Un rimborso fiscale di oltre 5mila euro, pronto da incassare con un clic. È la promessa contenuta in alcune email che stanno arrivando in questi giorni con il nome e la grafica dell’Agenzia delle Entrate. FiscoOggi, la rivista dell’Agenzia, l’ha definita senza giri di parole un nuovo tentativo di phishing. Il messaggio sembra ufficiale, la cifra importante, il pulsante per riscuotere è lì a portata di dito. Proprio per questo la cosa più utile da fare è fermarsi un attimo, prima di aprire qualsiasi collegamento, e controllare per un’altra strada.
Il falso rimborso da oltre 5mila euro segnalato dal Fisco
La segnalazione è stata pubblicata da FiscoOggi. Il giorno dopo anche Roma Capitale ne ha diffuso una sintesi per i cittadini. Lo schema è quello classico, rivestito con i colori del Fisco. Arriva una email che sembra istituzionale, con loghi e impaginazione simili a quelli dell’Agenzia, e annuncia un rimborso superiore a 5.000 euro. Per ottenerlo basterebbe seguire un collegamento. Il link, però, porta a una pagina contraffatta, costruita per somigliare a un sito pubblico, dove vengono richiesti dati personali e informazioni bancarie.
Il phishing funziona proprio così: un messaggio che imita un mittente affidabile spinge a consegnare spontaneamente dati riservati, che poi finiscono nelle mani di chi li userà per rubare denaro o identità. Il nome dell’Agenzia delle Entrate serve a dare credibilità alla richiesta, e l’importo, alto ma plausibile, fa il resto.
Prima di continuare, ti ricordo che è disponibile, per ricevere le notifiche delle n ultime notizie il canale Whatsapp, cliccando qui. Unisciti anche tu per non perdere le ultime novità. IL TUO NUMERO DI TELEFONO NON LO VEDRÀ NESSUNO!
Un logo riconoscibile, una grafica curata, un linguaggio da ufficio pubblico sono tutti elementi facili da copiare. Da soli dicono ben poco sull’autenticità di una comunicazione. Conviene ricordarlo soprattutto quando il messaggio parla di soldi in arrivo e chiede di agire subito.
Come verificare se il rimborso è davvero dell’Agenzia delle Entrate
La regola d’oro è usare un canale indipendente dalla mail. Significa aprire il browser, digitare a mano l’indirizzo agenziaentrate.gov.it oppure raggiungerlo dai propri preferiti, senza passare dai collegamenti contenuti nel messaggio. Sul portale c’è una sezione dedicata, il Focus sul phishing, dove l’Agenzia raccoglie le segnalazioni delle campagne fraudolente più recenti con le relative immagini e spiegazioni. Se la mail ricevuta somiglia a uno degli esempi descritti, il dubbio è già risolto.
Per chi ha un rimborso effettivamente in sospeso, la verifica passa dall’area riservata del sito, a cui si accede sempre partendo dalla homepage ufficiale con le proprie credenziali. Lì si trovano le informazioni sulla propria posizione fiscale, compresi gli eventuali rimborsi.
Se resta qualche incertezza, conviene contattare l’Agenzia attraverso i recapiti indicati sul portale, come il numero di assistenza o gli uffici territoriali. Numeri di telefono, indirizzi email e link presenti nella comunicazione sospetta vanno lasciati da parte, perché potrebbero portare dritti ai truffatori.
Questo vale per qualsiasi mail che sembri arrivare da un ente o da un’azienda: anche Microsoft, nelle sue indicazioni di sicurezza, raccomanda di controllare la comunicazione contattando l’organizzazione attraverso un canale conosciuto e separato. L’Agenzia delle Entrate scrive davvero ai contribuenti, in alcuni casi. Il punto è verificare ogni messaggio da una fonte indipendente.
Cosa fare quando arriva una mail sospetta
Il primo gesto è il più semplice: lasciare chiusi collegamenti e allegati. Nessun dato personale, bancario o di accesso va inviato in risposta al messaggio o inserito nelle pagine collegate.
Fatta la verifica sul sito ufficiale, il passo successivo è segnalare la mail come phishing attraverso la funzione presente nel proprio servizio di posta, che aiuta a bloccare messaggi simili, e poi cancellarla. In questo modo, tra qualche settimana, sarà più difficile riaprirla per errore.
Ci sono alcuni indizi che fanno suonare un campanello: errori di grammatica o di traduzione, un indirizzo del mittente con un dominio insolito o diverso da quello ufficiale, toni pressanti che parlano di scadenze imminenti o di somme da riscuotere in fretta. Sono segnali generali, utili a tenere alta l’attenzione. Le campagne più curate, però, possono arrivare scritte in un italiano impeccabile e con una grafica identica all’originale, quindi la verifica sul canale ufficiale resta il controllo più affidabile.
Hai già cliccato o inserito i dati? Come intervenire
Se abbiamo soltanto aperto il collegamento, la prima cosa da fare è chiudere la pagina e interrompere la navigazione, senza compilare moduli e senza scaricare nulla. Un semplice clic comporta un rischio più contenuto rispetto alla consegna dei dati, ma conviene tenere d’occhio il dispositivo e i propri conti nei giorni successivi.
Se sulla pagina falsa abbiamo inserito una password, va cambiata subito, accedendo al servizio autentico dal suo sito o dalla sua app, lontano dal link ricevuto. La stessa password, se usata anche per altri account, va sostituita ovunque. È il momento giusto per attivare l’autenticazione a più fattori, che aggiunge un secondo controllo, come un codice inviato al telefono, anche quando qualcuno conosce la password.
Il caso più delicato riguarda i dati bancari o quelli della carta. Qui la regola è contattare immediatamente la propria banca o l’emittente della carta, usando i recapiti ufficiali, cioè quelli presenti sul sito dell’istituto, sull’app o sul retro della carta. Raccontiamo cosa è successo e seguiamo le indicazioni ricevute, che possono includere il blocco della carta o delle credenziali di accesso all’home banking. Ogni minuto conta.
Se dalla pagina abbiamo scaricato o aperto un file, il dispositivo va controllato: aggiorniamo il sistema e l’antivirus, avviamo una scansione completa e, se emergono problemi o i dubbi restano, chiediamo l’aiuto di un tecnico.
Quando la frode si è già concretizzata, con addebiti sospetti o accessi indesiderati, si può presentare denuncia alla Polizia Postale, anche online attraverso il portale del Commissariato di PS. Conviene conservare tutto: la mail originale, gli screenshot delle pagine visitate, gli estratti conto con i movimenti contestati. La denuncia e la segnalazione tempestiva alla banca aprono la strada alla contestazione delle operazioni, ma il recupero delle somme dipende dal singolo caso.