Lucia, 67 anni, pensionata di Torino, stava preparando il pranzo quando il telefono ha vibrato. «INPS: le spettano 715,00 euro di rimborso contributi. Aggiorni i suoi dati entro oggi per ricevere l’accredito:» seguito da un link. Il mittente? “INPS”, scritto proprio così, in maiuscolo. Nessun errore di ortografia, nessun tono minaccioso. Sembrava vero.
Lucia ha cliccato. La pagina che si è aperta somigliava in tutto e per tutto al portale dell’istituto: logo blu, menu, persino la scritta “Area riservata”. Ha inserito nome, codice fiscale, IBAN e, quando il sito glielo ha chiesto, i codici arrivati via SMS dalla sua banca per “completare l’autorizzazione”. In venti minuti i truffatori avevano tutto ciò che serviva per svuotarle il conto e, peggio ancora, per attivare a suo nome uno SPID che avrebbero usato per chiedere prestiti.
Quella di Lucia è una truffa SMS INPS, lo smishing (phishing via SMS) che sfrutta il nome dell’Istituto Nazionale di Previdenza Sociale. Le campagne tornano ciclicamente — rimborsi, bonus, “ricalcoli” dei contributi — e negli ultimi mesi, secondo diverse segnalazioni, i messaggi sono diventati ancora più credibili grazie a testi scritti in un italiano perfetto e a pagine clone curate nei minimi dettagli. La buona notizia è che esiste una regola semplicissima che smaschera il 100% di questi messaggi.
La risposta breve: se un SMS a nome INPS contiene un link su cui cliccare per ricevere un rimborso, aggiornare dati o pagare qualcosa, è sempre una truffa. L’INPS non invia mai SMS con collegamenti cliccabili per rimborsi, pagamenti o verifiche di dati personali, e non chiede mai documenti, credenziali SPID o dati bancari via SMS, email o telefono. Cancella il messaggio e verifica tutto solo su www.inps.it, digitato a mano nel browser.
La regola d’oro: cosa dichiara l’INPS nel suo vademecum antitruffe
L’INPS ha pubblicato un vademecum ufficiale “Attenzione alle truffe” che elenca, in modo secco, cosa l’istituto non fa mai. Imparalo a memoria, perché è il tuo scudo:
- Non invia SMS o email con link su cui cliccare per ricevere rimborsi.
- Non chiede documenti via email o telefono.
- Non invia personale a casa per accertamenti o verifiche.
- Non chiede dati bancari via email o SMS.
- Gli unici SMS ufficiali hanno funzione puramente informativa e non contengono link cliccabili: ti invitano solo a consultare da solo la tua area riservata MyINPS.
L’unico dominio istituzionale è www.inps.it; le pagine vere appartengono a inps.it o a suoi sottodomini (indirizzi che terminano con .inps.it). Attenzione: la presenza della parola “INPS” nell’indirizzo non prova nulla — i truffatori registrano domini come “insp”, “inps-rimborso” o “inps-verifica” — e il lucchetto del browser indica solo che la connessione è cifrata, non che il sito sia autentico.
Il messaggio promette contro la realtà: tabella di confronto
Confronta tu stesso quello che promettono i messaggi fraudolenti con come si comporta davvero l’INPS. È l’esercizio più utile che puoi fare:
| Cosa dice il messaggio truffa | La realtà |
|---|---|
| “Ti spettano 715 euro di rimborso, clicca qui entro oggi” | L’INPS non comunica rimborsi via SMS con link. Gli importi reali si vedono solo in MyINPS. |
| “Aggiorna i tuoi dati SPID per non perdere la pensione” | Nessun ente pubblico chiede credenziali SPID via messaggio. Lo SPID si gestisce solo sui canali ufficiali. |
| “Bonus INPS da 600 euro, conferma la tua carta per l’accredito” | L’INPS non chiede mai numero di carta, scadenza e CVV via SMS o email. |
| “Chiama subito questo numero per regolarizzare la posizione” | L’INPS non invita a chiamare numeri indicati in un SMS. Il Contact Center ufficiale è 803 164 da fisso e 06 164 164 da cellulare. |
| Il link porta a una pagina identica al sito INPS | Il dominio vero termina con .inps.it. Controlla sempre la barra degli indirizzi, carattere per carattere. |
Come funziona la truffa SMS INPS, passo per passo
Fase 1: l’esca. Ricevi un SMS dal mittente “INPS” (il nome del mittente si può falsificare: si chiama spoofing e non prova l’autenticità). Il testo parla di un rimborso, un bonus o un “ricalcolo dei contributi fiscali”, e crea urgenza: “entro oggi”, “ultimo avviso”, “la pratica verrà chiusa”.
