Truffe, occhio alle finte mail dell’Agenzia delle Entrate

L’urgenza delle tasse

Come spiega FiscoOggi, il giornale online dell’Agenzia delle Entrate, “il testo delle mail può variare, ma tutte le versioni note di queste nuove campagne di phishing comunicano la presunta obbligatorietà di una dichiarazione di possesso di cripto-asset digitali, talvolta accompagnata da richiami a scadenze imminenti. Lo scopo è suscitare nel destinatario un senso di urgenza e di indurlo a fornire spontaneamente le proprie informazioni personali, finanziarie e patrimoniali. Le comunicazioni, per sembrare veritiere, riproducono in modo fraudolento il nome, il logo e la grafica dell’Agenzia”.

Mail e voce

Il phishing è una tecnica che si basa sull’invio di false mail, copiando lo stile e riferimenti di organizzazioni lecite. In questo caso, sottolinea FiscoOggi, si tratta di “una comunicazione particolarmente sofisticata”, perché associa il phishing al cosiddetto vishing, ossia un momento di interazione a voce, con il quale si prova a convincere l’utente a rivelare le proprie credenziali.

Basta un passo falso per accusare forti perdite finanziarie o per aprire falle all’interno della propria impresa, che – senza sistemi di protezione e senza assicurazione – potrebbero registrare danni ingenti.

Come si sviluppa la frode

La mail indirizza la vittima su un sito che imita il portale istituzionale dell’Agenzia delle Entrate. L’utente viene invitato a inserire il proprio codice fiscale e numero di telefono cellulare tramite un modulo che richiama i sistemi di autenticazione dell’Agenzia.

Successivamente, la persona accede a un modulo di dichiarazione adattivo in cui compare un codice fiscale inserito e uno stato “In attesa di verifica patrimoniale”, che simula l’esistenza di una pratica già aperta a suo carico.

Il modulo chiede quindi se la vittima utilizzi wallet o exchange di criptovalute. A seconda della risposta, il flusso si biforca: se risponde sì, vengono richiesti il wallet/exchange utilizzato, la data dell’ultimo deposito e il valore stimato del patrimonio in criptovalute; se risponde no, vengono richiesti il nome dell’istituto bancario e l’ultimo saldo del conto corrente in euro.

Dopo l’invio, la vittima visualizza una schermata che simula un errore di sincronizzazione, con la motivazione che i dati forniti risulterebbero incongruenti con l’Anagrafe tributaria. La pagina avverte in modo allarmante del rischio di “emissione automatica di un avviso di accertamento” e di “blocco cautelativo degli asset”, e invita la vittima a chiamare un numero presentato come “Ufficio Verifiche di Milano”. È in questo momento che il phishing si trasforma in vishing: la vittima, già in stato di allerta, viene spinta a contattare telefonicamente l’attore malevolo per completare la truffa.