Nuove campagne di phishing e smishing stanno sfruttando il nome dell’Agenzia delle Entrate promettendo falsi rimborsi Irpef. Riconoscere che si tratta di un raggiro, però, non è facile. Colori, loghi e grafica sono praticamente identici a quelli istituzionali. Tant’è che diversi sono stati gli utenti che – ignari di stare fornendo dati sensibili in maniera non protetta – hanno visto poi i propri conti corrente svuotarsi.
Indice
Falsi rimborsi Irpef, come funziona la nuova truffa
La tecnica utilizzata dai truffatori non è nuova, e segue sempre lo schema, ovvero il destinatario riceve una comunicazione apparentemente ufficiale, con la quale viene informato dell’esistenza di un presunto rimborso fiscale. Per riceverlo, però, viene invitato a completare una procedura, cliccando su un link che riporta a un sito esterno (che riproduce colori, loghi e grafica uguali a quelli dell’Agenzia delle Entrate). Si tratta solitamente di email o sms che, a prima vista, possono sembrare affidabili.
In realtà proprio il collegamento – necessario per completare la procedura di rimborso – porta verso un sito fraudolento attraverso il quale viene chiesto ai contribuenti di fornire il proprio codice fiscale ed altre informazioni anagrafiche, come nome, cognome e data di nascita. Una volta raccolti i primi dati, si passa alle coordinate bancarie.
Ed è proprio così che l’utente, prima che se ne renda effettivamente conto, ha già dato tutte le indicazioni necessarie per accedere al proprio conto.
Quali sono i segnali sospetti
Un sms o una email che annunciano improvvisamente un rimborso e invitano a cliccare su un link per riceverlo subito dovrebbero essere trattato con cautela. Se poi vengono richiesti in successione codice fiscale, dati anagrafici, coordinate bancarie e informazioni di autenticazione, è opportuno interrompere immediatamente la procedura. La propria posizione può essere verificata accedendo al proprio cassetto fiscale, raggiungibile in maniera autonoma, senza passare da una comunicazione ricevuta.
Nemmeno la presenza di un codice di verifica, di una schermata di autenticazione o di un presunto controllo di sicurezza dimostrano che il sito sia ufficiale. Al contrario, quando una comunicazione inattesa conduce a una pagina che chiede progressivamente sempre più informazioni, è necessario interrompere la procedura e verificare autonomamente l’origine della richiesta.
In caso di dubbio, l’Agenzia delle Entrate invita a consultare la sezione dedicata al “focus sul phishing”, dove vengono raccolte tutte le segnalazioni delle campagne fraudolente. In linea generale, non bisogna verificare una comunicazione sospetta attraverso il collegamento contenuto nell’sms o email arrivati. La verifica, anche stavolta, deve avvenire attraverso il canale ufficiale.
Cosa fare se sono già stati inseriti i dati
Se sono state comunicate informazioni bancarie o credenziali a un sito che poi si è rivelato fraudolento, è opportuno contattare immediatamente la propria banca e spiegare quanto accaduto, seguendo le indicazioni dell’istituto per bloccare eventuali conti o movimentazioni sospette. La tempestività è importante. In questi casi, infatti, non bisogna aspettare che si sia effettivamente verificato un’uscita sul conto prima di procedere.
È inoltre consigliabile conservare il messaggio ricevuto, l’indirizzo del sito fraudolento e le eventuali schermate, perché possono essere utili per documentare il tentativo di frode.