Il nome dell'INPS è di nuovo tra i più sfruttati dai truffatori. L'11 novembre 2026 il CERT-AgID ha analizzato, insieme all'Istituto, un falso sito INPS diffuso via SMS che invita a scaricare una presunta app "INPS Mobile" per Android, con le istruzioni per installarla al di fuori del Play Store. Al momento dell'analisi il download era solo simulato, ma il sito era già predisposto per distribuire un'app malevola, come era successo in passato con altre campagne a tema INPS. Nella stessa settimana il CERT-AgID ha contato altre campagne di phishing che usano il nome dell'INPS per chiedere una "verifica" dei dati. Questa guida spiega come riconoscere questi messaggi, come installare in sicurezza l'app vera e cosa fare subito se hai già scaricato il file o inserito i tuoi documenti.
Vale per: smartphone Android (la falsa app è un file APK), con indicazioni valide anche per iPhone e per gli SMS e le email a nome INPS — Difficoltà: facile — Tempo: 5 minuti per i controlli, 30-60 minuti per mettere in sicurezza account e documenti se sei già caduto nella truffa.
Come riconoscerla
La regola di base viene dall'INPS stesso: l'Istituto non invia SMS o email con link su cui cliccare per ricevere rimborsi, non chiede documenti via email o telefono e non chiede dati bancari via email o SMS. L'app ufficiale INPS Mobile si installa solo dagli store ufficiali, quindi un messaggio che ti porta a scaricare un file da un sito è sempre da considerare falso. I segnali da riconoscere:
- Un SMS con un link che parla di profilo da aggiornare, prestazione sospesa, rimborso da incassare, dichiarazione mancante o "verifica" urgente, a volte con minacce di sanzioni.
- Un indirizzo che non è quello dell'INPS. I siti ufficiali terminano con .inps.it. Nel caso analizzato dal CERT-AgID il dominio, registrato da appena due giorni, univa la sigla INPS a una parola inglese: un nome che sembra credibile ma non appartiene all'Istituto.
- La richiesta di scaricare un file con estensione .apk (il formato delle app Android) e di attivare l'installazione da "origini sconosciute" o "app sconosciute". È il segnale più chiaro: un'app vera non ti chiede mai di aggirare il Play Store.
- Testi in inglese o curati a metà, menu che non funzionano, barre di download con percentuali che scorrono in modo strano.
- La richiesta di caricare documenti: carta d'identità fronte e retro, tessera sanitaria, patente, buste paga, un selfie con il documento o un breve video in cui si muove la testa. Secondo il CERT-AgID questo materiale serve soprattutto a tentare di attivare uno SPID a nome della vittima.
Cosa fare
- Non toccare il link e non rispondere all'SMS.
- Se devi controllare la tua posizione INPS, digita tu nel browser l'indirizzo www.inps.it e accedi con SPID, CIE o CNS, oppure apri l'app INPS Mobile se l'hai già installata dagli store ufficiali.
- Se non hai l'app e vuoi installarla, cercala tu nel Google Play Store (Android) o nell'App Store (iPhone): non usare mai un link ricevuto per messaggio.
- Controlla che sul telefono sia attivo Google Play Protect: apri l'app Google Play Store, tocca l'icona del profilo in alto a destra, poi Play Protect e l'icona Impostazioni, e verifica che l'opzione Analizza le app con Play Protect sia attiva. Google raccomanda di tenerla sempre accesa.
- Se hai dubbi sul messaggio, chiama il Contact Center INPS al 803.164 da rete fissa o al 06.164.164 da cellulare.
- Segnala il messaggio: il CERT-AgID accetta le segnalazioni all'indirizzo
Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. , e puoi fare una segnalazione anche alla Polizia Postale dal portale Commissariato di P.S. Online. Poi cancella l'SMS e blocca il mittente.
Se hai già cliccato o risposto
Aprire la pagina senza scaricare nulla e senza inserire dati di solito non causa danni: chiudila e cancella il messaggio. Negli altri casi agisci subito, in base a cosa hai fatto.
Se hai scaricato o installato il file APK
- Metti il telefono in modalità aereo, così l'eventuale app malevola non può comunicare con l'esterno, e non usare quel telefono per home banking, pagamenti o SPID finché non è stato controllato.
- Se il file è solo scaricato ma non installato, eliminalo dalla cartella dei download.
- Se l'hai installato, cerca l'app nell'elenco delle applicazioni (in Impostazioni > App) e disinstallala. Se Play Protect ti mostra un avviso sull'app, tocca la notifica e poi Disinstalla.
