Nuove campagne di phishing, tornano i falsi rimborsi Irpef

L’Amministrazione finanziaria segnala che nei giorni scorsi sono state individuate diverse campagne di phishing e smishing (phishing via Sms), che sfruttano illegittimamente il nome dell’Agenzia delle entrate e dell’Agenzia delle entrate-Riscossione. Il pretesto, ancora una volta, è la presunta erogazione di inesistenti rimborsi Irpef, tema già impiegato in precedenti campagne fraudolente (Avviso del 31 agosto 2026 – Nuova campagna di smishing (phishing via SMS) a tema falso rimborso IRPEF). L’obiettivo è sempre la raccolta di dati personali e di informazioni finanziarie riguardanti i cittadini destinatari dei falsi messaggi.

Il tentativo di truffa può arrivare per posta elettronica oppure tramite Sms. In entrambi i casi, i messaggi contengono collegamenti a siti web fraudolenti che riproducono la grafica e i loghi ufficiali delle due Agenzie, al fine di apparire credibili agli utenti.

L’Amministrazione si sofferma in particolare su una delle campagne emerse che, in una prima fase, chiede al contribuente di inserire il proprio codice fiscale e ulteriori informazioni anagrafiche, come il cognome e la data di nascita, per poi passare alla richiesta di inserimento delle coordinate bancarie e di altre informazioni finanziarie.
Per rendere più credibile e affidabile la comunicazione ricevuta, una volta acquisiti tali dati, il sito simula una procedura di verifica del secondo fattore di autenticazione mediante l’invio di un presunto Sms di conferma, nel tentativo di ottenere ulteriori informazioni sensibili.

Per maggiore chiarezza, l’Agenzia fornisce anche una schermata esemplificativa di un sito fraudolento riconducibile alla campagna descritta.

L’Agenzia delle entrate precisa che tali contenuti non sono in alcun modo riferibili all’Amministrazione finanziaria, rispetto ai quali ribadisce la propria totale estraneità e invita, pertanto, a non comunicare dati personali o informazioni sensibili attraverso pagine web raggiungibili mediante link presenti in messaggi inattesi, non richiesti o comunque sospetti.

Qualora sorgano dubbi circa l’autenticità di una comunicazione apparentemente inviata dall’Agenzia, è bene effettuare una verifica preventiva consultando la sezione “Focus sul phishing” disponibile sul sito delle Entrate oppure rivolgendosi ai contatti forniti dal portale dell’Amministrazione o direttamente all’ufficio territorialmente competente.