Falsi rimborsi Irpef: come riconoscere le nuove truffe via SMS e proteggere i propri dati

L’Agenzia delle Entrate e l’Agenzia delle Entrate-Riscossione hanno recentemente segnalato una forte escalation di campagne di phishing e smishing mirate a sottrarre dati personali e coordinate bancarie ai contribuenti italiani. I criminali informatici stanno sfruttando la finestra temporale del calendario fiscale, tipica della fine dell'estate e dell'inizio dell'autunno, per lanciare messaggi ingannevoli che promettono rimborsi IRPEF, spesso riferiti all'anno 2025, con l'obiettivo di indirizzare le vittime verso siti web contraffatti e pericolosi.

Questa strategia criminale si basa sull'uso di loghi ufficiali e un linguaggio che imita perfettamente quello istituzionale, rendendo difficile per un utente non esperto distinguere la comunicazione autentica da quella fraudolenta. Le truffe si evolvono rapidamente, utilizzando strumenti di intelligenza artificiale generativa per creare testi privi di errori grammaticali e coerenti con il tono formale dell'amministrazione tributaria. Il passaggio preferenziale dallo smishing (SMS) rispetto all'email è dovuto alla percezione di maggiore intimità e urgenza che un messaggio sul dispositivo mobile suscita nel destinatario.

I dati forniti dal CERT-AGID evidenziano un trend preoccupante: lo smishing è passato dal 28% dei casi nel 2024 a circa il 45% nel 2025, diventando il canale d'attacco preferito dai malintenzionati. Questa crescita è alimentata dalla capacità di raggiungere direttamente il telefono degli utenti, dove la pressione psicologica indotta dalla promessa di un credito immediato spinge spesso a compiere azioni avventate. È fondamentale comprendere che l'Agenzia delle Entrate non invia mai link via SMS o email per richiedere l'accesso a dati sensibili o per "sbloccare" rimborsi.

L'anatomia dello smishing: come operano i truffatori sui rimborsi IRPEF

La dinamica della truffa segue uno schema preciso, studiato per massimizzare le probabilità di successo. Tutto inizia con la ricezione di un SMS che annuncia un presunto credito fittizio, spesso quantificato in cifre modeste ma verosimili, come ad esempio 328,45 euro. Il messaggio contiene un link che rimanda a un portale web progettato per essere una copia quasi identica a quella ufficiale dell'amministrazione tributaria. Una volta atterrati sul sito fraudolento, gli utenti vengono guidati attraverso una serie di passaggi che simulano una procedura di verifica.

In una prima fase, il sito chiede l'inserimento del codice fiscale. Nonostante l'Agenzia delle Entrate richieda credenziali forti come SPID, CIE o CNS per l'accesso all'area riservata, i truffatori chiedono il codice fiscale perché è un dato facilmente reperibile e serve a dare credibilità alla procedura. Una volta inserito, il sito mostra un esito di rimborso positivo, inducendo la vittima a procedere con la "conferma delle coordinate bancarie". È proprio in questo passaggio che avviene il furto dei dati: il sito richiede non solo l'IBAN, ma anche il nome dell'intestatario, il numero della carta, la data di scadenza e il codice CVV.

È fondamentale sottolineare che l'Agenzia delle Entrate non richiede mai questi dati per accreditare un rimborso. Per un bonifico in entrata è sufficiente conoscere l'IBAN; la richiesta di dati relativi alla carta di credito (numero, scadenza, CVV) è un segnale inequivocabile di una truffa finalizzata a svuotare il conto o la carta della vittima. Un esempio concreto di dominio fraudolento identificato è "agen.dillinfo.cam/it", un indirizzo che non ha alcuna relazione con i portali ufficiali del Ministero dell'Economia e delle Finanze.

Analisi dei canali di attacco e monitoraggio istituzionale

Il monitoraggio costante da parte delle autorità evidenzia come i truffatori stiano puntando con forza sui servizi PagoPA, SPID e i principali istituti di credito. L'uso di domini contraffatti è così diffuso che il CERT-AGID ha censito oltre 500 campagne malevole in un solo mese di aprile 2026, con più di 150 brand imitati. Questa proliferazione dimostra la necessità di una vigilanza costante da parte dei cittadini, specialmente durante i periodi di scadenze fiscali, quando la frequenza di queste comunicazioni aumenta esponenzialmente.

L'Agenzia delle Entrate ha ribadito la propria totale estraneità a queste comunicazioni, precisando che i rimborsi vengono solitamente accreditati d'ufficio o comunicati esclusivamente tramite l'area riservata del sito ufficiale o tramite l'app IO. Qualsiasi comunicazione che richieda di cliccare su un link per "riscuotere" somme di denaro deve essere considerata altamente sospetta. La prevenzione passa quindi attraverso la consapevolezza che le istituzioni non utilizzano canali di messaggistica istantanea per gestire transazioni finanziarie o richieste di dati sensibili.

Cosa fare concretamente per proteggersi e cosa fare in caso di furto dati

Per evitare di diventare vittime di queste campagne, i contribuenti devono adottare la strategia della verifica passiva. Questo significa non interagire mai con i link contenuti nei messaggi sospetti. Se si riceve una notifica di rimborso, la procedura corretta prevede di aprire il browser e digitare manualmente l'indirizzo ufficiale agenziaentrate.gov.it. Da lì, è necessario accedere all'area riservata utilizzando le proprie credenziali sicure per controllare il Cassetto Fiscale e verificare la reale presenza di eventuali crediti.

In caso di sospetto tentativo di truffa, è possibile inoltrare le email ricevute agli indirizzi dedicati dell'Agenzia delle Entrate per contribuire al monitoraggio delle campagne malevole. Se, invece, si è già inseriti i dati della propria carta di credito o altre informazioni sensibili, è necessario agire immediatamente seguendo questi passaggi:

• Blocco immediato: Contattare la propria banca per bloccare la carta di credito o il conto corrente coinvolto.
• Denuncia formale: Sporgere denuncia presso il Commissariato di Polizia Postale online tramite il portale commissariatodips.it.
• Monitoraggio: Verificare regolarmente gli estratti conto per identificare eventuali movimenti non autorizzati.

È importante ricordare che la sicurezza informatica dipende in larga misura dalla prudenza individuale. L'Agenzia delle Entrate ribadisce che non richiede mai PIN, password o coordinate bancarie via messaggio. La consapevolezza che le istituzioni non operano in questo modo è la difesa più efficace contro i criminali che sfruttano la vulnerabilità dei cittadini.

Al momento, non sono disponibili dati aggiornati sulle specifiche sentenze penali relative alle ultime campagne di agosto 2026, poiché i procedimenti sono solitamente riservati o in corso di indagine. Tuttavia, la vigilanza costante e l'uso esclusivo dei canali ufficiali restano le uniche garanzie per proteggere il proprio patrimonio e la propria identità digitale.

Ricorda: ogni comunicazione ufficiale dell'Agenzia delle Entrate che richiede un clic immediato per ricevere denaro è quasi certamente un tentativo di truffa.