Truffa SMS Agenzia Entrate: cosa fare se hai cliccato

Se hai ricevuto un SMS che sembra provenire dall’Agenzia delle Entrate e ti invita a cliccare su un link per controllare una comunicazione fiscale, non aprirlo. È in corso una nuova campagna di smishing: i messaggi rimandano a siti contraffatti creati per sottrarre credenziali e dati personali. Se hai già cliccato, le azioni da compiere dipendono da ciò che hai fatto successivamente.

Una nuova truffa utilizza il nome dell’Agenzia delle Entrate per convincere gli utenti ad aprire collegamenti presenti negli SMS.

L’Agenzia ha segnalato la nuova campagna il 21 settembre 2026. Si tratta di smishing, cioè una forma di phishing che viene distribuita attraverso messaggi SMS.

Il meccanismo è semplice ma potenzialmente molto efficace: il contribuente riceve sullo smartphone una comunicazione apparentemente ufficiale riguardante la propria situazione fiscale e viene invitato a utilizzare un collegamento per visualizzare maggiori informazioni.

Il sito aperto attraverso quel link può imitare graficamente un portale istituzionale e richiedere informazioni personali.

È quindi fondamentale sapere come riconoscere il falso SMS dell’Agenzia delle Entrate e, soprattutto, cosa fare se si è già cliccato sul collegamento.

Cos’è la nuova truffa SMS dell’Agenzia delle Entrate

La campagna sfrutta una tecnica chiamata smishing.

La parola deriva dall’unione di:

SMS + phishing

I criminali inviano un messaggio sul cellulare facendo credere alla vittima che provenga da un’organizzazione conosciuta.

In questo caso viene utilizzato il nome dell’Agenzia delle Entrate.

Il messaggio può fare riferimento, per esempio, a:

• una nuova comunicazione fiscale;
• una verifica della posizione tributaria;
• un avviso disponibile online;
• un rimborso;
• un pagamento;
• una presunta irregolarità;
• una pratica da controllare;
• una comunicazione urgente.

L’obiettivo è convincerti a utilizzare il collegamento presente nell’SMS invece di accedere autonomamente al sito istituzionale.

Come funziona la truffa

Il percorso può essere suddiviso in pochi passaggi.

1. Ricevi l’SMS

Sul telefono compare un messaggio che sembra provenire dall’Agenzia delle Entrate.

Il testo utilizza generalmente un tono formale e può creare un senso di urgenza.

Potresti quindi pensare:

“Devo controllare subito.”

È esattamente la reazione che cerca di ottenere chi ha realizzato la truffa.

2. Nell’SMS trovi un collegamento

Il messaggio contiene un link che dovrebbe permettere di consultare la presunta comunicazione fiscale.

Il collegamento, però, non porta necessariamente al vero sito dell’Agenzia delle Entrate.

3. Si apre un falso sito

Dopo aver cliccato potresti vedere una pagina molto simile a quella di un portale istituzionale.

Colori, loghi e struttura grafica possono essere copiati.

Questo è un aspetto importante: un sito graficamente convincente non è necessariamente autentico.

CERT-AGID ha documentato nel settembre 2026 campagne che utilizzano in modo fraudolento nome, logo e grafica dell’Agenzia delle Entrate e di Agenzia delle entrate-Riscossione. In alcuni casi i siti falsi sono strutturati in più pagine proprio per risultare maggiormente credibili.

4. Ti vengono chiesti dei dati

La pagina può invitarti a inserire informazioni personali o credenziali.

A seconda della campagna potrebbero essere richiesti:

• nome e cognome;
• codice fiscale;
• email;
• numero di telefono;
• credenziali;
• informazioni bancarie;
• estremi della carta di pagamento;
• altri dati personali.

È in questo momento che la truffa diventa particolarmente pericolosa.

Perché questi SMS sembrano autentici

Le moderne campagne di phishing sono molto più curate rispetto a qualche anno fa.

