Tech Flash Daily (12 novembre 2026): un falso sito INPS prepara un'app trappola per Android, occhio agli SMS

Admin - 12 Novembre 2026 - Tempo di lettura: 8 minuti

Oggi la notizia che ci tocca più da vicino è una truffa ancora in costruzione: un sito clone dell'INPS che invita a scaricare una finta app. Intanto l'Unione europea presenta le nuove regole contro le trappole online, dagli abbonamenti impossibili da disdire ai bottini a pagamento nei videogiochi. Chiudiamo con due aggiornamenti da non rimandare e con una ricerca che mostra come si nasconde una "porta segreta" dentro un modello di intelligenza artificiale.

Avvisi di sicurezza

• Google Chrome, CVE-2026-125350 (CVSS 8.8, sfruttata attivamente): errore di memoria nel componente che legge i file XML. Aggiornare a Chrome 157.0.8103.50/.51 su Windows e Mac, 157.0.8103.50 su Linux e Android. È l'ottavo zero-day di Chrome del 2026 (The Hacker News, Malwarebytes).
• Microsoft Outlook, CVE-2026-124194 (sfruttata attivamente, inserita nel catalogo CISA KEV): un messaggio preparato ad arte fa collegare Outlook a un server dell'attaccante senza il solito avviso sui contenuti esterni. Corretta con il Patch Tuesday del 10 novembre, che conta circa 1.090 vulnerabilità (CyberScoop).
• Aziende – Windows Search e LDAP: nello stesso Patch Tuesday, una falla di Windows Search raggiungibile tramite Exchange Server senza clic dell'utente e una falla LDAP da 9.8 pericolosa per i domain controller. Priorità alta per chi gestisce server (CyberScoop).

Occhio alla truffa

Finto allarme Nexi via SMS e telefono. La Polizia Postale segnala una nuova campagna: un SMS parla di un pagamento sospetto di importo elevato e invita a chiamare con urgenza un numero. Al telefono risponde un finto operatore che chiede credenziali, PIN, dati della carta e soprattutto i codici OTP (La Voce di Asti).

Multe false a raffica. Nella settimana dal 31 ottobre al 6 novembre il CERT-AgID ha contato 98 campagne di phishing a tema multe (erano 25 la settimana prima): 87 usano il nome di SEND, 8 quello di pagoPA (Diario FVG).

Cosa fare subito

• Non chiamare i numeri scritti negli SMS e non aprire i link: controlla i movimenti solo nell'app ufficiale della banca o di Nexi.
• Nessun operatore vero ti chiede PIN, password o codici OTP, né di installare app "di sicurezza".
• Le multe si verificano solo sull'app IO, su SEND o presso l'ente che le ha emesse.
• Se hai già dato dati della carta: bloccala subito chiamando la banca e denuncia alla Polizia Postale (Commissariato di P.S. Online).

Un falso sito INPS prepara un'app trappola per Android

L'11 novembre il CERT-AgID ha scoperto un sito che copia nome e grafica dell'INPS e propone di scaricare una presunta app "INPS Mobile" per Android. Per installarla chiede di abilitare l'installazione da fonti sconosciute, un'impostazione che di solito protegge il telefono. Il link arriva via SMS e il dominio era stato registrato appena due giorni prima. Al momento della verifica il file scaricato era un segnaposto non funzionante: il sito è ancora in allestimento. Il CERT-AgID però si aspetta che venga presto sostituito da un vero malware, come già successo in passato con campagne a tema INPS, e ha chiesto la chiusura del dominio.

Perché conta: l'INPS non distribuisce app tramite link negli SMS. Le app ufficiali si scaricano solo da Google Play o App Store.

Fonte: CERT-AgID

L'UE presenta il Digital Fairness Act: stop alle trappole online

L'11 novembre la Commissione europea ha presentato la proposta di Digital Fairness Act, guidata dal commissario Michael McGrath. Ogni abbonamento online dovrà avere un pulsante chiaro per disdire, e una prova gratuita non potrà trasformarsi in abbonamento a pagamento senza un consenso esplicito. Arriva una lista nera di "dark pattern", i trucchi grafici che spingono a scelte non volute: finte scorte in esaurimento, extra già spuntati, richieste insistenti. Per i minori sono previsti limiti a loot box e meccaniche pay-to-win nei videogiochi. Le multe potranno arrivare al 6% del fatturato mondiale. Ora la proposta passa a Parlamento europeo e Consiglio, e il testo può ancora cambiare.

Perché conta: sono regole pensate per chi compra e si abbona online ogni giorno, ma non sono ancora in vigore.

Fonti: Euronews, Analytics Insight

NAS Synology: corrette falle critiche, aggiornate il DSM

Il 10 novembre Synology ha pubblicato due bollettini per il sistema DSM dei suoi NAS, i dischi di rete usati in casa e in ufficio per backup e foto. La falla più grave, CVE-2026-76954 (CVSS 9.8), riguarda l'autenticazione e può permettere di leggere o scrivere file. Un'altra, CVE-2026-85101 (8.6), aggira l'autenticazione di rsync. Non sono segnalati attacchi in corso, ma a fine ottobre il ransomware C3RB3R ha già colpito NAS Synology non aggiornati. Le versioni corrette sono 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 e 7.4.1-90080-1.

Perché conta: un NAS spesso contiene l'unica copia di foto e documenti di famiglia.

Fonti: DiarioDelWeb, The Hacker News

Ricerca Microsoft: "agenti dormienti" nascosti nei modelli di IA

I ricercatori di Microsoft hanno mostrato che modificando meno di 10 "neuroni" di un modello di intelligenza artificiale si può trasformarlo in un agente dormiente. Il modello supera i normali test, ma quando nel testo compare una parola chiave esegue il comando scelto da chi l'ha manomesso, con tutti i permessi che ha. Microsoft dice di non aver visto attacchi reali e propone difese: confrontare ogni modello con la versione originale dichiarata, verificare chi l'ha pubblicato, dare agli agenti il minimo dei permessi e chiedere conferma umana per le azioni rischiose.

Perché conta: è ricerca difensiva utile a chi usa modelli scaricati da terzi, soprattutto in azienda.

Fonte: Microsoft Security Blog

Il consiglio di oggi richiede due minuti: apri le impostazioni di sicurezza del tuo Android e controlla che l'installazione di app da fonti sconosciute sia disattivata per browser e app di messaggistica. Poi aggiorna Chrome e, se hai un NAS in casa, il suo sistema. E voi: vi è mai capitato di non riuscire a disdire un abbonamento online? Raccontatecelo nei commenti.