Truffa IRPEF via SMS: false comunicazioni dell'Agenzia delle Entrate promettono rimborsi, ecco come riconoscerle

Se negli ultimi giorni hai ricevuto un SMS che parla di un rimborso IRPEF da parte dell'Agenzia delle Entrate, fermati un attimo prima di aprire il link. Non è un messaggio vero: è l'ultima versione di una truffa che sta colpendo migliaia di italiani in queste settimane. Vediamo insieme come funziona e, soprattutto, come difenderti senza perdere un euro.

Cosa sta succedendo

C'è un'altra truffa a cui bisogna stare attenti, e questa volta la protagonista è l'Agenzia delle entrate, con una nuova campagna di smishing che vede l'invio di messaggi provenienti da un mittente che si finge "AAg.Entrate", che comunica che è disponibile una nuova comunicazione fiscale, ed invita a cliccare un link per visualizzare gli aggiornamenti. Non è un caso isolato: la stessa Agenzia delle Entrate ha dovuto pubblicare un avviso ufficiale per mettere in guardia i contribuenti, segnalando la diffusione di una nuova campagna di smishing che utilizza in modo fraudolento il nome dell'Agenzia delle entrate al fine di sottrarre informazioni personali ai cittadini.

Il fenomeno non è nemmeno piccolo. Secondo i dati raccolti dal CERT-AGID, nella settimana tra il 26 settembre e il 2 ottobre sono state analizzate 219 campagne malevole che hanno interessato l'Italia, e tra queste 51 campagne di phishing utilizzavano proprio il tema del "rimborso" riconducibili a tentativi di impersonare l'Agenzia delle entrate.

Come funziona la truffa, passo dopo passo

Il meccanismo è studiato per sembrare il più possibile credibile. Tutto parte da un SMS o, in alcuni casi, da un'email che riproduce grafica e loghi ufficiali. Una volta cliccato sul link, si finisce su un sito che imita quello dell'Agenzia delle Entrate, dove i messaggi invitano i destinatari a cliccare su un link che rimanda a siti web contraffatti, presentati come portali ufficiali, dove viene simulata una procedura di verifica legata a un presunto rimborso Irpef relativo al 2025.

A questo punto scatta la prima richiesta: il codice fiscale. Una volta inserito il codice fiscale, la vittima visualizza un finto credito di 328,45 euro e viene invitata a completare la procedura indicando le coordinate per l'accredito della somma. È proprio qui che la truffa diventa pericolosa, perché il passo successivo è quello che fa davvero male al portafoglio: agli utenti vengono richiesti i dati della carta di pagamento, compresi nome dell'intestatario, numero della carta, data di scadenza e codice di sicurezza (Cvv), informazioni che nelle mani dei truffatori possono essere utilizzate per operazioni fraudolente.

Come riconoscere il messaggio truffa

La buona notizia è che, se sai cosa guardare, riconoscere questi SMS è abbastanza semplice. Il dettaglio più importante è l'indirizzo del sito a cui rimanda il link: i truffatori usano domini che imitano quello ufficiale, ma non lo sono mai davvero. Tra quelli individuati in questa campagna ci sono "gov[.]irpeff[.]it[.]com", "gov[.]agenzia[.]us[.]cc" e "gov[.]rimborso[.]us[.]cc", solo alcuni esempi tra i tanti domini realmente utilizzati da questi siti. L'indirizzo ufficiale dell'Agenzia delle Entrate è sempre e solo agenziaentrate.gov.it: qualsiasi altra variante, anche se sembra simile, è un campanello d'allarme.

Un altro segnale da non sottovalutare è l'importo "piccolo" del presunto rimborso: in alcuni casi veniva promesso un falso rimborso IRPEF da 328,45 euro relativo all'anno d'imposta 2025, chiedendo in cambio codice fiscale e dati completi della carta. Le cifre basse servono proprio a far abbassare la guardia, perché sembrano troppo modeste per essere una truffa elaborata.

Ricorda poi una regola che vale sempre: l'Agenzia delle Entrate non manda mai SMS o email con link diretti per riscuotere rimborsi, e non chiede mai i dati della carta di credito via messaggio. L'Agenzia delle entrate non riconosce le comunicazioni telefoniche fraudolente trasmesse via messaggio di testo e si dichiara estranea all'iniziativa e ai contenuti diffusi con queste modalità.

Cosa fare se ricevi uno di questi SMS

Se ti arriva un messaggio di questo tipo, la cosa più semplice e sicura da fare è una sola: non toccare il link. Cancella il messaggio e, se vuoi essere ancora più tranquillo, blocca il numero mittente. Per avere conferme ufficiali, l'Agenzia stessa consiglia di passare sempre dai canali verificati: in caso di dubbi sulla veridicità di una comunicazione ricevuta è sempre utile verificare preliminarmente consultando la pagina del sito istituzionale "Focus sul phishing", oppure rivolgersi ai contatti reperibili sul portale www.agenziaentrate.gov.it o direttamente all'ufficio competente per territorio.

Lo stesso vale, in generale, per qualsiasi comunicazione che sembri provenire da un ente pubblico o da un'azienda e che ti chieda di cliccare un link per "risolvere" un problema urgente: meglio non comunicare dati personali o informazioni sensibili attraverso pagine raggiunte tramite link presenti in messaggi sospetti, e verificare sempre l'indirizzo digitando a mano quello ufficiale nel browser.

Cosa fare se hai già inserito i tuoi dati

Se purtroppo hai già cliccato sul link e inserito il codice fiscale o, peggio, i dati della carta di pagamento, non perdere tempo. Contatta immediatamente la tua banca per bloccare la carta e valutare eventuali operazioni sospette già effettuate. Segnala l'accaduto alla Polizia Postale, che si occupa proprio di questo tipo di reati informatici, e tieni sotto controllo l'estratto conto nei giorni successivi per individuare subito eventuali addebiti non autorizzati.

Può sembrare una truffa "piccola" vista la cifra in gioco, ma il vero obiettivo dei criminali non è quasi mai il finto rimborso da 328 euro: è ottenere i dati completi della tua carta per usarli altrove, magari per acquisti online o abbonamenti attivati a tua insaputa. Per questo la prudenza, anche davanti a un messaggio apparentemente innocuo, resta sempre la miglior difesa.