Sta circolando in queste ore una comunicazione apparentemente proveniente dall’Agenzia delle Entrate che informa il contribuente dell’avvenuta approvazione di un rimborso IRPEF e lo invita ad accedere a un’apposita area per ottenere l’accredito sul proprio conto corrente. La comunicazione è falsa e il rischio per chi cade nella trappola può essere molto serio.
Abbiamo avuto modo di esaminare e lavorare su uno di questi messaggi: la pagina riproduce colori, logo e impostazione grafica dell’Agenzia delle Entrate e indica persino un importo preciso del presunto rimborso e un numero di protocollo. Nel caso esaminato, ad esempio, viene comunicato un rimborso di 5.626 euro, indicato come «in attesa di accredito». Tutto è studiato per trasmettere al destinatario la sensazione di trovarsi davanti a una normale comunicazione dell’Amministrazione finanziaria, ma non è così.
COLLEGAMENTO CON IL CONTO BANCARIO
Il meccanismo utilizzato è quello del phishing: il contribuente viene attirato dalla prospettiva di ricevere una somma di denaro e indotto a cliccare sul pulsante presente nella comunicazione. A quel punto viene trasferito su un sito che imita quello dell’Agenzia delle Entrate (e bisogna ammettere che è stato ben riprodotto) e che, nel caso da noi esaminato, conduce la vittima verso una procedura attraverso la quale viene richiesto di collegare il proprio conto bancario. E’ proprio questo il passaggio più pericoloso: non siamo quindi davanti alla classica e-mail che chiede di comunicare un codice fiscale o un numero di carta: il tentativo è costruito per convincere a fornire l’autorizzazione per l’accesso diretto al conto, inserendo poi anche le credenziali della banca.
Più o meno succede ciò che fanno i nostri clienti che utilizzano la soluzione DIGY per permetterci di accedere al conto bancario e prelevare direttamente i dati per la contabilità: viene stabilito il collegamento tramite l’inserimento delle proprie credenziali, però in questo caso avviene in maniera fraudolenta.
COME FARE ATTENZIONE
Il primo elemento da controllare è sempre l’indirizzo Internet al quale conduce il messaggio: nel nostro caso è creato apposta con parole che richiamano l’Agenzia delle Entrate, ma il dominio utilizzato non è un dominio istituzionale dell’Agenzia delle Entrate. Si tratta di una tecnica molto comune: inserire nel nome del sito parole come “agenziaentrate”, “gov”, “rimborso” o simili, ma ciò ovviamente non rende quel sito ufficiale.
E’ vero che esiste davvero la possibilità di comunicare all’Agenzia l’IBAN sul quale ricevere i rimborsi fiscali, ma si tratta di inserire solo l’IBAN e non certo di stabilire un collegamento diretto con la banca. Peraltro la procedura autentica avviene attraverso i servizi telematici ufficiali dell’Agenzia delle Entrate, accedendo all’area riservata, non certo inserendo semplicemente nome, cognome e data di nascitaa
Non divulghiamo ovviamente il link malevolo, ma se avete semplicemente aperto la pagina, senza avere inserito informazioni o autorizzato operazioni, potete stare tranquilli. La situazione cambia radicalmente se sono state inserite credenziali bancarie, password, codici OTP, e quindi è stato autorizzato un collegamento al conto o confermata un’operazione attraverso l’app della propria banca: in questo caso occorre contattare immediatamente la banca, spiegare quanto accaduto e chiedere di verificare e mettere in sicurezza l’accesso al conto. È inoltre opportuno controllare immediatamente movimenti e operazioni autorizzate e modificare le credenziali eventualmente compromesse.
SEMPRE CON VOI
I tentativi di phishing sono sempre più sofisticati e spesso utilizzano proprio il nome dell’Agenzia delle Entrate, dell’INPS, delle banche e di altri soggetti istituzionali per acquistare credibilità.
Se siete clienti dello Studio Sollena e ricevete una comunicazione fiscale che vi sembra sospetta, prima di cliccare o inserire qualsiasi dato, inoltratecela. Basta un attimo per verificare se la comunicazione è autentica e può essere sufficiente per evitare conseguenze molto più gravi.