C’è una nuova trappola digitale che corre nelle caselle di posta degli italiani e questa volta non si limita a imitare male il linguaggio burocratico del Fisco. Le false e-mail che sembrano arrivare dall’Agenzia delle Entrate sono diventate più sofisticate, più credibili e soprattutto più insidiose, perché fanno leva su uno dei meccanismi più efficaci della paura contemporanea: il timore di avere un problema con il Fisco.
Con un avviso pubblicato il 22 giugno 2026, l’Agenzia delle Entrate ha segnalato nuove tipologie di comunicazioni fraudolente che utilizzano in modo illecito nome, logo e grafica dell’ente per convincere i destinatari a fornire dati personali, finanziari e patrimoniali. Il tema scelto dai truffatori non è casuale: il possesso di cripto-asset digitali, terreno ancora percepito da molti come complesso, tecnico e potenzialmente rischioso sul piano fiscale.
Il risultato è una truffa costruita per sembrare urgente, ufficiale e inevitabile. Una miscela perfetta per spingere il contribuente a fare esattamente ciò che non dovrebbe mai fare: consegnare spontaneamente informazioni sensibili a soggetti sconosciuti.
False e-mail dell’Agenzia delle Entrate: come funziona la nuova truffa
Le comunicazioni segnalate dall’Agenzia possono avere testi diversi, ma seguono tutte la stessa logica. Il destinatario viene informato di una presunta obbligatorietà legata a una dichiarazione di possesso di cripto-asset digitali. In alcuni casi compaiono anche riferimenti a scadenze imminenti, costruiti appositamente per creare ansia e ridurre il tempo della riflessione.
È il copione classico del phishing, ma aggiornato a una versione più raffinata. Non c’è soltanto una mail generica che invita a cliccare su un link sospetto. C’è una comunicazione che simula il tono istituzionale, che imita l’aspetto delle comunicazioni ufficiali e che prova a far credere alla vittima di trovarsi davanti a una procedura realmente avviata dall’amministrazione finanziaria.
Il punto centrale è proprio questo: la truffa non chiede subito denaro. Chiede informazioni. E in molti casi le informazioni valgono quanto, se non più, di un pagamento diretto.
Il falso portale e la richiesta dei dati personali
Secondo quanto ricostruito dall’Agenzia delle Entrate, una delle versioni più sofisticate della frode indirizza il destinatario verso un sito che imita il portale istituzionale dell’ente. Una volta arrivato sulla pagina, l’utente viene invitato a inserire codice fiscale e numero di telefono cellulare attraverso un modulo che richiama i sistemi di autenticazione dell’Agenzia.
A quel punto la truffa fa un passo in più. La vittima accede a un modulo di dichiarazione in cui compare il codice fiscale inserito e uno stato indicato come “In attesa di verifica patrimoniale”. È un dettaglio solo apparentemente tecnico, ma in realtà decisivo: serve a dare l’impressione che esista già una pratica aperta, che la macchina fiscale sia già in movimento e che non rispondere possa provocare conseguenze.
È qui che la paura diventa metodo. Il contribuente viene spinto a credere che stia soltanto completando una verifica, quando invece sta consegnando dati preziosi a un soggetto fraudolento.
Criptovalute, wallet e conti correnti: le domande che devono far scattare l’allarme
Il falso modulo chiede poi se la persona utilizzi wallet o exchange di criptovalute. In base alla risposta, il percorso cambia.
In caso di risposta positiva, vengono richiesti dettagli sul wallet o sull’exchange utilizzato, sulla data dell’ultimo deposito e sul valore stimato del patrimonio in criptovalute. In caso di risposta negativa, la frode si sposta invece sul conto corrente tradizionale, chiedendo il nome dell’istituto bancario e l’ultimo saldo disponibile in euro.
Il meccanismo è evidente: qualunque sia la risposta, la vittima viene portata a rivelare informazioni patrimoniali. Cripto o conto corrente, poco cambia. L’obiettivo è ottenere dati che possano essere utilizzati per successive frodi, furti d’identità, accessi indebiti o ulteriori tentativi di estorsione.
