I contribuenti italiani che ricevono SMS su presunti rimborsi IRPEF sono esposti a campagne che sottraggono dati personali e informazioni delle carte. I tentativi, documentati già ad agosto 2026, proseguono: dal 26 settembre al 2 ottobre sono state rilevate 51 campagne di phishing sul tema dei rimborsi, tutte legate all’impersonificazione dell’Agenzia delle Entrate.
Chi è interessato e da quando circolano i messaggi?
La truffa riguarda i destinatari di messaggi che sfruttano il nome e la grafica dell’Agenzia delle Entrate o dell’Agenzia delle Entrate-Riscossione. Le campagne di phishing e smishing sui falsi rimborsi IRPEF erano già documentate nel bollettino del 28 agosto 2026.
Lo smishing è il phishing veicolato attraverso SMS. Il rimborso prospettato serve a spingere il destinatario a raggiungere una pagina fraudolenta e a compilare una richiesta con informazioni personali.
Nella settimana dal 26 settembre al 2 ottobre, le campagne malevole complessivamente analizzate nello scenario italiano sono state 219. Le 51 campagne sul tema dei rimborsi rappresentano attività individuate, senza indicare quanti contribuenti abbiano ricevuto i messaggi o subito un danno.
Come funziona il falso rimborso IRPEF?
Il messaggio conduce a un sito che imita l’identità visiva degli enti fiscali e raccoglie dati con il pretesto di erogare un rimborso. Nelle campagne documentate ad agosto, il credito inventato era di 328,45 euro e veniva associato all’anno d’imposta 2025.
Le informazioni sottratte attraverso queste pagine comprendevano:
- codice fiscale del contribuente;
- nome dell’intestatario della carta;
- numero e data di scadenza della carta;
- codice di sicurezza CVV.
L’importo visualizzato appartiene alla falsa procedura e non dimostra l’esistenza di un credito fiscale. Anche l’aspetto della pagina viene costruito per rendere credibile la richiesta.
I domini fraudolenti collegati ai presunti rimborsi IRPEF vengono registrati anche con cadenza giornaliera: gli indirizzi utilizzati possono quindi cambiare mentre il pretesto resta lo stesso.
Come vengono pagati i rimborsi autentici?
I rimborsi derivanti dal 730 seguono le modalità previste per la dichiarazione presentata. Con un sostituto d’imposta, il credito viene rimborsato dal datore di lavoro o dall’ente pensionistico, attraverso la busta paga o la pensione.
Per il 730 senza sostituto, se dalla dichiarazione emerge un credito e il contribuente ha fornito all’Agenzia le coordinate bancarie o postali, il rimborso viene accreditato su quel conto. La comunicazione dell’IBAN rientra dunque nella procedura fiscale ufficiale.
I dati completi della carta, compreso il CVV, sono invece tra le informazioni raccolte dalle pagine fraudolente individuate nelle campagne sui rimborsi.
Cosa fare se arriva un messaggio sospetto?
La verifica passa dall’indirizzo del sito e dall’autenticità del mittente, prima di comunicare informazioni personali. Le indicazioni di prevenzione del phishing prevedono di evitare i collegamenti quando l’identità del mittente è incerta e di controllare che il dominio sia quello ufficiale.
Il nome dell’ente e i loghi riprodotti nella pagina fanno parte del meccanismo di impersonificazione. Il dominio istituzionale dell’Agenzia delle Entrate è agenziaentrate.gov.it.
Se sono già state inserite credenziali su un sito falso, le indicazioni prevedono di contattare il gestore del servizio autentico e cambiare la password sul portale ufficiale, evitando di riutilizzarla per altri servizi.
Questo articolo ha finalità informative e non costituisce consulenza finanziaria, fiscale o previdenziale.
