⚠️ Attenzione alla falsa comunicazione: il “rimborso IRPEF” può svuotare il conto

Sta circolando in queste ore una comunicazione apparentemente proveniente dall’Agenzia delle Entrate che informa il contribuente dell’avvenuta approvazione di un rimborso IRPEF, invitandolo ad accedere a un’apposita area per riceverne l’accredito sul conto corrente. La comunicazione è falsa e il rischio per chi cade nella trappola è estremamente elevato.

In questiuno messaggi, la pagina riproduce fedelmente colori, logo e impostazione grafica dell’Agenzia delle Entrate, indicando un numero di protocollo e un importo preciso in attesa di accredito (Esempio: 5.626 euro). Tutto è studiato nei minimi dettagli per trasmettere la sensazione di trovarsi di fronte a una normale notifica dell’Amministrazione finanziaria.

Il meccanismo: una trappola sul conto bancario

Si tratta di un classico tentativo di phishing, ma con una variante particolarmente insidiosa:

1. Il contribuente, attirato dalla somma da incassare, clicca sul pulsante presente nel messaggio.
2. Viene reindirizzato su un sito civetta (ben strutturato) che imita quello ufficiale.
3. La procedura richiede di collegare direttamente il proprio conto bancario e inserire le relative credenziali d’accesso.

Non si tratta quindi della solita richiesta di codice fiscale o numero di carta di credito: l’obiettivo dei truffatori è farsi autorizzare l’accesso diretto all’home banking. Il procedimento ricalca quello che avviene quando si autorizzano strumenti integrati (come la soluzione DIGY usata per la condivisione dei dati contabili), ma in questo caso la connessione viene sfruttata per scopi fraudolenti.

Come riconoscere la truffa

• Verificare l’URL (Indirizzo web): Il link presente nel messaggio utilizza parole come “agenziaentrate”, “gov” o “rimborso”, ma il dominio reale non è quello istituzionale dell’Agenzia delle Entrate.
• Modalità di accredito corrette: L’Agenzia delle Entrate permette effettivamente di registrare il proprio IBAN per i rimborsi, ma richiede esclusivamente l’inserimento del codice IBAN e mai il collegamento diretto o l’inserimento delle credenziali dell’home banking.
• Accesso sicuro: Le procedure autentiche avvengono solo accedendo all’area riservata del sito ufficiale tramite SPID, CIE o CNS, e mai inserendo semplicemente nome, cognome e data di nascita su pagine esterne.

Cosa fare se si è cliccato

• Solo apertura della pagina: Se avete unicamente aperto il link senza inserire dati personali, credenziali o codici, non ci sono rischi immediati.
• Inserimento di dati o credenziali: Se avete inserito credenziali bancarie, password, codici OTP o autorizzato operazioni tramite l’app della banca, occorre agire tempestivamente:
  1. Contattare immediatamente la propria banca per bloccare gli accessi e mettere in sicurezza il conto.
  2. Controllare la lista dei movimenti ed eventuali operazioni pendenti.
  3. Modificare subito le credenziali d’accesso compromesse.