Falso controllo sul patrimonio in cripto: la mail truffa dell’Agenzia delle Entrate che svuota il conto

Il gancio è una falsa comunicazione inviata dall'Agenzia delle Entrate che invita il destinatario a verificare e dichiarare l'eventuale possesso di criptovalute. Il tema non è scelto a caso: i guadagni derivanti da questa valuta digitale sono infatti soggetti a specifici obblighi fiscali. Facendo leva su questo aspetto, i criminali inducono la vittima a fornire informazioni sempre più dettagliate sulla propria situazione patrimoniale, fino ad arrivare al contatto diretto con i truffatori, che tentano di sottrarre dati personali e finanziari.

A lanciare l'allarme è la stessa Agenzia delle Entrate, che nelle ultime settimane ha segnalato una campagna di phishing particolarmente sofisticata. Tutto inizia con una mail che sembra provenire da un indirizzo affidabile. Anche il logo e la grafica fanno pensare a una comunicazione ufficiale. Il messaggio informa il destinatario della necessità di fornire una dichiarazione obbligatoria riguardo al possesso di cripto-asset digitali. Il tono fa leva su scadenze imminenti e possibili conseguenze in caso di mancato adempimento. Lo scopo è naturalmente quello di creare un senso di urgenza per indurre la vittima ad agire senza effettuare troppe verifiche.

Come funziona la truffa: i moduli e la doppia risposta

Cliccando sul link contenuto nel messaggio, l'utente viene reindirizzato a una pagina che riproduce fedelmente il portale dell'Agenzia delle Entrate. Grafica, banner e contenuti appaiono del tutto simili a quelli di un vero sito istituzionale, tanto da non destare sospetti. Qui viene richiesto di inserire il codice fiscale e il numero di telefono cellulare attraverso un modulo identico in tutto e per tutto ai sistemi di autenticazione ufficiali. La stessa Agenzia ha postato le schermate fraudolente e accorgersi delle differenze con le pagine reali è davvero difficile, soprattutto per un occhio non esperto.

Da questo momento prende il via la fase più sofisticata del raggiro. Dopo l'inserimento dei dati richiesti, compare una schermata che riporta il codice fiscale appena comunicato e la dicitura: "In attesa di verifica patrimoniale". È l'esca per far credere l'esistenza di una qualche pendenza a carico del cittadino. A questo punto il sistema chiede se si utilizzano wallet o piattaforme di scambio di criptovalute. In caso di risposta affermativa, il portale fake richiede ulteriori informazioni sul servizio utilizzato, sul valore stimato del patrimonio in cripto e sulla data dell'ultimo deposito. Se invece l'utente risponde "no", il modulo chiede il nome dell'istituto bancario e il saldo più recente del conto corrente. In entrambi i casi, lo scopo è raccogliere informazioni sensibili circa i movimenti finanziari della vittima.

La schermata della truffa pubblicata dall’Agenzia delle Entrate

Una volta completata la procedura, sullo schermo compare un nuovo avviso che segnala un presunto errore di sincronizzazione con l'Anagrafe tributaria. Il messaggio avverte che i dati forniti risultano incongruenti e prospetta scenari preoccupanti, come l'avvio di un approfondito accertamento fiscale di accertamento o, in certi casi, il blocco cautelativo degli asset precedentemente dichiarati. Per risolvere il problema viene però suggerito di contattare telefonicamente un fantomatico "Ufficio Verifiche di Milano". Ed è qui che scatta la trappola.

Dal phishing al vishing

Se fino a questo punto la frode segue lo schema di una truffa di phishing standard, quando l'utente contatta l'inesistente Ufficio Verifiche segnalato dal sito si passa a un ulteriore livello di raffinatezza criminale. La vittima, spaventata per le possibili conseguenze fiscali, viene infatti indotta a telefonare direttamente ai truffatori, che tentano di ottenere ulteriori dati riservati, codici di sicurezza o pagamenti. È il cosiddetto vishing, termine che deriva dall'espressione inglese voice phishing.

Una volta ottenute tutte le informazioni, i malintenzionati hanno a disposizione un prezioso patrimonio di dati che potrà essere utilizzato per svuotare i conti o essere rivenduto ad altri criminali informatici. Le informazioni sottratte possono infatti finire in circuiti illegali dove vengono impiegate per mettere a segno ulteriori frodi, furti d'identità e raggiri sempre più mirati.

Come difendersi dalla truffa

L'Agenzia delle Entrate ha precisato di essere completamente estranea a queste comunicazioni e ha invitato i cittadini a non rispondere, a non cliccare sui link contenuti nei messaggi sospetti e a cancellare immediatamente le email ricevute. Le comunicazioni ufficiali del Fisco arrivano via posta raccomandata o tramite PEC. Mail provenienti da indirizzi non verificabili, messaggi ricevuti su chat o applicazioni di messaggistica devono quindi essere considerati un importante segnale di allarme e verificati con particolare attenzione. In caso di dubbi, è sempre opportuno non farsi prendere dal panico di fronte a comunicazioni perentorie e verificare l'autenticità della comunicazione consultando la sezione dedicata al phishing presente sul portale dell'Agenzia delle Entrate oppure contattando gli uffici e i recapiti ufficiali.