Phishing a nome dell'Agenzia: come difendere lo studio

Le false email a nome dell'Agenzia delle Entrate e dell'Agenzia delle Entrate-Riscossione stanno aumentando: il 2 novembre 2026 l'Agenzia ha segnalato una nuova campagna con finte notifiche e un trucco per superare i filtri antispam. Per lo studio la difesa è una procedura semplice: controllare il mittente, non cliccare i link, verificare sempre dall'area riservata e avvisare i clienti.

Negli ultimi mesi la pagina «Focus sul phishing» dell'Agenzia delle Entrate ha pubblicato 20 avvisi tra maggio e novembre 2026, 4 dei quali solo tra il 21 ottobre e il 2 novembre. Non riguardano solo i contribuenti: uno studio commercialista riceve ogni giorno comunicazioni vere dagli enti, e proprio per questo è un bersaglio ideale. Un collaboratore che clicca sul link sbagliato può consegnare le credenziali dello studio, mentre un cliente spaventato da una finta richiesta di pagamento può versare soldi a un truffatore prima ancora di telefonare.

In questa guida vediamo cosa dicono gli avvisi più recenti, come riconoscere un messaggio falso con i criteri indicati dall'Agenzia stessa, quale procedura adottare in studio e cosa fa, e cosa non fa, Commercialista AI con le email che sembrano arrivare dagli enti.

Cosa ha segnalato l'Agenzia tra ottobre e novembre 2026

Gli avvisi pubblicati nella sezione «Segnalazioni e approfondimenti» del portale descrivono 4 campagne diverse in meno di 2 settimane.

• Avviso del 2 novembre 2026. Il messaggio arriva da «AgenziaEntrate Riscossione», con indirizzo riscossione[@]agenzia[.]it, e annuncia una nuova notifica nell'area riservata del portale, valida solo 2 giorni. La novità è tecnica: dopo ogni lettera del testo vengono inseriti caratteri casuali con formattazioni diverse, per ingannare i filtri antispam. Una persona legge comunque il messaggio, perché il cervello riconosce la forma delle parole. Solo la parte centrale, con falsi riferimenti alla notifica, è scritta in chiaro, seguita dal pulsante che porta al sito truffaldino.
• Avviso del 23 ottobre 2026. Email che parlano di una discrepanza tra la dichiarazione dei redditi e i controlli effettuati, con la richiesta di pagare 732,00 euro entro il 7 novembre 2026 attraverso un finto portale dell'Agenzia. Sia il link sia l'indirizzo del mittente sono estranei ai domini istituzionali.
• Avviso del 22 ottobre 2026. Finte notifiche amministrative con protocolli, codici atto, riferimenti normativi e richiami grafici all'Agenzia delle Entrate-Riscossione. Il link sembra portare al portale istituzionale ma reindirizza a un sito esterno, dove vengono chiesti dati personali e credenziali.
• Avviso del 21 ottobre 2026. Prosegue la campagna sul falso rimborso IRPEF, già segnalata il 31 agosto e il 16 settembre: un sito chiede di verificare un presunto rimborso e, per «completare l'accredito», domanda dati personali e bancari.

Il quadro è chiaro: i messaggi imitano proprio le comunicazioni che uno studio gestisce ogni settimana, cioè notifiche, controlli sulle dichiarazioni, pagamenti e rimborsi. Anche la rivista dell'Agenzia, Fisco Oggi, ha ripreso l'avviso del 2 novembre invitando a cestinare subito il messaggio senza cliccare sul link.

Perché lo studio commercialista è un bersaglio

Uno studio è esposto per 3 motivi. Il primo è il volume: chi riceve decine di comunicazioni fiscali al giorno tende a leggerle in fretta, ed è esattamente su questa fretta che contano i truffatori. Il secondo è il valore delle credenziali: un accesso dello studio può aprire dati di molti clienti, non di uno solo. Il terzo è la fiducia dei clienti: quando un cliente riceve una finta richiesta di pagamento, spesso la inoltra allo studio chiedendo «devo pagare?», e la risposta deve essere rapida e sicura.

C'è poi un rischio meno evidente. Le campagne più curate usano lo stesso linguaggio delle comunicazioni vere: numeri di protocollo, codici atto, scadenze ravvicinate. Un collaboratore esperto le riconosce, uno appena arrivato no. Per questo serve una regola scritta, uguale per tutti, e non solo il buon senso del singolo.

