«Hai un rimborso IRPEF da ricevere»: se arriva con un link, non è l'Agenzia delle Entrate
Continuano i falsi messaggi dell'Agenzia delle Entrate su rimborsi IRPEF: chiedono dati della carta e CVV. Come riconoscerli, cosa fare se hai cliccato.
Ti arriva un messaggio. Dice che c'è un rimborso IRPEF a tuo nome. Basta un clic per verificarlo.
Sembra una buona notizia. Non lo è.
Cosa sta succedendo
Il 21 ottobre l'Agenzia delle Entrate ha pubblicato un nuovo avviso: la campagna del falso rimborso IRPEF è ancora in corso. L'Agenzia l'aveva già segnalata ad agosto e a settembre.
I messaggi portano a siti con indirizzi che sembrano dell'Agenzia, o che contengono la parola IRPEF. La pagina ti invita a controllare lo «stato del rimborso». Poi, per «completare l'accredito», ti chiede dati personali e bancari.
L'Agenzia è chiara: quelle comunicazioni non sono sue.
Come funziona il trucco
Nell'avviso del 31 agosto, l'Agenzia descrive la versione via SMS.
Prima ti chiedono il codice fiscale. Poi compare un credito: 328,45 euro, riferito all'anno d'imposta 2025. Infine, per «riceverlo», ti chiedono nome dell'intestatario, numero della carta, scadenza e codice di sicurezza (CVV).
È qui che si capisce tutto. Per ricevere un accredito il CVV non serve. Serve per pagare.
Perché parlarne adesso
Il CERT-AGID, la squadra di AgID che analizza le campagne di phishing in Italia, conta ogni settimana i temi più usati.
Nella settimana dal 3 al 9 ottobre, le campagne a tema rimborso erano 24. In quella dal 10 al 16 ottobre sono diventate 65, tutte a nome dell'Agenzia delle Entrate. È il tema più usato della settimana.
Il CERT-AGID non dice quante arrivino via SMS e quante via email. Ma la crescita è netta.
E non c'è solo l'IRPEF. Il 22 ottobre l'Agenzia ha segnalato false email con «notifiche amministrative», piene di codici atto e numeri di protocollo per sembrare ufficiali. A settembre il Comune di Monza ha avvisato di falsi SMS su presunti rimborsi TARI.
L'esca cambia nome. Il copione è lo stesso: un soldo in arrivo, un link, i dati della carta.
Come riconoscerlo
C'è un link che ti porta a «verificare» un rimborso.
L'indirizzo del sito non è agenziaentrate.gov.it, anche se gli somiglia.
Ti chiedono i dati della carta, CVV compreso.
Ti mettono fretta, o ti fanno credere che senza conferma perderai i soldi.
Cosa fare
Non aprire il link. Cancella il messaggio.
Se hai un dubbio, verifica da solo. L'Agenzia consiglia la pagina Focus sul phishing, i contatti del sito ufficiale o l'ufficio della tua zona. Scrivi tu l'indirizzo, non usare quello del messaggio.
Puoi condividerlo con il CERT-AGID. Sulla sua pagina contatti indica l'indirizzo malware@cert-agid.gov.it. Non è una denuncia: serve a studiare le campagne e avvisare gli altri.
Se hai già inserito i dati
Non perdere tempo. Chiama subito la tua banca, con il numero che trovi sulla carta o nell'app, e chiedi di bloccare la carta.
Nei giorni dopo, fai attenzione alle telefonate. Se qualcuno ti chiama dicendo di essere la banca e ti chiede codici, chiudi. Poi richiami tu, dal numero ufficiale.
Per figli e nipoti
«Ti spetta un rimborso» è una frase che funziona con tutti. Con chi aspetta davvero soldi dal fisco, ancora di più.
Una regola da condividere in famiglia: «Nessun rimborso arriva chiedendo i dati della carta.» Se mamma o papà ricevono un messaggio così, meglio che lo mandino a te prima di toccarlo.
Arrassu, intanto, è disponibile gratis per Android.