Falso rimborso fiscale e verifiche indipendenti: come riconoscere i tentativi di frode

👁 111 letture

Ipotizziamo che arrivi una notifica nella casella di posta che annuncia un rimborso inatteso: la prima reazione istintiva rischia di essere la fretta. Tuttavia, la gestione delle comunicazioni fiscali richiede sempre una consultazione autonoma e distaccata dal messaggio ricevuto. Le evidenze raccolte dalle strutture tecniche nazionali mostrano con precisione i meccanismi usati per simulare comunicazioni istituzionali e indurre l’utente a cedere credenziali o autorizzare transazioni finanziarie.

L’inganno del ricalcolo contributivo e delle credenziali

Le analisi pubblicate dal CERT-AGID evidenziano schemi ricorrenti che fanno leva su presunti crediti o accessi urgenti. In una recente campagna segnalata dall’ente, gli aggressori hanno utilizzato il nome e i loghi dell’INPS per prospettare un rimborso di 730,00 euro derivante da un ipotetico ricalcolo automatizzato della posizione contributiva e fiscale per il periodo d’imposta precedente. Il messaggio invitava a cliccare su un pulsante di accesso all’area riservata entro una scadenza ravvicinata, indirizzando in realtà verso un dominio terzo estraneo alla pubblica amministrazione.

Parallelamente, il CERT-AGID ha tracciato campagne rivolte a dipendenti di pubbliche amministrazioni e aziende private a tema Agenzia delle Entrate e Agenzia delle Entrate-Riscossione. In questo caso, le comunicazioni simulavano il modulo di autenticazione dell’area riservata, riproducendo persino il logo AgID per l’accesso tramite identità digitale, con l’indirizzo email della vittima già precompilato nel portale clone per carpire la password.

I segnali di allarme nei passaggi del sito malevolo

Esaminando i passaggi documentati dai bollettini istituzionali, emergono discrepanze operative decisive rispetto alle reali procedure delle istituzioni italiane:

• Richiesta progressiva di dati anagrafici e bancari: la frode analizzata dal CERT-AGID chiedeva dapprima nome, cognome, codice fiscale, residenza e contatti, per poi passare al numero della carta di pagamento, data di scadenza e codice CVV, giustificando la procedura con falsi riferimenti a normative di sicurezza e al Modello 730.
• Finta autorizzazione di sicurezza: la fase più critica del tentativo di truffa culminava in una schermata intitolata all’autorizzazione bancaria 3D Secure, chiedendo alla persona di approvare una notifica push sulla propria applicazione bancaria entro sessanta secondi. L’obiettivo reale non era l’identificazione, bensì l’autorizzazione inconsapevole di una transazione fraudolenta.
• Simulazione di schermate di login: nel caso dell’Agenzia delle Entrate, l’inganno mirava a sottrarre le credenziali di accesso ai sistemi, esponendo caselle di posta e registri a manomissioni o furto di dati.

Procedura per la consultazione indipendente

Di fronte a un messaggio che richiede azioni rapide per riscuotere un credito o sbloccare una pratica, scelgo di non utilizzare i collegamenti ipertestuali incorporati nel testo. La verifica sicura segue passaggi precisi:

1. Ignorare il link o il pulsante presente nell’email e aprire una nuova finestra del browser.
2. Digitare manualmente l’indirizzo del portale istituzionale di riferimento, come il sito ufficiale dell’Agenzia delle Entrate o dell’INPS.
3. Accedere alla propria area personale autenticandosi esclusivamente tramite i canali ufficiali previsti, verificando lo stato reale di rimborsi, dichiarazioni o notifiche nel proprio cassetto fiscale o fascicolo previdenziale.
4. Rifiutare categoricamente qualsiasi richiesta di autorizzazione su app bancarie che non sia stata avviata direttamente da un acquisto o pagamento esplicitamente disposto in quel momento.

La consultazione indipendente esclude qualsiasi intermediario arrivato via posta elettronica, azzerando il rischio di interagire con infrastrutture malevole predisposte per sottrarre dati o denaro.

Fonti

• Nuova campagna di phishing ai danni di INPS: falso rimborso per “ricalcolo contributi fiscali” - CERT-AGID
• Agenzia delle Entrate - campagna di phishing mirata alle Pubbliche Amministrazioni - CERT-AGID

Kinetyra