Truffa Agenzia delle Entrate falso rimborso è l’allarme lanciato direttamente dall’Agenzia delle Entrate nelle scorse settimane: una nuova campagna di phishing sta usando indebitamente il nome e il logo dell’ente per convincere i contribuenti italiani a cliccare su link fraudolenti, promettendo un accredito che in realtà non esiste. Il meccanismo è collaudato e proprio per questo pericoloso: sfrutta la fiducia che i cittadini ripongono nelle comunicazioni ufficiali del Fisco.
L’Agenzia delle Entrate ha segnalato una nuova ondata di email di phishing che promettono falsi rimborsi fiscali, con link a pagine che imitano il portale ufficiale per rubare credenziali e dati bancari. Vediamo come funziona la truffa, i segnali per riconoscerla e cosa fare se hai già cliccato su uno di questi link.
Indice
- Come funziona la truffa del falso rimborso
- I segnali che devono insospettirti
- Cosa fa davvero l’Agenzia delle Entrate
- Tre varianti della stessa truffa
- Cosa fare se hai ricevuto il messaggio o hai già cliccato
- Domande frequenti
Come funziona la truffa del falso rimborso
Il contribuente riceve una email che, nell’aspetto, riproduce fedelmente lo stile delle comunicazioni ufficiali dell’Agenzia delle Entrate: stesso logo, stessi colori, un linguaggio burocratico credibile. Il testo annuncia la disponibilità di un rimborso fiscale — a volte generico, altre volte legato a presunte differenze nei versamenti o a conguagli mai richiesti — e invita a cliccare su un link per “confermare i dati” e ricevere l’accredito.
Il link porta a una pagina web che imita accuratamente il portale reale dell’Agenzia, con tanto di area di login identica a quella ufficiale. Chi inserisce le proprie credenziali SPID, CIE o le coordinate bancarie in questa pagina sta, di fatto, consegnandole direttamente ai truffatori, che possono poi usarle per accedere al cassetto fiscale reale della vittima o, nei casi più gravi, tentare operazioni bancarie non autorizzate.
I segnali che devono insospettirti
Il primo segnale, e il più affidabile in assoluto, riguarda il canale: l’Agenzia delle Entrate non comunica mai rimborsi o richieste di dati sensibili tramite email, SMS o messaggi su WhatsApp. Le comunicazioni ufficiali arrivano tramite posta ordinaria, PEC (per chi ne possiede una registrata) o sono consultabili direttamente nell’area riservata del sito, mai tramite un link ricevuto via email che chiede di “confermare” qualcosa con urgenza.
Il secondo segnale è l’indirizzo del mittente: anche se il nome visualizzato può sembrare ufficiale, l’indirizzo email reale spesso appartiene a domini completamente estranei all’amministrazione pubblica — un dettaglio verificabile toccando o passando il mouse sul nome del mittente prima di aprire qualsiasi allegato o link. Il terzo è la richiesta di dati: nessuna comunicazione fiscale legittima chiede di inserire password, PIN o coordinate bancarie complete cliccando su un link esterno. Il quarto, più sottile, è la url della pagina di destinazione: il sito ufficiale dell’Agenzia delle Entrate è sempre raggiungibile solo tramite il dominio agenziaentrate.gov.it, mentre le pagine truffa usano domini simili ma diversi, spesso con l’aggiunta di trattini, numeri o estensioni insolite.
| Segnale | Comunicazione reale | Comunicazione truffa |
|---|---|---|
| Canale | Posta, PEC, area riservata sito | Email, SMS, WhatsApp |
| Dominio del link | agenziaentrate.gov.it | Dominio simile ma diverso |
| Richiesta dati | Mai via link esterno | SPID/CIE/coordinate bancarie richieste subito |
| Tono | Burocratico, nessuna urgenza artificiale | “Conferma entro 24 ore” o simili |
Cosa fa davvero l’Agenzia delle Entrate
Un rimborso fiscale reale — che sia relativo all’IRPEF, al 730 o a un conguaglio — viene sempre accreditato automaticamente sul conto corrente che il contribuente ha comunicato tramite il sostituto d’imposta o indicato nella dichiarazione dei redditi, senza che sia mai necessario “confermare” nulla cliccando su un link ricevuto via email. Chi vuole verificare lo stato reale di un rimborso può farlo solo accedendo con le proprie credenziali SPID, CIE o CNS direttamente al portale ufficiale dell’Agenzia delle Entrate, digitando l’indirizzo a mano nel browser invece di seguire link ricevuti da terzi.
