’app infetta per Android. Il link viene inviato tramite SMS, quindi si tratta di un tipico caso di smishing. Gli utenti devono ignorare il messaggio e non effettuare il download dell’APK, come riportato da Luca Colantuoni su Security Info.
Il dominio è stato registrato due giorni prima della segnalazione presso Hosting Concepts B.V., azienda olandese con sede a Rotterdam, con scadenza il 9 novembre 2027. Il design del sito è simile a quello legittimo, ma presenta evidenti differenze. Attualmente la versione è in inglese e non è operativa per l’utenza italiana. Nella home page non ci sono link funzionanti, mentre è presente un pulsante “Download APK”, anche se il file scaricato è solo un file di testo da 40 byte. Nella parte inferiore della pagina ci sono istruzioni per il sideloading, ovvero l’installazione fuori dal Google Play Store.
Lo smishing ha come obiettivo convincere le vittime a installare un’app fasulla. Una volta aperto il file APK, l’utente vede una schermata di benvenuto e una richiesta di aggiornamento dell’app. In realtà l’app contiene un malware che può rubare dati (infostealer) o accedere ai conti correnti (trojan bancario). Il CERT-AgID ha richiesto la chiusura del dominio, che però è ancora accessibile. Il sito ufficiale di INPS è diverso e le app per Android e iOS possono essere scaricate da una pagina ufficiale.