Non bisogna quindi aspettarsi necessariamente:

• italiano scorretto;
• loghi deformati;
• pagine palesemente false;
• messaggi pieni di errori.

I criminali possono copiare quasi perfettamente l’aspetto di un sito.

Anche il nome visualizzato come mittente dell’SMS non deve essere considerato una garanzia assoluta di autenticità.

Per questo la regola più sicura è molto semplice:

non utilizzare il link contenuto nel messaggio per accedere ai servizi fiscali.

Come verificare una comunicazione dell’Agenzia delle Entrate

Se l’SMS parla di una comunicazione fiscale che potrebbe riguardarti, non devi necessariamente ignorare la questione.

Devi semplicemente controllarla attraverso un percorso sicuro.

Metodo consigliato

Apri direttamente il browser e digita:

agenziaentrate.gov.it

Oppure utilizza il sito ufficiale:

Agenzia delle Entrate

Da qui puoi entrare nell’area riservata attraverso i sistemi di autenticazione previsti.

Per i cittadini l’accesso ai servizi dell’Agenzia può avvenire, a seconda del servizio, tramite sistemi come SPID, CIE o CNS.

In questo modo eviti completamente il link ricevuto nell’SMS.

Come riconoscere un SMS sospetto dell’Agenzia delle Entrate

Non esiste un singolo elemento che permetta di identificare tutte le truffe.

Esistono però diversi segnali che devono aumentare immediatamente l’attenzione.

Diffida in particolare quando il messaggio:

• contiene un link da aprire;
• ti mette fretta;
• parla di sanzioni immediate;
• promette un rimborso inatteso;
• richiede una verifica urgente;
• chiede dati personali;
• chiede dati della carta;
• invita a inserire credenziali;
• rimanda a un dominio insolito;
• presenta errori grammaticali o frasi poco naturali.

Anche in assenza di questi segnali, evita comunque di utilizzare direttamente il collegamento.

Ho ricevuto l’SMS ma non ho cliccato: cosa devo fare?

Se hai semplicemente ricevuto il messaggio e non hai aperto il link, la situazione è relativamente semplice.

Non devi cambiare password o bloccare carte soltanto per aver ricevuto l’SMS.

Puoi:

1. non cliccare sul collegamento;
2. non rispondere al messaggio;
3. non chiamare eventuali numeri indicati nell’SMS;
4. cancellare il messaggio;
5. bloccare il mittente se opportuno.

Se vuoi verificare se esiste davvero una comunicazione fiscale, apri autonomamente il sito ufficiale dell’Agenzia delle Entrate.

Ho cliccato sul link ma non ho inserito niente: cosa devo fare?

Questa è una situazione molto comune.

Hai aperto il collegamento, ti sei accorto che qualcosa non andava e hai chiuso la pagina.

Se non hai inserito credenziali, dati personali, informazioni bancarie e non hai scaricato o installato nulla, il rischio è molto più limitato.

Procedi comunque così:

1. chiudi la pagina;
2. non tornarci;
3. controlla che non sia stato scaricato alcun file;
4. verifica la cartella Download del telefono;
5. elimina eventuali file sospetti che non hai intenzionalmente scaricato;
6. controlla che il browser sia aggiornato;
7. aggiorna Android o iOS se è disponibile un aggiornamento di sicurezza.

Cliccare un collegamento non significa automaticamente che qualcuno abbia ottenuto le tue password.

Il rischio aumenta soprattutto quando vengono inseriti dati o installati contenuti provenienti dal sito.

Ho cliccato e ho inserito email e password

In questo caso è necessario intervenire rapidamente.

Cambia immediatamente la password

Accedi al vero servizio utilizzando:

• l’app ufficiale;
• oppure il sito ufficiale digitato manualmente.

Cambia la password compromessa.

Hai utilizzato la stessa password anche altrove?

Questo passaggio è importantissimo.

Se la password inserita nella pagina falsa viene utilizzata anche per:

• email;
• Facebook;
• Amazon;
• banca;
• altri servizi;

devi modificarla anche su quegli account.

