Truffa del finto rimborso e del finto versamento: la guida per riconoscere le nuove truffe online e non cascarci

Se in questi giorni hai ricevuto un SMS o una email che parla di un rimborso da incassare, fermati un attimo prima di cliccare. Non sei l'unico: in queste settimane sta circolando in Italia una nuova ondata di truffe online particolarmente ben fatte, capaci di ingannare anche chi si crede più attento. Vediamo insieme come funzionano, come riconoscerle e cosa fare se ti capitano.

Cosa sta succedendo: i numeri del fenomeno

Partiamo dai dati, perché aiutano a capire quanto il problema sia concreto e attuale. Secondo l'ultimo monitoraggio del CERT-AGID, nella settimana dal 12 al 18 settembre 2026 sono state analizzate 191 campagne malevole, delle quali 158 rivolte specificamente a obiettivi italiani. Tra queste, CERT-AGID ha registrato 46 campagne italiane basate sul tema del rimborso, prevalentemente costruite sfruttando il nome dell'Agenzia delle Entrate.

Non è un caso isolato: nel primo semestre del 2026 l'Italia è al sesto posto nel mondo e al quarto in Europa per numero di indirizzi e-mail compromessi e diffusi sul dark web, dietro solo a Stati Uniti, Russia e Germania. Un bacino enorme di dati che, come spiegano gli esperti, rappresenta una risorsa preziosa per i cybercriminali e li aiuta a rendere più efficaci truffe, tentativi di phishing e furti di identità.

A rendere le cose più difficili c'è anche l'intelligenza artificiale, che i truffatori usano ormai da tempo: i criminali usano modelli AI per generare email in italiano impeccabile, senza gli errori grammaticali che un tempo li tradivano, comprano domini che somigliano agli originali e riproducono loghi pixel-perfect. Il risultato è che oggi distinguere un messaggio vero da uno falso è molto più difficile che in passato.

La truffa del "finto rimborso" IRPEF: come funziona

La truffa più diffusa in questo momento riguarda proprio un finto rimborso fiscale. L'Agenzia delle Entrate, con l'avviso del 21 settembre 2026, ha messo in guardia i contribuenti sulla diffusione di una nuova campagna di smishing (phishing tramite SMS) che utilizza in modo fraudolento il nome dell'Amministrazione finanziaria.

Non è la prima volta che succede: già qualche giorno prima, un avviso del 16 settembre 2026 segnalava diverse campagne di phishing e smishing che utilizzano indebitamente il nome dell'Agenzia delle Entrate e dell'Agenzia delle Entrate-Riscossione con l'obiettivo di indurre i cittadini a fornire dati personali e informazioni finanziarie, con il pretesto della presunta erogazione di un rimborso IRPEF. Un esempio concreto è il falso "Bonus Vacanze" individuato il 16 settembre, con un sito che riproduce la grafica dell'Agenzia delle Entrate e accompagna l'utente attraverso una procedura articolata per rendere la truffa più credibile.

Il meccanismo è sempre lo stesso: i messaggi contengono collegamenti a siti web fraudolenti che riproducono la grafica e i loghi ufficiali delle Agenzie, e in una prima fase chiedono all'utente di inserire il proprio codice fiscale e ulteriori informazioni personali, quali nome, cognome e data di nascita. Da lì in poi, il sito finto può chiedere anche dati bancari o credenziali di accesso.

La nuova truffa del "finto versamento" per chi vende online

C'è poi una truffa più recente e ancora poco conosciuta, che prende di mira soprattutto chi vende oggetti usati su piattaforme online. Si chiama "truffa del finto versamento" e funziona così: la vittima sceglie di vendere un oggetto online tramite le comuni piattaforme di compravendita, e il truffatore finge di acquistare l'oggetto convincendo il venditore dell'esistenza di una nuova procedura che, tramite ATM, consente di ricevere immediatamente il denaro sul proprio conto corrente.

