Servizi e sicurezza

I finti messaggi INPS si riconoscono da tre dettagli

I messaggi che si spacciano per comunicazioni dell'INPS sono diventati curati: logo credibile, italiano corretto, link che a prima vista sembra giusto. Si riconoscono comunque, perché inciampano sempre negli stessi tre punti.

Il messaggio arriva per SMS o per posta elettronica. Annuncia un rimborso in attesa, un arretrato da incassare, un aumento da confermare. L'aspetto è plausibile, il tono è istituzionale, e c'è un link.

Chiunque riceva una pensione è un bersaglio naturale per questo tipo di frode, per una ragione banale: ha un rapporto economico regolare con un ente pubblico, e quindi un messaggio da quell'ente non è di per sé sospetto. Il che rende ancora più utile conoscere i segnali.

I tre dettagli che smascherano quasi tutto

Non serve essere esperti di informatica. I messaggi fraudolenti si riconoscono guardando tre cose, in quest'ordine: chi scrive, che cosa chiede, con quanta fretta.

Qualunque messaggio che inciampi anche su uno solo dei tre va trattato come falso, indipendentemente da quanto sia convincente il resto. E non c'è nessun costo nello sbagliare per eccesso di prudenza: una comunicazione autentica è sempre recuperabile dai canali ufficiali.

Primo: chi scrive

L'indirizzo del mittente va letto per intero, non solo il nome visualizzato. Il nome mostrato è un'etichetta che si imposta liberamente: chiunque può farsi chiamare «INPS Comunicazioni».

Quello che non si può falsificare con la stessa facilità è il dominio, cioè la parte dell'indirizzo dopo la chiocciola. Gli indirizzi fraudolenti usano domini che assomigliano a quelli veri: parole aggiuntive, trattini, estensioni diverse, caratteri sostituiti. Un indirizzo che contiene la parola «inps» ma termina con un dominio qualsiasi non è un indirizzo dell'Istituto.

Lo stesso vale per i link. Su un computer basta posizionare il puntatore sul collegamento senza cliccare per vederne la destinazione reale; su un telefono si può tenere premuto per visualizzarla. La regola di lettura è una sola: conta il dominio immediatamente prima della prima barra. Tutto quello che viene dopo può essere scritto a piacere da chi ha costruito il link.

Per gli SMS il discorso è diverso e peggiore: il mittente alfanumerico di un SMS è facilmente manipolabile, e un messaggio fraudolento può comparire nella stessa conversazione di messaggi autentici ricevuti in passato. La posizione nella lista delle conversazioni non è una garanzia.

Secondo: che cosa chiede

È il criterio più solido, perché non dipende da dettagli tecnici.

Un ente pubblico che eroga una prestazione conosce già i dati necessari per pagarla. Ha il codice fiscale, ha le coordinate su cui accredita, ha la posizione contributiva. Non ha alcun motivo di chiederli via messaggio.

Quindi: qualunque messaggio che chieda di fornire, confermare, aggiornare o verificare

• un IBAN o le coordinate bancarie,
• un numero di carta, una data di scadenza o un codice di sicurezza,
• un PIN, una password o un codice ricevuto per SMS,
• le credenziali SPID, CIE o CNS,
• una copia di un documento di identità,

è fraudolento. Non «probabilmente»: lo è. Non esiste una procedura previdenziale autentica che funzioni in questo modo.

Un avvertimento particolare sui codici monouso ricevuti per SMS. Quel codice serve ad autorizzare un'operazione; comunicarlo a qualcuno equivale ad autorizzarla. Nessun operatore legittimo — né di un ente, né di una banca — lo chiede mai, in nessuna circostanza, nemmeno al telefono.

Terzo: con quanta fretta

La pressione temporale è lo strumento di lavoro della truffa. «Entro 24 ore», «ultimo avviso», «la pratica verrà annullata», «il pagamento sarà sospeso».

La fretta serve a impedire la verifica. Chi ha il tempo di controllare, controlla — e scopre. Per questo il messaggio deve far sentire che non c'è tempo.

Il contrasto con la realtà amministrativa è netto: i procedimenti pubblici hanno termini scritti, comunicazioni formali e, quasi sempre, tempi lunghi. Una scadenza di poche ore comunicata per SMS non appartiene a quel mondo.