Come riconoscere un'email falsa: i criteri dell'Agenzia

Nella pagina «Come difendersi» l'Agenzia indica alcune verifiche semplici. Le riprendiamo così come sono, in forma di elenco da usare in studio.

1. Il mittente è noto? Controlla l'indirizzo completo, non solo il nome visualizzato. «AgenziaEntrate Riscossione» è un nome che chiunque può scrivere; il dominio dopo la chiocciola è quello che conta.
2. Il testo è in italiano corretto e ha senso compiuto? Caratteri incoerenti, frasi che sembrano incollate, formattazioni strane sono segnali d'allarme. Secondo l'Agenzia anche una sola di queste mancanze basta per considerare il messaggio pericoloso.
3. Il link corrisponde al testo? Passando il mouse sopra il collegamento, senza cliccare, si vede la destinazione reale. Diffidare dei link accorciati, che nascondono l'indirizzo di arrivo.
4. Gli allegati hanno una sola estensione? Un file che termina con .docx va bene, uno che termina con .docx.exe no.
5. Nel dubbio, verifica per altra via. Invece di aprire il documento, contatta il mittente con un numero di telefono o un indirizzo ufficiale trovato da te, non quello scritto nell'email.

C'è infine una frase dell'Agenzia da tenere a mente: l'Agenzia delle Entrate non invia mai per posta elettronica comunicazioni contenenti dati personali dei contribuenti. Un'email che riporta importi, codici fiscali o dettagli di una dichiarazione e chiede di cliccare per pagare merita il massimo sospetto.

I domini falsi: l'elenco ufficiale da consultare

L'Agenzia pubblica anche una pagina con i «Domini estranei all'Agenzia delle Entrate», cioè gli indirizzi già usati nelle campagne o registrati per somigliare a quello ufficiale. È la tecnica chiamata typosquatting: lo stesso nome con un'estensione diversa (.com al posto di .it), un errore di battitura («agenzientrate» invece di «agenziaentrate») o un trattino in più («agenzia-entrate»).

Nell'elenco compare anche agenzia[.]it, il dominio usato nella campagna del 2 novembre. Vale la pena salvare la pagina tra i preferiti dello studio e aprirla ogni volta che un indirizzo sembra «quasi giusto». Il sito istituzionale resta www.agenziaentrate.gov.it.

La procedura in studio in 5 passi

Una regola semplice funziona meglio di una lunga circolare interna. Questa è quella che suggeriamo agli studi.

1. Mai cliccare dai messaggi. Per controllare una notifica, si apre il portale digitando l'indirizzo o dai preferiti, si entra nell'area riservata e si guarda lì. Se la notifica è vera, è lì.
2. Mai inserire credenziali in una pagina aperta da un'email. Le credenziali dei servizi telematici si usano solo sul portale aperto direttamente.
3. Un messaggio sospetto si segnala, non si inoltra. Chi lo riceve avvisa il titolare o il responsabile informatico dello studio, che decide se cestinarlo. Inoltrarlo ai colleghi «per sapere cosa ne pensano» moltiplica il rischio di un clic.
4. Un clic per sbaglio si dichiara subito. Se qualcuno ha aperto il link o inserito dati, si cambiano le password coinvolte e si valuta con il responsabile se ci sono dati dei clienti esposti. Prima si interviene, meno danni ci sono.
5. I clienti vanno avvisati. Una breve comunicazione che ricorda le campagne in corso e la regola «prima di pagare, chiedi allo studio» evita molte telefonate allarmate e qualche versamento sbagliato.

Cosa dire ai clienti

Per il cliente il messaggio deve essere breve e pratico. Questi sono i punti che conviene mettere in una circolare.

• Sono in corso campagne di false email a nome dell'Agenzia delle Entrate e dell'Agenzia delle Entrate-Riscossione, con finte notifiche, richieste di pagamento e rimborsi.
• Una richiesta di pagare entro pochi giorni tramite un link è un segnale d'allarme, soprattutto se cita importi precisi come i 732,00 euro della campagna del 23 ottobre.
• Nessun rimborso richiede di inserire i dati della carta o del conto in una pagina aperta da un'email.
• Prima di pagare o di inserire dati, il cliente inoltra il messaggio allo studio o telefona: la verifica la facciamo noi.