Fase 2: il clic. Il link apre una pagina clone del portale INPS, spesso curatissima. Secondo le analisi delle recenti campagne, la procedura truffa si svolge in tre atti: prima ti chiedono i dati anagrafici completi (nome, cognome, codice fiscale, data di nascita, indirizzo, email, telefono); poi i dati della carta (intestatario, numero, scadenza, CVV); infine compare una finta schermata di “Autorizzazione Bancaria 3D Secure” che ti invita ad approvare una notifica sull’app della tua banca. Quell’approvazione, in realtà, autorizza un pagamento ai truffatori.
Fase 3: il furto. Con i tuoi dati in mano, i criminali possono svuotare il conto, ma il danno non finisce qui. L’INPS stessa avverte: con quei dati possono attivare uno SPID a tuo nome, accedere ai servizi pubblici online, richiedere prestiti o finanziamenti, aprire conti correnti fraudolenti. Stanno rubando la tua identità digitale, non solo i tuoi soldi.
Fase 4: il silenzio. Il sito clone sparisce o smette di rispondere. Il rimborso, ovviamente, non è mai esistito.
Come riconoscere una truffa SMS INPS in dieci secondi
Sette segnali. Se ne trovi anche uno solo, il messaggio va cestinato:
- C’è un link cliccabile. È il segnale numero uno. SMS ufficiali INPS = informativi, senza link.
- Ti chiedono dati personali o bancari. L’INPS non lo fa mai via SMS.
- C’è fretta. “Entro oggi”, “ultima chiamata”, “la tua pratica scade”. L’urgenza serve a farti agire prima di ragionare.
- Promettono soldi facili. Rimborsi e bonus “a sorpresa” che non hai mai richiesto non esistono.
- Il dominio del link è strano. Controlla l’indirizzo: se non termina con .inps.it, è falso.
- Ti invitano a chiamare un numero. I numeri indicati nei messaggi truffa non sono dell’INPS.
- Il messaggio è generico. “Gentile cliente”, nessun nome, nessun riferimento alla tua posizione reale.
Un giudizio pratico: il singolo segnale più affidabile è il primo. Link nell’SMS = truffa, sempre. Non serve analizzare altro. Questo tipo di attacco si chiama smishing, il phishing via SMS: se vuoi capire come funziona in generale, leggi la nostra guida allo smishing e ai falsi messaggi di testo.
Come verificare se il messaggio è autentico: 4 mosse
- Non toccare il link. Non cliccarlo, non inoltrarlo, non rispondere all’SMS.
- Apri da solo il sito ufficiale. Digita a mano www.inps.it nella barra del browser (mai usare il link del messaggio) e accedi a MyINPS con SPID o CIE. Se esiste davvero un rimborso, una comunicazione o una pratica a tuo nome, la troverai lì. Se non c’è nulla, il messaggio era falso.
- Confronta con gli esempi ufficiali. Il vademecum antitruffe dell’INPS mostra i modelli di truffa in circolazione: confronta il tuo messaggio con quelli.
- Chiama solo i numeri ufficiali. In caso di dubbio, contatta il Contact Center INPS — 803 164 da telefono fisso, 06 164 164 da cellulare — oppure usa l’app ufficiale INPS. Mai i recapiti scritti nel messaggio sospetto.
