La notizia non è l’ennesimo SMS falso con un logo pubblico copiato. Il 14 agosto 2026 INPS ha segnalato una campagna di smishing osservata dal CERT-AgID l’11 agosto: il percorso fraudolento imitava il portale dell’Istituto e chiedeva, in cinque passaggi, dati anagrafici, documenti d’identità, buste paga, CUD e un selfie. Per una PMI il punto critico non è solo riconoscere la truffa dopo averla vista. È decidere chi può autorizzare l’invio di documenti del personale e con quale controllo preventivo.
Secondo la comunicazione dell’Istituto, il falso SMS sfruttava nome, logo e identità grafica INPS e portava l’utente verso una pagina contraffatta. INPS ha ricordato che il sito ufficiale è www.inps.it e che l’indirizzo deve terminare in .inps.it. Il controllo del dominio resta quindi una barriera concreta: la grafica di una pagina può essere copiata, l’indirizzo è uno dei primi elementi tecnici da verificare prima di inserire dati o allegare file.
Quel controllo, però, non basta a governare il rischio aziendale. Una procedura costruita per raccogliere documenti non si neutralizza solo chiedendosi se il portale “sembra” autentico. La verifica deve partire dal destinatario: chi chiede il file, su quale canale, per quale finalità e dentro quale procedura interna. Se la decisione resta affidata al singolo addetto che riceve un messaggio urgente, il problema smette di essere soltanto informatico e diventa un difetto di processo.
Il vademecum antitruffe INPS, pubblicato e aggiornato il 15 aprile 2025, descrive phishing e smishing come tentativi di raccolta di dati tramite link e pagine false. Tra i rischi indicati figurano il furto di documenti d’identità, l’accesso illecito a SPID e ai servizi digitali della pubblica amministrazione, l’apertura di conti o la richiesta di finanziamenti fraudolenti. La campagna di agosto 2026 si inserisce in questo quadro con un elemento pratico rilevante: non punta soltanto a credenziali, ma a un pacchetto documentale riutilizzabile anche fuori dal finto portale.
Il rischio non nasce all’improvviso. Il 25 marzo 2025 AgID aveva già segnalato campagne di smishing a tema INPS finalizzate al furto di copie di documenti di identità e selfie, con possibile uso per il furto di identità digitale SPID o per la vendita online dei documenti. Quella segnalazione non documenta la variante dell’agosto 2026, ma conferma che l’abbinamento tra documento e volto è materiale sensibile: può sostenere procedure di identificazione a distanza e alimentare frodi successive.
Il meccanismo dello smishing è semplice. Il messaggio sposta la persona fuori dal canale atteso e la porta su una pagina controllata dall’attaccante, dove vengono riprodotti marchi, colori e moduli di un servizio noto. La riuscita non dipende solo dalla qualità grafica. Conta la progressione della richiesta: un modulo diviso in passaggi riduce l’attrito, perché ogni informazione già inserita rende più plausibile la successiva. In un ufficio amministrativo questa sequenza può trasformare una falsa urgenza in un invio completo di dati e allegati.
Nella notizia del 14 agosto INPS parla di una variante con verifica basata su intelligenza artificiale, ma non pubblica numeri della campagna né indicatori tecnici dettagliati nel testo consultato. Conviene quindi trattare l’AI come elemento indicato dall’Istituto nella descrizione dell’attacco, non come prova di capacità illimitate dei truffatori. Per l’impresa la decisione resta la stessa: se documenti validi, buste paga e immagini del volto finiscono a un destinatario falso, il danno potenziale nasce dai dati consegnati prima ancora che dalla tecnologia usata per rendere credibile la truffa.
La difesa deve entrare nel flusso di lavoro. In una piccola organizzazione l’amministrazione riceve richieste da consulenti, enti, fornitori, dipendenti e piattaforme pubbliche. Non sempre esiste un reparto informatico che filtra i messaggi, mentre chi gestisce le scadenze ha spesso il compito implicito di chiudere rapidamente l’adempimento. Qui serve separare due controlli: la correttezza del documento da inviare e la verifica indipendente di chi lo sta raccogliendo. Il secondo controllo non dovrebbe mai dipendere dal link contenuto nel messaggio sospetto.
La scheda informativa del Garante per la protezione dei dati personali sullo smishing, pubblicata il 10 giugno 2025, raccomanda di non cliccare link sospetti, non comunicare credenziali o dati personali e verificare con canali affidabili numeri e richieste provenienti da istituzioni o imprese. In azienda questo significa usare percorsi già noti: sito digitato direttamente, area riservata raggiunta da segnalibri verificati, contatto istituzionale recuperato da fonti indipendenti o procedura interna definita prima dell’emergenza.
Il punto riguarda anche la responsabilità sul dato. Una busta paga non è un allegato neutro: contiene informazioni economiche e personali, può riportare trattenute, riferimenti contrattuali e altri elementi utili a ricostruire la situazione di una persona. Se viene inviata a un soggetto non verificato, l’incidente non resta confinato al dipendente che ha ricevuto l’SMS o all’addetto che ha cliccato. Coinvolge archivi, autorizzazioni, formazione interna e capacità dell’impresa di capire quali informazioni siano uscite.
Non serve trasformare il caso in un allarme generico contro i servizi digitali della pubblica amministrazione. I portali ufficiali restano strumenti necessari, e la verifica del dominio indicata da INPS è un controllo concreto. Il problema è l’abitudine a trattare ogni richiesta digitale come un adempimento da chiudere in fretta. Più un messaggio richiama un ente autorevole, più dovrebbe attivare una procedura ordinata, non una deroga ai controlli.
Per le imprese senza struttura informatica interna, la lezione è organizzativa prima che tecnologica. Filtri antispam, antivirus e controlli del browser riducono l’esposizione, ma non possono decidere se una busta paga o un documento d’identità debbano essere trasmessi. La decisione resta aziendale: chi autorizza, con quale evidenza, attraverso quale canale e con quale registrazione. Il caso INPS segnalato ad agosto 2026 mostra che la domanda decisiva non è soltanto se il file sia autentico, ma se sia autentico chi lo sta chiedendo.
Per approfondire
Smishing con AI: attacchi e truffe diventano sempre più pericolosi
Vademecum antitruffe
Smishing a tema INPS: in vendita online i documenti trafugati
Smishing: i suggerimenti del Garante per proteggersi dal phishing che sfrutta SMS e messaggistica