Ogni account dovrebbe utilizzare una password differente.

Attiva l’autenticazione a due fattori

Quando disponibile, abilita l’autenticazione a due fattori.

In questo modo conoscere soltanto la password potrebbe non essere sufficiente per entrare nell’account.

Ho inserito le credenziali SPID: cosa fare

Se temi di aver comunicato le tue credenziali SPID, contatta il gestore che ha rilasciato la tua identità digitale.

Non utilizzare il link presente nell’SMS.

Vai direttamente al sito del tuo Identity Provider e verifica le procedure disponibili per:

• cambiare password;
• recuperare le credenziali;
• mettere in sicurezza l’identità digitale;
• contattare l’assistenza;
• richiedere eventualmente la sospensione.

Il portale ufficiale SPID mantiene una pagina con i contatti di assistenza dei diversi Identity Provider.

Puoi partire da:

Assistenza ufficiale SPID

In caso di dubbi, contatta direttamente il tuo gestore.

Ho inserito i dati della carta di credito o del conto

Questa situazione richiede maggiore urgenza.

Se hai fornito:

• numero della carta;
• data di scadenza;
• CVV;
• credenziali bancarie;
• codici di autorizzazione;

contatta immediatamente la tua banca utilizzando esclusivamente il numero ufficiale.

Il numero si trova generalmente:

• sul retro della carta;
• nell’app ufficiale;
• sul sito della banca digitato manualmente.

Spiega che potresti aver comunicato i dati attraverso un sito di phishing.

La banca potrà valutare se:

• bloccare temporaneamente la carta;
• sostituirla;
• bloccare determinate operazioni;
• controllare movimenti sospetti;
• modificare le credenziali.

Non aspettare di vedere un addebito prima di contattare l’istituto.

Ho comunicato un codice OTP

I codici OTP sono particolarmente delicati.

Sono quei codici temporanei che arrivano tramite:

• SMS;
• app bancaria;
• app di autenticazione;
• notifiche.

Se hai comunicato un OTP a un sito o a una persona sospetta, contatta subito il servizio interessato.

Potrebbe infatti essere stato utilizzato per autorizzare:

• un accesso;
• una modifica;
• un pagamento;
• un’altra operazione sensibile.

Ho scaricato un’app o un file dal link

Questa è un’altra situazione da trattare con attenzione.

Se il sito ti ha chiesto di scaricare un’applicazione, specialmente un file APK su Android, non installarlo.

Se lo hai già installato:

1. disconnetti temporaneamente il telefono dalle reti se noti comportamenti anomali;
2. individua l’app appena installata;
3. controlla le autorizzazioni concesse;
4. rimuovila;
5. esegui i controlli di sicurezza disponibili sul dispositivo;
6. aggiorna il sistema operativo;
7. cambia le password importanti da un dispositivo che ritieni sicuro.

Su Android puoi inoltre verificare che Google Play Protect sia attivo.

Evita soprattutto di concedere ad applicazioni sconosciute autorizzazioni come:

• Accessibilità;
• lettura degli SMS;
• amministratore dispositivo;
• notifiche;
• installazione di altre app;
• accesso completo ai file.

Attenzione alle telefonate dopo l’SMS

La truffa potrebbe non terminare con il primo messaggio.

Se hai inserito il numero di telefono o altri dati personali, potresti successivamente ricevere una chiamata.

Una persona potrebbe presentarsi come:

• dipendente dell’Agenzia delle Entrate;
• operatore della banca;
• addetto antifrode;
• tecnico;
• operatore di sicurezza.

Il fatto che il chiamante conosca il tuo nome, numero di telefono o altre informazioni non dimostra che sia realmente chi dice di essere.

Non comunicare:

• password;
• PIN;
• OTP;
• codici ricevuti tramite SMS;
• codici dell’app bancaria.