Dal phishing al vishing: quando la truffa continua al telefono
La parte più inquietante della nuova campagna segnalata dall’Agenzia è il passaggio dal phishing al vishing, cioè il voice phishing. Dopo l’invio dei dati, la vittima visualizza una schermata che simula un errore di sincronizzazione. Il messaggio sostiene che le informazioni fornite sarebbero incongruenti con l’Anagrafe tributaria.
Da qui parte la pressione psicologica. La pagina avverte del rischio di “emissione automatica di un avviso di accertamento” e di “blocco cautelativo degli asset”. Parole pesanti, scelte per spaventare. A quel punto viene indicato un numero da contattare, presentato come “Ufficio Verifiche di Milano”.
Ed è proprio lì che la truffa cambia forma. La vittima, già allarmata, viene indotta a telefonare a un presunto ufficio dell’Agenzia. In realtà dall’altra parte non c’è alcun funzionario, ma un truffatore pronto a sfruttare la tensione del momento per ottenere altri dati sensibili, codici di sicurezza o persino pagamenti.
Perché questa truffa è particolarmente pericolosa
La pericolosità di questa nuova campagna sta nella sua costruzione. Non si limita a mandare una mail sospetta piena di errori grammaticali o traduzioni improbabili. Simula una procedura. Crea una pratica. Genera uno stato di attesa. Fa comparire un problema tecnico. Poi offre una via d’uscita telefonica.
È una regia pensata per accompagnare la vittima passo dopo passo, fino a farle credere di essere dentro un normale iter amministrativo. Il tema fiscale fa il resto. Per molti cittadini, una comunicazione dell’Agenzia delle Entrate è già di per sé qualcosa da prendere sul serio. Se poi vengono evocati accertamenti, blocchi patrimoniali e verifiche, la lucidità rischia di abbassarsi rapidamente.
La platea potenzialmente colpita è molto ampia. Non riguarda soltanto professionisti, imprese o partite IVA. Può coinvolgere lavoratori dipendenti, pensionati, famiglie e qualunque contribuente che riceva comunicazioni online legate al Fisco.
Come riconoscere le false comunicazioni dell’Agenzia delle Entrate
Il primo segnale d’allarme è sempre l’urgenza. Le comunicazioni fraudolente spingono a fare presto, a cliccare, a inserire dati, a chiamare un numero, a evitare presunte conseguenze immediate. È proprio quella fretta costruita a tavolino che deve insospettire.
Un altro elemento da non sottovalutare è la richiesta di informazioni patrimoniali attraverso moduli non verificati. Nessuna comunicazione ricevuta via e-mail dovrebbe portare a inserire con leggerezza dati su conti correnti, saldi bancari, wallet, exchange, codici fiscali, numeri di telefono o informazioni finanziarie personali.
Anche la presenza di un numero telefonico indicato all’interno di una pagina sospetta deve essere valutata con estrema cautela. In caso di dubbio, non bisogna mai utilizzare i recapiti forniti nella mail o nella pagina collegata. La verifica deve passare soltanto dai contatti ufficiali presenti sul portale istituzionale dell’Agenzia delle Entrate.
Cosa fare se si riceve una mail sospetta
L’Agenzia delle Entrate ha disconosciuto queste comunicazioni, dichiarandosi totalmente estranea. La raccomandazione è quella di prestare la massima attenzione e di cestinare immediatamente le e-mail analoghe agli esempi segnalati.
In caso di dubbi sulla veridicità di una comunicazione, il primo controllo può essere effettuato consultando la pagina “Focus sul phishing” del portale istituzionale dell’Agenzia. Se l’incertezza rimane, è sempre preferibile rivolgersi direttamente all’Agenzia attraverso i contatti e gli uffici indicati sul sito ufficiale, senza seguire link, numeri o istruzioni contenuti nella comunicazione ricevuta.
La regola, in fondo, resta semplice: quando una mail chiede dati sensibili, promette conseguenze immediate o simula un’urgenza fiscale, fermarsi è già una forma di difesa. Perché oggi le truffe non puntano soltanto sulla distrazione. Puntano sulla paura. E la paura, online, è il primo dato che i criminali cercano di rubare.