- Togli il permesso di installare app sconosciute che avevi concesso al browser o al gestore file. Il percorso cambia da un modello all'altro; su Android standard è Impostazioni > App > Accesso speciale alle app > Installa app sconosciute. In alternativa scrivi "app sconosciute" nella barra di ricerca delle Impostazioni.
- Da un altro dispositivo sicuro cambia le password della posta elettronica, dell'home banking e del tuo SPID, e avvisa la banca: chiedi di controllare i movimenti e, se serve, di bloccare carte e accessi online.
- Fai controllare il telefono da un tecnico se l'app non si lascia disinstallare, se hai concesso permessi di accessibilità o di amministrazione del dispositivo, o se noti comportamenti strani. Nei casi più gravi la soluzione è il ripristino ai dati di fabbrica, dopo aver salvato foto e documenti: è un intervento che cancella tutto il telefono, quindi va valutato con calma.
Se hai inserito dati o caricato documenti sul sito falso
- Sporgi denuncia per furto di dati personali presso un ufficio della Polizia Postale o di altre forze di polizia, portando l'SMS ricevuto e l'elenco di cosa hai inviato. Puoi anche fare una segnalazione online dal portale Commissariato di P.S. Online.
- Se hai inserito l'IBAN o i dati della carta, chiama subito la tua banca per bloccare la carta e far controllare le operazioni.
- Controlla nei mesi successivi che pensione, stipendio o altre prestazioni pubbliche arrivino regolarmente sul tuo conto: il CERT-AgID avverte che chi ruba i documenti può tentare di cambiare l'IBAN su cui vengono pagate.
- Se sospetti che sia stato attivato uno SPID a tuo nome, contatta i gestori di identità digitale (gli identity provider elencati sul sito ufficiale SPID): secondo il CERT-AgID oggi non esiste una verifica centralizzata, quindi va chiesto a ciascun gestore.
- Diffida delle chiamate successive di finti operatori INPS, della banca o delle forze dell'ordine che promettono di "sistemare la pratica": l'INPS ricorda che non chiede dati personali o bancari per telefono.
Buone pratiche
- Installa le app di INPS, banche e servizi pubblici solo da Google Play Store o App Store, cercandole tu per nome.
- Lascia sempre spento il permesso "Installa app sconosciute" per browser, WhatsApp e gestori di file: se un giorno serve davvero, attivalo e poi disattivalo subito.
- Per qualsiasi comunicazione INPS parti dal sito www.inps.it o dall'app ufficiale, mai da un link ricevuto.
- Non inviare mai foto di documenti o selfie con il documento in risposta a un messaggio: nessun ente pubblico li chiede così.
- Parla di questa truffa con genitori e parenti anziani, che sono i destinatari più frequenti dei messaggi su pensioni e prestazioni.
Il commento di PINET
Rispetto al classico SMS con il link a un modulo, la falsa app è più pericolosa perché non si limita a rubare quello che scrivi: una volta installata può restare sul telefono e lavorare in silenzio. Il passaggio decisivo è sempre lo stesso, ed è quello in cui la persona attiva da sola l'installazione da origini sconosciute seguendo le istruzioni del sito: se ci si ferma lì, il danno non avviene. Quando invece l'app è stata installata, disinstallarla in fretta non basta a stare tranquilli, perché queste app spesso chiedono permessi che ne rendono difficile la rimozione: in quel caso conviene farsi aiutare prima di tornare a usare il telefono per banca e SPID. Lo stesso schema della fretta indotta da un messaggio lo abbiamo visto nella falsa multa SEND, oggi il tema di phishing più diffuso in Italia.
Hai installato un'app sospetta o non sei sicuro che il tuo telefono sia pulito? I tecnici di PINET possono fare l'intervento al posto tuo, anche a distanza con l'assistenza remota. Chiama lo 0131 263767 oppure scrivici dalla pagina Contattaci.
Fonti: CERT-AgID, Falso sito INPS in allestimento per futura distribuzione di APK malevolo; CERT-AgID, Sintesi riepilogativa delle campagne malevole nella settimana del 7-13 novembre; CERT-AgID, Smishing a tema INPS: come comportarsi in caso di furto dei dati; INPS, Vademecum antitruffe; Guida di Google Play, Usa Google Play Protect per proteggere le app; Polizia Postale, Commissariato di P.S. Online.
