Falsi sms dell'Agenzia delle Entrate, l'allerta per le comunicazioni fiscali che portano a siti fraudolenti

23/09/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   Un sms che sembra arrivare dall'Agenzia delle Entrate, un invito a consultare una nuova comunicazione fiscale, un link da aprire per leggere un avviso. È lo schema di una nuova campagna di smishing segnalata dall'amministrazione finanziaria, che ha diffuso un'allerta pubblica per mettere in guardia i contribuenti. Il messaggio, come spesso accade in questo tipo di frodi, conduce verso siti estranei all'Agenzia, costruiti per sottrarre dati personali, credenziali di accesso e informazioni finanziarie.

La segnalazione dell'amministrazione finanziaria

L'avviso diffuso dall'Agenzia delle Entrate descrive nel dettaglio il funzionamento della truffa. Gli sms fraudolenti utilizzano impropriamente il nome dell'istituzione e invitano il destinatario ad accedere a un presunto sistema informatico per prendere visione di una comunicazione di natura fiscale. I collegamenti contenuti nei messaggi indirizzano verso pagine web che non hanno alcun legame con l'amministrazione, ma che possono apparire credibili perché presentano denominazioni e riferimenti riconducibili al settore finanziario o a enti governativi.

La raccomandazione dell'Agenzia è chiara: non fornire dati personali, informazioni riservate o credenziali di accesso attraverso pagine raggiunte tramite link contenuti in comunicazioni inattese, non richieste o sospette. In caso di dubbi sulla veridicità di un messaggio, la verifica va effettuata consultando la pagina "Focus sul phishing" del portale istituzionale, oppure rivolgendosi ai contatti reperibili sul sito ufficiale o direttamente all'ufficio territorialmente competente.

Il meccanismo del phishing e l'urgenza come arma

Il phishing si basa su una dinamica collaudata: il messaggio utilizza il nome di un'istituzione conosciuta, invita ad agire subito per verificare una pratica, saldare un presunto importo o sbloccare un account. È proprio sul terreno dell'urgenza che i truffatori costruiscono la trappola, inducendo la vittima ad abbassare le difese e a consegnare dati personali, password, codici bancari o informazioni della carta attraverso una pagina web costruita ad arte.

Nel caso specifico della campagna segnalata a settembre, i messaggi annunciano l'imminente scadenza del termine per richiedere un rimborso di 5.626,00 euro. L'importo elevato e la prospettiva di perdere una somma rilevante spingono molti destinatari a cliccare senza riflettere. L'Agenzia delle Entrate si dichiara completamente estranea a queste comunicazioni e ricorda che le uniche email con link inviate dall'amministrazione riguardano le indagini sulla soddisfazione degli utenti, che comunque non richiedono mai dati bancari o documenti.

La truffa che sfrutta il nome dell'Inps e l'intelligenza artificiale

Parallelamente alla campagna a tema fiscale, continua a circolare una truffa analoga che sfrutta il nome dell'Inps. A lanciare l'allarme è stato il Comune di Arcisate, in provincia di Varese, che ha diffuso un avviso per mettere in guardia i cittadini da messaggi sempre più sofisticati e difficili da distinguere da quelli reali.

La novità di questa ondata riguarda l'impiego dell'intelligenza artificiale per rendere la frode ancora più credibile. Secondo quanto spiegato dall'amministrazione comunale, il sistema utilizzato dai truffatori sarebbe in grado di verificare i documenti caricati dalle vittime, controllando se corrispondono a quelli richiesti. Se alla vittima viene chiesto di caricare una carta d'identità e viene invece inserito un documento differente, il sistema respinge il file e invita a ripetere l'operazione con il documento corretto.

Un meccanismo che imita il funzionamento di molti servizi online reali e che può convincere la persona di trovarsi davanti a una piattaforma ufficiale. L'obiettivo, come nelle altre campagne di smishing, resta quello di portare la vittima su una pagina costruita per sembrare autentica e convincerla a inserire informazioni personali, dati sensibili o documenti.

Il fenomeno non conosce confini territoriali

L'avvertimento partito dalla Valceresio riguarda un bacino molto più ampio di utenti. Il meccanismo non è legato a un singolo territorio ma può raggiungere qualsiasi numero di cellulare. Gli sms fraudolenti possono arrivare indistintamente sui telefoni dei residenti di Induno Olona, Bisuschio, Viggiù, Porto Ceresio e degli altri comuni della zona, così come su quelli di persone che vivono altrove.

Il CERT-AgID, la struttura dell'Agenzia per l'Italia Digitale che si occupa di sicurezza informatica per la pubblica amministrazione, ha segnalato nei mesi scorsi un'impennata delle campagne di smishing a tema Inps, con una variante che introduce per la prima volta un sistema di verifica basato sull'intelligenza artificiale. La campagna osservata conduce la vittima attraverso un percorso guidato in cinque fasi, nel corso delle quali vengono richiesti dati anagrafici, documenti d'identità, buste paga, certificazione unica e persino un selfie.

Le regole per riconoscere il falso

L'Inps ricorda che non invia mai sms o email con link per confermare dati o ricevere rimborsi. L'unico sito ufficiale è www.inps.it e l'indirizzo deve terminare esattamente con ".inps.it". Attenzione ai domini con storpiature del nome come "insp", "ipns" o "inpis", creati proprio per ingannare gli utenti meno attenti.

Davanti a un messaggio sospetto, la regola è non cliccare e non inserire alcun dato. Il testo va confrontato con gli esempi pubblicati nel vademecum antitruffe disponibile sul sito dell'Istituto. In caso di dubbio, è sempre preferibile verificare autonomamente la comunicazione attraverso i canali istituzionali, evitando di utilizzare i link presenti nel messaggio ricevuto.