Falsi rimborsi IRPEF: 65 campagne in una settimana a nome dell'Agenzia delle Entrate
Il CERT-AgID ha contato 65 campagne di phishing a tema rimborso in una settimana, tutte con il nome dell'Agenzia delle Entrate. Erano 24 la settimana prima.
Perché conta
Secondo il CERT-AgID le campagne a tema rimborso sono passate da 24 a 65 in una settimana. Un rimborso fiscale è una promessa facile da credere, e la pagina falsa chiede dati veri.
In pratica
Se ti arriva un'email che promette un rimborso IRPEF e rimanda a una pagina per "verificarlo", cestinala: l'Agenzia delle Entrate dice di non c'entrare. Per i dubbi si passa dal portale ufficiale, scritto a mano nel browser.
Nell'ultima settimana il CERT-AgID, l'agenzia pubblica che sorveglia le minacce informatiche in Italia, ha contato 65 campagne di phishing a tema rimborso, tutte fatte con il nome dell'Agenzia delle Entrate. La settimana prima erano 24. Il dato è nella sintesi settimanale pubblicata il 16 ottobre, che in tutto elenca 254 campagne malevole: quelle sui rimborsi sono circa un quarto. Sono campagne rilevate, non persone truffate: su quante abbiano risposto non c'è nessun numero.
Come funziona
L'Agenzia delle Entrate, in un avviso del 30 settembre, descrive una nuova ondata di una truffa già vista. Arriva per email e promette un rimborso IRPEF (l'imposta sul reddito) a cui il destinatario "avrebbe diritto", con un link a una pagina dove controllarne lo stato. La pagina chiede codice fiscale e annualità. Il trucco di questa ondata sono i tanti nomi di siti simili a quello vero o legati al fisco: l'Agenzia ne cita alcuni, per esempio `agenziaentratel[.]shop` e `agenziaentratea[.]net` (li scriviamo disarmati, con la parentesi, perché non si clicchino). Il sito ufficiale è un altro: agenziaentrate.gov.it.
Come riconoscerla
L'Agenzia dice di essere totalmente estranea a queste comunicazioni. Tre cose le tradiscono:
- un rimborso che ti arriva per email, con un link per "verificarlo"
- una pagina che chiede il codice fiscale e l'anno d'imposta
- un indirizzo che somiglia a quello dell'Agenzia, ma non è agenziaentrate.gov.it
Cosa fare
L'Agenzia consiglia di cestinare subito le email di questo tipo. Se hai un dubbio, non usare i contatti scritti nel messaggio: scrivi tu l'indirizzo agenziaentrate.gov.it nel browser e guarda la pagina "Focus sul phishing", oppure rivolgiti ai contatti del portale o all'Ufficio territoriale. Se hai già inserito dei dati, per ora hai dato codice fiscale e anno, non una password né una carta; ma chi li ha può usarli per messaggi più credibili. Se hai scritto anche i dati di una carta, avvisa subito la banca per bloccarla.
Cosa non sappiamo
Il CERT-AgID non dice con quale canale arrivano le 65 campagne né quali dati chiedono: l'email e i dati richiesti sono quelli descritti dall'Agenzia per la sua ondata di fine settembre. Non è detto che le 65 siano campagne diverse tra loro. E l'avviso dell'Agenzia non spiega come controllare un rimborso vero: per quello si passa dal portale ufficiale.
