Alerte smishing : une arnaque INPS dopée à l’IA récupère vos pièces d’identité — êtes‑vous déjà ciblé(e) ?

Ces dernières semaines, une nouvelle vague de campagnes de smishing — phishing par SMS — cible des usagers italiens en usurpant l’identité de l’INPS (l’équivalent de notre sécurité sociale). Ce qui rend cette opération particulièrement inquiétante, c’est l’intégration d’outils d’intelligence artificielle destinés à « vérifier » automatiquement les documents fournis par les victimes. Résultat : un processus plus convaincant pour l’utilisateur et plus efficace pour les cybercriminels.

Comment se déroule l’attaque ?

Le schéma est classique dans sa première phase mais inédit dans la sophistication de la suite. Un SMS arrive sur le téléphone de la victime, soigneusement rédigé, reprenant logo et charte graphique de l’INPS, l’invitant à « vérifier ses données » pour continuer à bénéficier des services. Le lien contenu dans le message mène vers un site factice construit pour ressembler à s’y méprendre au portail officiel.

La procédure de saisie demandée est détaillée et progressive : informations personnelles (nom, prénom, numéro de téléphone), données professionnelles (employeur, type de contrat, date d’embauche), coordonnées bancaires (IBAN) puis, et c’est ici que la campagne franchit un palier, le téléchargement d’images de trois documents d’identité : carte d’identité, code fiscal et permis de conduire. On peut aussi être incité à fournir des bulletins de paie, un CUD et même un selfie « pour vérification ». Chaque étape est pensée pour rassurer : instructions claires, progression visible, faux messages de validation…

Où intervient l’intelligence artificielle ?

Selon les analyses du CERT‑AgID (le CERT italien), le site frauduleux intègre un module d’IA qui « reconnaît » et classe le type de document soumis. Concrètement, l’IA agit comme un filtre automatique : lorsqu’un utilisateur télécharge une photo, le système la valide (ou la refuse) en détectant, par exemple, une carte d’identification ou un permis. Cette validation factice remplit deux objectifs pour les fraudeurs :

Renforcer la crédibilité du site : si l’IA indique que le document est « valide », la victime se sent rassurée et poursuit la procédure.

Automatiser et accélérer la collecte : l’IA trie les images et flagge celles qui semblent exploitables, permettant aux attaquants de filtrer rapidement les cibles intéressantes.

Les experts notent toutefois que ces assistants visuels ne sont pas parfaits : dans certains cas, un fac‑similé de carte d’identité a été accepté. Cela indique que l’IA utilisée est basique mais suffisante pour améliorer le rendement des campagnes de fraude à grande échelle.

Quels sont les risques pour les victimes ?

Les conséquences sont potentiellement lourdes. Avec les données collectées (identité, coordonnées bancaires, bulletins de salaire, selfies), les cybercriminels peuvent :

Monter des usurpations d’identité complètes : ouvrir des comptes, contracter des crédits, souscrire des abonnements au nom de la victime.

Lancer des attaques ciblées de social engineering ou des escroqueries par virement (« business email compromise ») en usurpant la crédibilité des documents récupérés.

Vendre les dossiers sur des marchés illégaux : les données personnelles et financières validées valent très cher.

Par ailleurs, la combinaison documents officiels + selfie facilite le contournement des protections biométriques ou des contrôles « anti‑fraude » utilisés par certains services bancaires et administratifs.

Pourquoi le smishing est‑il si efficace ?

Plusieurs facteurs expliquent l’efficacité du canal SMS :

La confiance perceptible : les utilisateurs font davantage confiance à un message reçu sur leur téléphone, perçu comme plus personnel qu’un e‑mail.

Les contrôles moindres : les opérateurs et systèmes de filtrage SMS sont moins stricts que pour les courriels, laissant circuler davantage de liens malveillants.

L’immédiateté : un SMS suscite une réaction rapide, et la peur de perdre un service pousse parfois à agir sans vérifier.

Que recommandent les autorités ?

Le CERT‑AgID a signalé et demandé la fermeture des domaines identifiés ; INPS a été informé. Mais la réponse institutionnelle ne suffit pas : la prévention et la vigilance individuelles restent cruciales. Voici quelques conseils pratiques et concrets à appliquer immédiatement :

Ne cliquez jamais sur un lien reçu par SMS sans vérifier la source : contactez l’organisme officiel via son site connu ou par téléphone.

Exigez la double vérification : si un service administratif demande des documents sensibles, préférez les canaux officiels et sécurisés (espace personnel authentifié, guichet physique).

Méfiez‑vous des demandes d’images de documents et de selfies : les administrations disposent rarement de procédures qui demandent simultanément IBAN, bulletins de paie et photos d’identité via un simple lien SMS.

Activez des alertes bancaires et surveillez vos comptes : toute opération suspecte doit être signalée immédiatement à votre banque.

Signalez les SMS frauduleux aux autorités compétentes et bloquez les numéros suspects.

Que faire si vous avez déjà téléchargé vos documents ?

En cas d’erreur, réagissez vite :

Changez immédiatement les mots de passe des comptes potentiellement concernés et activez l’authentification à deux facteurs si possible.

Contactez votre banque pour signaler la compromission et demander une surveillance renforcée ou le blocage préventif des prélèvements.

Signalez le vol d’identité auprès des autorités et demandez la mise sous surveillance de votre dossier fiscal/social si disponible.

Pensez à un service de protection d’identité ou de surveillance du dark web si vos données sensibles ont été exposées.

Que nous enseigne cette campagne ?

La recette moderne des attaques combine ingénierie sociale et outils automatisés. L’IA, loin d’être réservée aux seuls bienfaits, devient un multiplicateur d’efficacité pour la fraude. Les institutions publiques et privées doivent renforcer la sécurité de leurs canaux et la communication envers les usagers : expliquer clairement que, par exemple, l’INPS ne demandera jamais certains documents via un simple SMS ou qu’un lien contenant un domaine non‑officiel est suspect.

Enfin, la réponse doit être collective : opérateurs télécoms plus actifs sur le filtrage, autorités qui ferment rapidement les domaines frauduleux, et surtout une éducation continue du public sur les signaux d’alerte. Sans cette approche globale, les campagnes de smishing dopées à l’IA risquent de se répéter et de devenir encore plus rentables pour les cybercriminels.