Come riconoscere un falso messaggio su un rimborso

Ogni volta che una misura fiscale finisce sui giornali, nel giro di pochi giorni iniziano a circolare email e SMS che ne parlano. Non è una coincidenza: chi costruisce questi messaggi sa che in quel momento le persone si aspettano una comunicazione, e che l’incertezza su una norma nuova abbassa la soglia di attenzione.

I messaggi sono diventati molto più curati di qualche anno fa. L’italiano sbagliato e la grafica approssimativa non sono più indizi affidabili. Quello che non è cambiato è la struttura: è lì che si riconoscono.

Perché proprio dopo una novità fiscale

Una misura come la riduzione dell’aliquota del secondo scaglione offre due ingredienti perfetti: un argomento che interessa molte persone e un’incertezza reale su che cosa comporti per ciascuno.

Si aggiunge un terzo elemento: in quel periodo circolano effettivamente dei conguagli a credito, quindi l’idea di «una somma che ti spetta» non suona assurda. Il messaggio falso si appoggia a un fatto vero.

I cinque segnali

1. Ti chiedono dati che l’ente ha già

È il segnale più solido. L’INPS conosce il tuo codice fiscale, la tua posizione e il tuo IBAN. L’Agenzia delle Entrate pure. Non hanno alcun motivo per chiederteli via email.

Un messaggio che chiede codice fiscale, credenziali, numero di carta o IBAN «per accreditare il rimborso» è falso, indipendentemente da quanto sia ben fatto.

2. C’è un termine ravvicinato

«Entro 48 ore», «ultimo avviso», «la pratica verrà annullata». L’urgenza serve a impedirti di verificare. Le comunicazioni ufficiali lavorano con termini di settimane e, quando sono importanti, arrivano anche per posta o nei canali ufficiali a cui accedi tu.

3. Ti annunciano una cifra precisa da confermare

Un rimborso che ti spetta davvero viene erogato secondo le procedure previste, senza che tu debba confermare nulla cliccando su un link. Se c’è una somma e un pulsante per «sbloccarla», il messaggio è falso.

4. Il link non porta a un dominio ufficiale

I siti ufficiali italiani usano domini come inps.it, agenziaentrate.gov.it, gov.it. Attenzione alle varianti che somigliano: una parola aggiunta, un trattino, un’estensione diversa.

5. La formula di apertura è generica

«Gentile contribuente», «Gentile utente». Un ente che gestisce la tua posizione conosce il tuo nome. Non vale però il contrario: la presenza del tuo nome non dimostra nulla, perché i nomi circolano.

Basta un solo segnale

Non serve trovarli tutti e cinque. Uno è sufficiente per lasciar perdere il messaggio e andare direttamente sul sito ufficiale. Costa un minuto e non perdi nulla nemmeno se il messaggio era autentico.

Com’è fatto un messaggio vero

Le comunicazioni che riguardano la tua posizione passano dai canali a cui accedi tu: l’area riservata dei siti istituzionali, la posta, in alcuni casi il domicilio digitale. L’accesso avviene con SPID, CIE o CNS.

Se ti viene chiesto di digitare una password su una pagina raggiunta da un link in un messaggio, qualcosa non va. Se c’è davvero qualcosa che ti riguarda, lo troverai accedendo per conto tuo.

Come controllare un link senza aprirlo

Da computer, passa il puntatore sopra il link senza fare clic: in basso compare l’indirizzo reale. Da telefono, tieni premuto finché non appare l’anteprima dell’indirizzo.

Guarda la parte subito prima della prima barra: è lì che si trova il dominio vero. Tutto quello che viene dopo può essere scritto a piacere da chi ha costruito la pagina.

Se hai già cliccato

1. Solo cliccato, nulla inserito? Chiudi la pagina. Il rischio è limitato.
2. Inserito credenziali? Cambia subito la password di quel servizio e di ogni altro dove usavi la stessa.
3. Inserito dati della carta? Chiama immediatamente la tua banca e fai bloccare la carta.
4. Fatto un bonifico? Contatta la banca e sporgi denuncia. La tempestività è il fattore che conta di più.
5. Dubbi sulla tua posizione? Contatta l’INPS o l’Agenzia delle Entrate usando i recapiti presi dai loro siti, non dal messaggio.

Dove segnalare

Le truffe informatiche si segnalano alla Polizia Postale, attraverso il Commissariato di PS online, dove è possibile inviare una segnalazione o sporgere denuncia.

Sia l’Agenzia delle Entrate sia l’INPS pubblicano inoltre avvisi sulle campagne di false comunicazioni in corso: vale la pena controllare lì quando si riceve qualcosa di sospetto.

Due abitudini che risolvono quasi tutto

Vai sempre al sito da solo. Digita l’indirizzo o usa un segnalibro che hai creato tu. Mai un link ricevuto in un messaggio, per quanto convincente. Se c’è qualcosa che ti riguarda, lo vedrai dopo l’accesso.

Nel dubbio, telefona. Prendi il numero dal sito ufficiale, non dal messaggio. Nessun ente trova strano che una persona chiami per verificare.

Il punto

Questi messaggi non funzionano perché sono sofisticati: funzionano perché arrivano nel momento in cui una comunicazione sembra plausibile. Conoscere i cinque segnali e abituarsi ad aprire da soli i siti ufficiali elimina gran parte del rischio, senza bisogno di competenze tecniche.