Da sapere

Esiste una variante telefonica dello stesso schema: chiama una persona che si presenta come operatore dell'ente o della banca, conosce alcuni dati reali e per questo risulta credibile. La regola non cambia: si chiude la conversazione e si richiama il numero ufficiale trovato da sé. Nessun operatore legittimo si offende per questo.

Le varianti che circolano più spesso

Gli schemi ricorrenti sono pochi e si riconoscono per quello che promettono.

Il rimborso in attesa. Si annuncia una somma già disponibile e si chiede di indicare dove accreditarla. È la forma più comune, perché l'idea di un credito abbassa la diffidenza.

L'aumento da confermare. Sfrutta le notizie di cronaca sugli adeguamenti delle pensioni. Vale la pena ricordare un punto di fatto: l'adeguamento periodico degli importi viene applicato dall'ente secondo le regole vigenti, senza che il pensionato debba confermare o richiedere nulla. Lo spieghiamo nella guida sulla rivalutazione degli importi INPS nel 2026.

Il dato anagrafico da aggiornare. Chiede di «riallineare» la posizione per evitare la sospensione del pagamento. L'obiettivo reale sono le credenziali di accesso.

Il documento da scaricare. Un allegato che simula un cedolino o una comunicazione. Aprirlo può installare software malevolo; il file in sé è il problema, prima ancora di quello che chiede.

Quali sono i canali veri

Il principio da seguire è semplice: non si raggiunge mai un servizio pubblico passando da un link ricevuto. Si parte sempre da un indirizzo digitato a mano o da un segnalibro salvato in precedenza.

Per la propria posizione previdenziale i riferimenti sono:

• l'area riservata del sito dell'Istituto, in cui si entra con SPID, CIE o CNS;
• il cedolino della pensione, che è il documento in cui le variazioni di importo sono scritte;
• le sedi dell'Istituto e il contact center ufficiale;
• un patronato, che presta assistenza gratuita.

Un'osservazione che risolve la maggior parte dei casi: se un messaggio annuncia una variazione del pagamento, la verifica si fa aprendo il cedolino. Se lì non c'è traccia di quello che il messaggio annuncia, il messaggio è falso. Non serve nient'altro.

Se si è già cliccato

Capita, e non è una colpa. Quello che conta è la rapidità dei passi successivi.

1. Se sono stati inseriti dati bancari o di carta, contattare immediatamente la banca o l'emittente della carta per il blocco, usando il numero sul retro della carta o quello dell'applicazione ufficiale.
2. Se sono state inserite credenziali di accesso, cambiare subito la password sul servizio autentico e verificare se lo stesso accesso è usato altrove.
3. Se è stato comunicato un codice monouso, avvisare immediatamente l'istituto: potrebbe esserci un'operazione in corso.
4. Controllare i movimenti del conto nei giorni successivi e segnalare per iscritto qualunque addebito non riconosciuto.
5. Conservare il messaggio ricevuto: serve per la segnalazione e per l'eventuale denuncia.

Le segnalazioni si presentano alle forze dell'ordine — la Polizia Postale e delle Comunicazioni è la struttura competente in materia — e all'ente di cui il messaggio imitava l'identità, che raccoglie le segnalazioni di tentata frode.

In sintesi

I messaggi fraudolenti che imitano l'INPS sono tecnicamente sempre migliori, ma la loro struttura logica non cambia: devono convincere a consegnare dati che l'ente già possiede, e devono farlo in fretta.

Tre domande li fermano tutti. Chi scrive davvero, leggendo il dominio per intero. Che cosa chiede — e se chiede IBAN, carte, PIN o credenziali, è falso. Quanto tempo concede, perché l'urgenza serve a impedire il controllo.

Nel dubbio, la risposta corretta è non rispondere. Si chiude il messaggio, si entra dai canali ufficiali digitando l'indirizzo a mano e si guarda il cedolino. Se qualcosa è davvero cambiato, è scritto lì.

Avvertenza. Contenuto informativo sponsorizzato da VAV OÜ. Questa pagina non è gestita né approvata dall'INPS, dall'Agenzia delle Entrate o da altre autorità pubbliche e non costituisce comunicazione ufficiale, consulenza previdenziale, fiscale o finanziaria individuale, né promessa di pagamento. Gli importi citati sono valori lordi, medie o esempi di calcolo dichiarati come tali: l'importo che spetta a una singola persona dipende dalla sua posizione e dai dati in possesso dell'ente. Per la propria situazione fanno fede il cedolino, i canali ufficiali dell'ente o un patronato.