Vale la stessa regola, tra l’altro, anche per le comunicazioni relative a cartelle esattoriali, avvisi bonari o richieste di documentazione: qualsiasi comunicazione che richieda un’azione urgente tramite un link email va sempre verificata autonomamente sul sito ufficiale prima di agire.
Tre varianti della stessa truffa
Nelle segnalazioni raccolte negli ultimi mesi emergono tre varianti ricorrenti dello stesso schema. La prima è il falso rimborso IRPEF: l’email annuncia un accredito non richiesto e invita a “sbloccarlo” fornendo i dati della carta. La seconda è la falsa comunicazione di irregolarità: il messaggio minaccia sanzioni imminenti se non si “regolarizza” subito la propria posizione cliccando sul link, un classico meccanismo di pressione psicologica che spinge a reagire d’istinto invece che con calma. La terza, più sofisticata, è la pagina clone del portale con richiesta di login: qui non c’è nemmeno una promessa di soldi, semplicemente una replica quasi perfetta della pagina di accesso al cassetto fiscale, pensata per rubare le credenziali SPID di chi crede di stare effettuando un accesso normale.
Cosa fare se hai ricevuto il messaggio o hai già cliccato
Se hai ricevuto un’email di questo tipo ma non hai ancora cliccato su nulla, la cosa più semplice da fare è cancellarla, eventualmente dopo averla segnalata come phishing al proprio provider di posta. L’Agenzia delle Entrate mette a disposizione anche un indirizzo dedicato per le segnalazioni di phishing, consultabile nella sezione ufficiale del sito dedicata a questo tema.
Se invece hai già cliccato e inserito le tue credenziali SPID o CIE, il primo passo è cambiare immediatamente la password del tuo provider di identità digitale (Poste Italiane, Aruba, InfoCert e gli altri gestori accreditati offrono tutti questa possibilità dall’area personale). Se hai inserito dati della carta di pagamento, contatta subito la tua banca per bloccarla. In entrambi i casi, è utile anche presentare una denuncia alla Polizia Postale, sia per tutelarti sia per contribuire a far oscurare più rapidamente il sito truffa.
Domande frequenti
L’Agenzia delle Entrate manda davvero email sui rimborsi?
No, non per confermare dati o sbloccare accrediti. Le informazioni sui rimborfi reali sono sempre consultabili solo nell’area riservata del sito ufficiale, accedendo con SPID, CIE o CNS.
Come faccio a controllare se ho davvero un rimborso in arrivo?
Accedendo di persona, digitando l’indirizzo a mano nel browser, al sito ufficiale dell’Agenzia delle Entrate e consultando il proprio cassetto fiscale — mai cliccando su un link ricevuto via email o SMS.
Ho già cliccato sul link ma non ho inserito dati, rischio qualcosa?
Il solo click su un link, senza inserire dati, comporta un rischio più limitato ma non nullo (alcune pagine possono tentare di installare tracciamenti o exploit). È comunque consigliabile non riutilizzare la stessa password su altri servizi e monitorare eventuali attività sospette nei giorni successivi.
Dove posso segnalare una email di phishing a nome dell’Agenzia delle Entrate?
L’Agenzia mette a disposizione un canale di segnalazione dedicato nella sezione “Phishing” del proprio sito ufficiale. È utile anche inoltrare una segnalazione alla Polizia Postale tramite il portale ufficiale.
Se vuoi imparare a riconoscere anche altre truffe diffuse online, leggi la nostra guida su come riconoscere un sito truffa e il nostro approfondimento sulla truffa PostePay su WhatsApp, che segue lo stesso schema del falso rimborso.
