Alerte smishing : une arnaque INPS dopée à l’IA récupère vos pièces d’identité — êtes‑vous déjà ciblé(e) ?
Ces dernières semaines, une nouvelle vague de campagnes de smishing — phishing par SMS — cible des usagers italiens en usurpant l’identité de l’INPS (l’équivalent de notre sécurité sociale). Ce qui rend cette opération particulièrement inquiétante, c’est l’intégration d’outils d’intelligence artificielle destinés à « vérifier » automatiquement les documents fournis par les victimes. Résultat : un processus plus convaincant pour l’utilisateur et plus efficace pour les cybercriminels.
Comment se déroule l’attaque ?
Le schéma est classique dans sa première phase mais inédit dans la sophistication de la suite. Un SMS arrive sur le téléphone de la victime, soigneusement rédigé, reprenant logo et charte graphique de l’INPS, l’invitant à « vérifier ses données » pour continuer à bénéficier des services. Le lien contenu dans le message mène vers un site factice construit pour ressembler à s’y méprendre au portail officiel.
La procédure de saisie demandée est détaillée et progressive : informations personnelles (nom, prénom, numéro de téléphone), données professionnelles (employeur, type de contrat, date d’embauche), coordonnées bancaires (IBAN) puis, et c’est ici que la campagne franchit un palier, le téléchargement d’images de trois documents d’identité : carte d’identité, code fiscal et permis de conduire. On peut aussi être incité à fournir des bulletins de paie, un CUD et même un selfie « pour vérification ». Chaque étape est pensée pour rassurer : instructions claires, progression visible, faux messages de validation…
Où intervient l’intelligence artificielle ?
Selon les analyses du CERT‑AgID (le CERT italien), le site frauduleux intègre un module d’IA qui « reconnaît » et classe le type de document soumis. Concrètement, l’IA agit comme un filtre automatique : lorsqu’un utilisateur télécharge une photo, le système la valide (ou la refuse) en détectant, par exemple, une carte d’identification ou un permis. Cette validation factice remplit deux objectifs pour les fraudeurs :
Les experts notent toutefois que ces assistants visuels ne sont pas parfaits : dans certains cas, un fac‑similé de carte d’identité a été accepté. Cela indique que l’IA utilisée est basique mais suffisante pour améliorer le rendement des campagnes de fraude à grande échelle.
Quels sont les risques pour les victimes ?
Les conséquences sont potentiellement lourdes. Avec les données collectées (identité, coordonnées bancaires, bulletins de salaire, selfies), les cybercriminels peuvent :
Par ailleurs, la combinaison documents officiels + selfie facilite le contournement des protections biométriques ou des contrôles « anti‑fraude » utilisés par certains services bancaires et administratifs.
Pourquoi le smishing est‑il si efficace ?
Plusieurs facteurs expliquent l’efficacité du canal SMS :
Que recommandent les autorités ?
Le CERT‑AgID a signalé et demandé la fermeture des domaines identifiés ; INPS a été informé. Mais la réponse institutionnelle ne suffit pas : la prévention et la vigilance individuelles restent cruciales. Voici quelques conseils pratiques et concrets à appliquer immédiatement :
Que faire si vous avez déjà téléchargé vos documents ?
En cas d’erreur, réagissez vite :
Que nous enseigne cette campagne ?
La recette moderne des attaques combine ingénierie sociale et outils automatisés. L’IA, loin d’être réservée aux seuls bienfaits, devient un multiplicateur d’efficacité pour la fraude. Les institutions publiques et privées doivent renforcer la sécurité de leurs canaux et la communication envers les usagers : expliquer clairement que, par exemple, l’INPS ne demandera jamais certains documents via un simple SMS ou qu’un lien contenant un domaine non‑officiel est suspect.
Enfin, la réponse doit être collective : opérateurs télécoms plus actifs sur le filtrage, autorités qui ferment rapidement les domaines frauduleux, et surtout une éducation continue du public sur les signaux d’alerte. Sans cette approche globale, les campagnes de smishing dopées à l’IA risquent de se répéter et de devenir encore plus rentables pour les cybercriminels.
