L'Agenzia delle Entrate ha segnalato il 22 giugno 2026 nuove campagne di phishing che sfruttano il suo nome per sottrarre dati su criptovalute e conti correnti. La truffa non si ferma a un link malevolo: integra una fase vocale — il cosiddetto vishing — in cui la vittima viene spinta a chiamare un falso "Ufficio Verifiche di Milano". Il CERT-AGID ha già registrato oltre 650 interventi per truffe via mail dall'inizio del 2026.
La truffa in dettaglio: phishing, vishing e dati bancari
La mail, che riproduce fedelmente nome, logo e grafica dell'Agenzia, comunica la presunta obbligatorietà di una dichiarazione di possesso di cripto-asset con richiami a scadenze imminenti, progettati per suscitare urgenza. Il link conduce a un sito che imita il portale istituzionale, dove la vittima inserisce codice fiscale e numero di cellulare.
Appare poi un modulo con lo stato "In attesa di verifica patrimoniale" — che simula una pratica già aperta — e una biforcazione: chi dichiara di possedere criptovalute viene interrogato su wallet, exchange, data dell'ultimo deposito e valore del patrimonio; chi risponde di no, su banca e saldo del conto corrente. L'invio genera una schermata di errore fittizio con l'avviso di un possibile "blocco cautelativo degli asset", e l'invito a telefonare all'Ufficio Verifiche. È lì che il phishing diventa vishing.
PEC come vettore: l'attacco alla fiducia istituzionale
Una variante della campagna usa la PEC — posta elettronica certificata — con indirizzi compromessi o creati appositamente. L'associazione Codici segnala che l'uso di un canale percepito come istituzionalmente sicuro amplifica la credibilità della frode e mina la fiducia nell'infrastruttura certificata stessa.
Cosa fare se si riceve una di queste email
L'Agenzia si dichiara estranea a queste comunicazioni e indica tre azioni concrete:
- Verificare l'autenticità sulla pagina "Focus sul phishing" del portale istituzionale dell'Agenzia.
- In caso di dubbio residuo, contattare direttamente l'ufficio territoriale competente.
- Se la truffa è andata a segno, denunciare subito alla Polizia Postale.
Le email sospette vanno cestinate immediatamente, senza aprire link né allegati.
Il dato che pesa di più non è solo la quantità — 650 interventi CERT-AGID in meno di sei mesi — ma la qualità: combinare ingegneria sociale digitale e vocale rende queste campagne resistenti ai normali filtri antispam, e il riconoscimento manuale del messaggio resta l'unica difesa concreta.