Il problema è che con tale procedura il denaro, anziché essere versato sul conto del venditore, viene in realtà prelevato al venditore e accreditato sul conto o carta prepagata del truffatore. In pratica, invece di ricevere i soldi, la vittima finisce per svuotare il proprio conto senza accorgersene, convinta di stare completando un pagamento in entrata.

I numeri complessivi del fenomeno truffe sono impressionanti: sono 1,8 milioni gli italiani vittime di truffa, o di un tentativo di frode, per un danno stimato di 1,1 miliardi di euro. Guardando ai canali usati, nel 36% dei casi il tentativo di frode passa attraverso false email, mentre nel 34,4% tramite SMS, nel 28,8% dei casi tramite telefonata e nel 16% tramite siti web contraffatti.

Come riconoscere un messaggio truffa: i segnali d'allarme

La buona notizia è che, con un po' di attenzione, quasi tutte queste truffe si possono smascherare prima di caderci. Ecco i segnali a cui fare caso.

• L'urgenza artificiale. Il primo segnale d'allarme è l'urgenza artificiale: frasi come "agisci immediatamente", "il tuo conto sarà sospeso" o "conferma i dati entro 24 ore" hanno lo scopo di ridurre il tuo tempo di valutazione.
• L'indirizzo del mittente. Un secondo segnale è l'indirizzo email del mittente: clicca sulla mail e verifica l'indirizzo reale, non solo il nome visualizzato. Spesso dietro un nome familiare si nasconde un dominio completamente diverso da quello ufficiale.
• La richiesta di dati sensibili. Nessun ente pubblico o banca ti chiederà mai codice fiscale, password o codici OTP tramite un link ricevuto via SMS o email.
• Procedure "nuove" per ricevere soldi. Se qualcuno ti propone una procedura insolita per "velocizzare" un pagamento in tuo favore (come nella truffa del finto versamento), è quasi sempre un campanello d'allarme.

Cosa fare se hai ricevuto un messaggio sospetto

Se ti arriva un SMS o una email che sembra sospetta, segui questi passaggi semplici, senza farti prendere dal panico.

• Non cliccare sui link contenuti nel messaggio, nemmeno per curiosità.
• Non inserire mai codice fiscale, dati bancari o password in pagine raggiunte da un link ricevuto via SMS o email.
• Verifica direttamente sul sito ufficiale dell'ente citato, digitando l'indirizzo a mano nel browser invece di seguire il link.
• Segnala il messaggio come phishing usando le funzioni del tuo client di posta o del tuo operatore telefonico, così i filtri automatici impareranno a bloccarlo per tempo.

In caso di dubbio, l'Agenzia delle Entrate stessa consiglia di fare una verifica preliminare: in caso di dubbi sulla veridicità di una comunicazione ricevuta dall'Agenzia, il consiglio è di effettuare una verifica preliminare consultando la pagina "Focus sul phishing" del portale istituzionale, oppure rivolgendosi ai contatti reperibili sul portale.

Come proteggerti in futuro

Oltre a imparare a riconoscere i segnali d'allarme, ci sono un paio di accorgimenti che riducono di molto il rischio di cadere in queste trappole.

Il primo è attivare, dove possibile, la verifica in due passaggi (chiamata anche autenticazione a due fattori) su email, home banking e app di messaggistica: anche se un truffatore riuscisse a rubarti la password, senza il secondo codice non potrebbe comunque accedere al tuo account.

Il secondo è la formazione, sia in famiglia che sul lavoro: educare i dipendenti (e i familiari) su come riconoscere phishing e social engineering rimane la difesa più efficace contro questo tipo di attacchi. Vale soprattutto per le fasce d'età più esposte: tra gli utenti privati italiani avvisati dai servizi di protezione, le fasce d'età maggiormente interessate sono 51-60 anni, 41-50 anni e over 60.

Infine, un consiglio pratico che vale sempre: se ricevi un messaggio che promette soldi facili, un rimborso improvviso o una procedura "speciale" per velocizzare un pagamento, prenditi trenta secondi in più prima di agire. Quei trenta secondi, quasi sempre, bastano per capire che qualcosa non torna.