Se hai dubbi, termina la telefonata e richiama autonomamente l’ente attraverso i recapiti ufficiali.

Attenzione anche ai falsi rimborsi fiscali

Le campagne che utilizzano il nome dell’Agenzia delle Entrate non riguardano soltanto gli SMS.

Nel settembre 2026 il CERT-AGID ha rilevato numerose campagne malevole legate al tema del rimborso.

Nella settimana dal 12 al 18 settembre sono state individuate 191 campagne malevole, 158 delle quali rivolte a obiettivi italiani. Il tema “rimborso” è stato utilizzato in 46 campagne di phishing italiane, prevalentemente ai danni dell’Agenzia delle Entrate.

Nella settimana precedente erano state osservate 65 campagne italiane legate ai rimborsi che sfruttavano soprattutto Agenzia delle Entrate, pagoPA e INPS.

Questo dimostra perché sia particolarmente importante prestare attenzione a messaggi che promettono improvvisamente denaro da recuperare.

Anche un sito con il logo dell’Agenzia può essere falso

Uno degli errori più comuni consiste nel pensare:

“C’è il logo dell’Agenzia delle Entrate, quindi il sito è vero.”

Non è così.

Logo, colori, pulsanti e immagini pubbliche possono essere copiati.

CERT-AGID ha documentato, per esempio, una campagna relativa a un falso Bonus Vacanze nella quale il sito fraudolento riproduceva in maniera elaborata il portale dell’Agenzia delle Entrate e utilizzava una procedura suddivisa in più passaggi per aumentare la credibilità della truffa.

Per questo il metodo migliore non è cercare di capire se la grafica “sembra vera”.

Bisogna invece partire sempre dall’indirizzo ufficiale:

www.agenziaentrate.gov.it

Come accedere in sicurezza all’Agenzia delle Entrate

Quando devi utilizzare un servizio fiscale:

1. apri il browser;
2. digita personalmente agenziaentrate.gov.it;
3. controlla l’indirizzo nella barra;
4. entra nell’Area riservata;
5. utilizza il metodo di autenticazione previsto;
6. consulta da lì eventuali comunicazioni.

Evita di entrare nell’area riservata partendo da collegamenti ricevuti attraverso:

• SMS;
• WhatsApp;
• Telegram;
• social network;
• email sospette.

Salvare il sito ufficiale nei preferiti del browser può essere una buona soluzione per chi lo utilizza frequentemente.

Pro tip: usa la regola dei 30 secondi

Quando ricevi una comunicazione urgente da una banca o dalla Pubblica Amministrazione, non agire immediatamente.

Dedica 30 secondi a verificare tre cose:

Chi sta chiedendo l’azione?

Perché dovrei compierla proprio adesso?

Posso controllare la stessa informazione entrando autonomamente nel sito ufficiale?

Nella maggior parte dei casi puoi verificare la situazione senza utilizzare il collegamento ricevuto.

È una semplice abitudine che può evitare molte truffe.

Cosa NON fare dopo aver ricevuto il falso SMS

Ricorda soprattutto di non:

• cliccare impulsivamente;
• rispondere al messaggio;
• fornire dati personali;
• inserire password;
• comunicare OTP;
• inserire i dati della carta;
• installare applicazioni proposte dal sito;
• chiamare numeri presenti nel messaggio;
• fidarti soltanto del logo o del nome visualizzato.

Posso contattare direttamente l’Agenzia delle Entrate?

Sì.

Se hai dubbi su una comunicazione fiscale puoi utilizzare i canali ufficiali dell’Agenzia delle Entrate.

L’Agenzia mette a disposizione servizi di assistenza telefonica e altri canali per le informazioni fiscali.

La soluzione più sicura resta partire dalla sezione ufficiale:

Agenzia delle Entrate – Contatti e assistenza

Evita invece di utilizzare eventuali numeri telefonici indicati nell’SMS sospetto.

Cosa fare in base a quello che è successo

Puoi utilizzare questo semplice schema.

