L’Agenzia delle Entrate ha pubblicato il 23 ottobre un nuovo avviso su messaggi di phishing che presentano false richieste di pagamento collegate alla dichiarazione dei redditi. La leva psicologica è credibile: scadenze ravvicinate, linguaggio fiscale e timore di sanzioni spingono a pagare in fretta. Proprio l’urgenza artificiale è il primo segnale da trattare con sospetto.
Un messaggio può imitare colori, intestazioni e tono di un’amministrazione pubblica, ma il mittente visualizzato non dimostra l’origine. Indirizzi anomali, allegati inattesi, errori, minacce di blocco immediato e inviti a inserire credenziali o carta sono indicatori frequenti. Anche una grafica perfetta non rende autentico un link ricevuto per email, SMS o messaggistica.
La regola più sicura è non usare il collegamento contenuto nel messaggio. Per verificare una posizione fiscale bisogna aprire autonomamente il sito istituzionale, digitandone l’indirizzo o utilizzando un preferito già controllato, e accedere all’area riservata. In alternativa si può contattare l’ufficio o l’intermediario abituale attraverso recapiti già noti, non quelli indicati nella comunicazione sospetta.
Un vero pagamento fiscale è associato a dati verificabili: tipo di atto, periodo d’imposta, importo, modalità previste dalla legge e canale ufficiale. Una generica richiesta di bonifico, carta o criptovaluta non diventa valida perché cita la dichiarazione. Prima di versare, occorre confrontare il documento con cassetto fiscale, comunicazioni registrate e ricevute delle dichiarazioni effettivamente inviate.
Se il messaggio non è stato aperto, basta conservarne una copia o uno screenshot per la segnalazione e poi eliminarlo. Non bisogna rispondere né chiamare eventuali numeri inseriti nel testo. L’Agenzia raccoglie sul proprio sito gli avvisi sulle campagne note: confrontare oggetto, schema e richieste aiuta, ma una variante nuova può cambiare grafica mantenendo lo stesso meccanismo.
Chi ha cliccato ma non ha inserito dati dovrebbe chiudere la pagina, aggiornare il dispositivo e avviare un controllo di sicurezza. Se sono state comunicate credenziali, è necessario cambiarle dal sito autentico, iniziando dalla casella email perché spesso consente il recupero di altri account. L’autenticazione a più fattori riduce il rischio, ma non giustifica l’approvazione di notifiche inattese.
Se sono stati forniti dati bancari o autorizzato un pagamento, bisogna contattare subito la banca usando il numero ufficiale, chiedere il blocco degli strumenti coinvolti e verificare le operazioni. Una denuncia può essere necessaria per documentare l’accaduto. Tempestività e tracciabilità contano: annotare orari, importi, IBAN, numeri chiamanti e conservare i messaggi senza inoltrarli a catena.
Commercialisti e imprese dovrebbero avvisare il personale che gestisce posta e pagamenti, separando chi prepara un’operazione da chi la autorizza. Un secondo controllo su variazioni di IBAN o richieste urgenti limita anche le frodi più sofisticate. Filtri antispam e formazione aiutano, ma nessun sistema sostituisce la verifica indipendente prima di muovere denaro.
L’avviso non significa che ogni comunicazione fiscale sia falsa né che si possano ignorare gli atti autentici. Significa che la richiesta va controllata nel luogo giusto. Il comportamento economicamente più utile è sospendere il pagamento, entrare nel portale ufficiale senza passare dal messaggio e chiedere una conferma. Pochi minuti di verifica possono evitare perdita di denaro e furto d’identità.