Hai già cliccato sul link? Cosa fare subito
Niente panico, ma agisci in fretta. L’ordine conta:
- Hai solo aperto il link, senza inserire dati? Chiudi la pagina, cancella il messaggio, non hai corso rischi concreti. Sei a posto.
- Hai inserito i dati della carta? Chiama subito la tua banca tramite i canali ufficiali e chiedi il blocco della carta; controlla i movimenti degli ultimi giorni e contesta quelli che non riconosci.
- Hai inserito credenziali SPID o dati personali? Contatta il tuo gestore di identità SPID per revocare o sospendere le credenziali, cambia le password, e tieni d’occhio la tua area MyINPS per attività anomale.
- Hai approvato una notifica sull’app della banca? Dillo subito alla banca: potrebbe trattarsi di un pagamento già autorizzato ai truffatori, e prima lo segnali, più possibilità hai di bloccarlo.
- In tutti i casi, segnala il messaggio alla Polizia Postale (vedi sotto): anche se non hai perso soldi, la tua segnalazione aiuta a bloccare la campagna.
Non vergognarti di aver cliccato: queste campagne sono costruite da professionisti per ingannare chiunque, e i messaggi recenti — scritti in italiano perfetto anche grazie all’intelligenza artificiale — sono più convincenti che mai. Per un quadro completo su come comportarti con qualsiasi SMS sospetto, vedi anche la nostra guida su come segnalare un messaggio truffa.
Come segnalare la truffa: guida passo passo
Segnalare serve, e in Italia il canale giusto è la Polizia Postale. Ecco come fare, dal più veloce al più formale:
- Conserva le prove. Prima di cancellare l’SMS, fai uno screenshot che mostri il testo completo, il mittente e il link. Annota data e ora di ricezione.
- Segnala online al Commissariato di PS. Vai su www.commissariatodips.it (il Commissariato di Pubblica Sicurezza online della Polizia Postale): trovi gli avvisi sulle truffe in circolazione e il modulo per segnalare il messaggio sospetto e sporgere denuncia.
- Inoltra il messaggio al CERT-AGID. Puoi inviare l’SMS originale all’indirizzo malware@cert-agid.gov.it, conservando testo completo e link: serve all’Agenzia per la Cybersicurezza Nazionale per tracciare le campagne.
- Avvisa chi ti sta intorno. Genitori, nonni, colleghi: i truffatori colpiscono soprattutto gli over 65. Uno screenshot (con il link oscurato o non cliccabile) vale più di mille spiegazioni.
- Blocca il mittente sul telefono e poi cancella il messaggio.
Sources
- INPS, “Vademecum — Attenzione alle truffe” (portale ufficiale) — https://www.inps.it/it/it/inps-comunica/dossier/vademecum-antitruffe/vademecum.html
- Chiedilo a Massimo, “Truffe INPS via SMS: ora usano anche l’intelligenza artificiale” (ottobre 2026) — https://chiediloamassimo.it/truffe-inps-sms-intelligenza-artificiale/
- Guadagnare a Casa, “Attenzione al falso rimborso INPS da 730 euro” (27 agosto 2026) — https://www.guadagnareacasa.com/2026/08/27/falso-rimborso-inps-730-euro-truffa/
- Start Think Magazine, “SMS truffa sulla Tessera Sanitaria dal mittente «Ssn»: cosa fare e cosa non fare” (ottobre 2026) — https://starthinkmagazine.it/come-fare/sms-truffa-tessera-sanitaria/
- Commissariato di P.S. Online — Polizia Postale e delle Comunicazioni — https://www.commissariatodips.it/
Ultima revisione: ottobre 2026
Questo articolo è solo a scopo educativo e non costituisce consulenza finanziaria o legale.
Pingback: Smishing Explained: How to Spot Fake Bank and Delivery Texts - Warn Scams