Hai solo ricevuto l’SMS?
Non cliccare e cancellalo.

Hai cliccato ma non hai inserito niente?
Chiudi la pagina e controlla che non sia stato scaricato nulla.

Hai inserito una password?
Cambiala immediatamente e modifica anche gli altri account dove utilizzavi la stessa password.

Hai inserito SPID?
Contatta subito il tuo Identity Provider.

Hai inserito dati bancari o della carta?
Contatta immediatamente la banca.

Hai comunicato un OTP?
Contatta subito la banca o il servizio interessato.

Hai installato un’app o un APK?
Rimuovilo, controlla autorizzazioni e sicurezza del dispositivo e modifica le credenziali importanti da un dispositivo affidabile.

FAQ sulla truffa SMS Agenzia delle Entrate

L’Agenzia delle Entrate manda SMS?

L’esistenza di servizi SMS dell’Agenzia non significa che qualunque SMS con il nome dell’ente sia autentico. La provenienza deve essere verificata e non bisogna utilizzare collegamenti sospetti per inserire dati personali o credenziali.

Come faccio a sapere se l’SMS dell’Agenzia delle Entrate è falso?

Uno dei principali campanelli d’allarme è un collegamento che ti invita urgentemente a verificare una comunicazione, un pagamento, un rimborso o la posizione fiscale. Non utilizzare quel link: entra autonomamente su agenziaentrate.gov.it e controlla la tua situazione.

Ho cliccato sul link: mi hanno rubato i dati?

Non necessariamente. Se hai soltanto aperto la pagina senza inserire informazioni, autorizzare operazioni o installare file, il rischio è inferiore. Chiudi il sito e verifica comunque che non siano stati scaricati file.

Cosa faccio se ho inserito la password?

Cambiala immediatamente sul vero servizio. Se utilizzavi la stessa password su altri siti, cambiala anche lì e attiva l’autenticazione a due fattori quando disponibile.

Cosa faccio se ho inserito i dati della carta?

Contatta immediatamente la tua banca utilizzando il numero ufficiale e spiega di essere caduto in un possibile tentativo di phishing. Sarà la banca a indicarti se bloccare o sostituire la carta.

Cosa devo fare se ho dato le credenziali SPID?

Contatta immediatamente il gestore che ti ha fornito SPID. Il portale ufficiale SPID contiene l’elenco aggiornato dei canali di assistenza degli Identity Provider.

Un SMS può sembrare provenire dallo stesso mittente di messaggi autentici?

Il nome visualizzato dal telefono non è sufficiente per stabilire che un messaggio sia autentico. Per le comunicazioni sensibili è meglio verificare sempre attraverso il sito o l’app ufficiale.

L’Agenzia delle Entrate chiede i dati della carta tramite un link SMS?

Una richiesta di dati di pagamento o credenziali attraverso una pagina raggiunta da un SMS inatteso deve essere considerata fortemente sospetta. Non inserire nulla e verifica la comunicazione direttamente sui canali ufficiali.

Conclusione

La nuova truffa SMS che utilizza il nome dell’Agenzia delle Entrate dimostra quanto siano diventati sofisticati i tentativi di phishing.

Non bisogna affidarsi soltanto alla grafica, al logo o al nome del mittente.

La regola più efficace è molto più semplice: quando un SMS riguarda tasse, rimborsi, pagamenti o comunicazioni fiscali, non utilizzare il collegamento ricevuto.

Apri invece autonomamente il sito ufficiale dell’Agenzia delle Entrate e controlla la situazione dalla tua area riservata.

Se hai già cliccato, non significa automaticamente essere stati truffati. È però importante capire cosa hai fatto dopo: se hai inserito password, credenziali SPID, dati bancari o codici OTP, intervieni immediatamente mettendo in sicurezza gli account interessati.

E soprattutto, prima di inserire informazioni personali dopo aver ricevuto una comunicazione inattesa, fermati e verifica sempre il messaggio attraverso un canale ufficiale.