Rimborsi fiscali dell'Agenzia delle Entrate: come capire se è phishing
Una guida pratica per riconoscere i messaggi ingannevoli sul fisco in circolazione quest'estate, proteggere i propri dati bancari e consultare in totale sicurezza il Cassetto Fiscale.
- L'Agenzia delle Entrate avverte di una massiccia ondata di email e SMS di phishing che promettono falsi rimborsi e chiedono dati sensibili.
- Le truffe sfruttano urgenza e messaggi credibili: controllare il mittente, il link di destinazione e diffidare di toni perentori evita l'inganno.
- Per verificare rimborsi o crediti d'imposta usare il Cassetto Fiscale con SPID, CIE o CNS e non fornire mai coordinate bancarie via messaggi.
L’Agenzia delle Entrate segnala una nuova e massiccia ondata di false email e SMS che promettono rimborsi fiscali o richiedono dati sulle criptovalute. Si tratta di attacchi di phishing mirati a sottrarre dati bancari e credenziali d’accesso: le comunicazioni istituzionali autentiche non contengono mai link diretti per riscuotere denaro e l’unico modo sicuro per verificare la propria posizione è accedere autonomamente al Cassetto Fiscale tramite SPID o CIE.
- L'esca dell'estate 2026
- I dettagli che svelano l'inganno
- Come muoversi senza rischiare
- La protezione per i professionisti
L’esca dell’estate 2026
L’ufficio delle imposte è da sempre uno dei mittenti preferiti dai cybercriminali per architettare truffe digitali. Il motivo è semplice: una comunicazione del fisco genera sempre un sussulto di urgenza o l’illusione di un guadagno inaspettato.
L’ultimo allarme lanciato dall’Agenzia delle Entrate risale al 5 giugno 2026 e riguarda ben due campagne malevole che viaggiano in parallelo sfruttando la stagione della dichiarazione precompilata.
La prima variante della truffa fa leva sui falsi rimborsi fiscali, spingendo la vittima a compilare un modulo online identico a quello istituzionale per carpire i dati delle carte di credito.
La seconda si concentra sul tema delle criptovalute, richiedendo codice fiscale e recapiti con l’obiettivo di violare i wallet digitali. Conoscere queste dinamiche è il primo passo per non cadere nel tranello.
I dettagli che svelano l’inganno
Anche se le email truffaldine sono scritte in un italiano sempre più corretto, esistono dettagli tecnici che rivelano subito la natura malevola del messaggio.
Il primo elemento da osservare è l’indirizzo del mittente. Spesso si nota un dominio estero o una stringa di caratteri che imita grossolanamente il nome dell’ente pubblico.
Un altro elemento rivelatore è la presenza di link interni. Prima di cliccare su qualsiasi collegamento, basta passarci sopra con il cursore del mouse per leggere l’indirizzo reale di destinazione: se non corrisponde al portale ufficiale agenziaentrate.gov.it, la comunicazione va cestinata.
Bisogna poi diffidare del tono perentorio. I messaggi di phishing mettono fretta, minacciano scadenze immediate o la perdita del beneficio economico se non si agisce subito.
L’Agenzia non richiede mai coordinate bancarie, PIN o password tramite un SMS o una comune posta elettronica.
Come muoversi senza rischiare
Se nella casella di posta compare un messaggio ambiguo, l’imperativo è l’immobilità: non si clicca sui collegamenti, non si scaricano gli allegati e non si inseriscono informazioni personali nei moduli online. La condotta corretta prevede la cancellazione immediata della comunicazione.
Per i dubbi persistenti, l’ente mette a disposizione sul proprio portale una sezione denominata “Focus sul phishing”, costantemente aggiornata con gli screenshot delle truffe in circolazione.
Per scoprire se si ha davvero diritto a un credito d’imposta non servono intermediari digitali o notifiche via SMS. I rimborsi legittimi vengono erogati dal sostituto d’imposta in busta paga oppure accreditati sul conto corrente, ma solo se l’IBAN è stato inserito all’interno dell’area riservata del sito ufficiale.
L’unica controverifica valida si effettua accedendo al proprio Cassetto Fiscale tramite le identità digitali come SPID, CIE o CNS.
La protezione per i professionisti
Per le partite IVA, le imprese e gli studi professionali il pericolo raddoppia. Chi gestisce flussi quotidiani di fatture e scadenze reali può confondere un’email nociva con una comunicazione di routine.
In questi contesti diventa fondamentale formare i collaboratori all’analisi dei mittenti e implementare l’autenticazione a due fattori su ogni account aziendale. Se si intercetta un messaggio sospetto su una mail di lavoro, è utile segnalarlo ai canali dedicati dell’Agenzia per aiutare a mappare la diffusione della truffa e tutelare l’intero ecosistema produttivo.
FAQ
Controlla il mittente e il dominio; se non è agenziaentrate.gov.it o appare straniero, è probabilmente phishing.
No, l'Agenzia non chiede PIN, password o coordinate bancarie tramite email o SMS.
Non cliccare, non scaricare allegati e cancella il messaggio; verifica direttamente il Cassetto Fiscale con SPID o CIE.
Formare il personale, analizzare i mittenti e attivare l'autenticazione a due fattori su tutti gli account.
No, i rimborsi sono erogati in busta paga o accreditati sul conto se l'IBAN è registrato nel sito ufficiale.