Così il cliente non deve diventare esperto di sicurezza: deve solo ricordare chi chiamare.

Cosa fa Commercialista AI con le email degli enti

Commercialista AI lavora sulla casella dello studio, quindi è giusto spiegare con precisione come tratta queste email. Le fonti sono l'informativa privacy e le condizioni del servizio pubblicate sul sito del programma, nella versione del 3 novembre 2026.

• Le email lette per intero sono quelle dei clienti. Il programma legge per intero solo le email che arrivano dagli indirizzi associati a clienti con email e partita IVA valide. Se un cliente inoltra una finta richiesta di pagamento chiedendo «devo pagare?», il messaggio arriva allo studio con la bozza di risposta, che il professionista controlla prima di ogni invio: le risposte richiedono sempre la conferma dello studio.
• Le email degli enti servono solo a trovare scadenze. Se lo studio lascia accesa la funzione «Scadenze in tutte le email», delle altre email vengono letti mittente, destinatari, oggetto e data, e vengono aperte solo quelle con allegati, inviate da enti pubblici o che parlano di scadenze. Lo fa con regole automatiche, senza intelligenza artificiale. Una scadenza diventa solo una proposta, che lo studio deve confermare, e solo se riguarda un suo cliente riconosciuto da email, codice fiscale o partita IVA. Per ogni proposta restano mittente, oggetto e data: proprio i dati che servono per controllare se il messaggio è autentico prima di confermare.
• Le credenziali telematiche non si inseriscono nel programma. Le condizioni del servizio prevedono che le credenziali di Entratel, Fisconline, cassetto fiscale, enti previdenziali e piattaforme bancarie non siano richieste né conservate, e che lo studio non debba inserirle in nessuna area del servizio, salvo la funzione dedicata al collegamento con l'Agenzia descritta nelle condizioni stesse.

Un limite va detto chiaramente: Commercialista AI non è un filtro antiphishing e non certifica l'autenticità di un'email. La protezione della casella resta affidata al gestore di posta e alle regole dello studio. Quello che il programma fa è non trasformare nulla in un'azione senza un controllo umano: le proposte di scadenza si confermano, le bozze si leggono e si inviano con un clic dello studio.

Il phishing arriva anche via SMS?

Sì. Tra gli avvisi del 2026 l'Agenzia ne ha segnalati 2 dedicati allo smishing, cioè al phishing via SMS: il 31 agosto sul falso rimborso IRPEF e il 21 settembre con false comunicazioni fiscali. Valgono le stesse regole: niente clic sui link e verifica dal portale.

Come verifico se una notifica dell'Agenzia è vera?

Apri il portale digitando l'indirizzo www.agenziaentrate.gov.it, entra nell'area riservata e controlla lì. In caso di dubbio l'Agenzia suggerisce di usare i contatti pubblicati sul portale o di rivolgersi all'ufficio territoriale competente.

Cosa faccio se un collaboratore ha già cliccato sul link?

Si cambiano subito le password che potrebbero essere state inserite, si controlla con il responsabile informatico cosa è stato aperto e si valuta se sono coinvolti dati dei clienti. Agire nelle prime ore riduce molto i danni.

L'Agenzia può chiedere un pagamento via email?

Gli avvisi dell'Agenzia invitano a non fornire dati personali, informazioni riservate o credenziali tramite pagine raggiunte da link in comunicazioni inattese. La campagna del 23 ottobre 2026 chiedeva proprio un pagamento tramite un finto portale: in questi casi si cestina il messaggio e si verifica dall'area riservata.

Commercialista AI blocca le email di phishing?

No, non è un filtro di sicurezza della posta. Legge per intero solo le email dei clienti, usa le email degli enti solo per proporre scadenze da confermare e non esegue nessun invio senza la conferma dello studio.

Ogni due settimane mostriamo Commercialista AI dal vivo in un webinar gratuito per gli studi: la prossima data e l'iscrizione sono qui. Vai al webinar per gli studi

Vuoi vedere come Commercialista AI lavora sulla casella del tuo studio? Piani annuali da 59,25 € + IVA al mese oppure mensili da 79 € + IVA al mese, con Garanzia Avvio di 30 giorni: se entro 30 giorni lo studio vuole smettere, restituiamo tutto l'importo.

GUARDA COME FUNZIONA