Gli esperti del CERT-AgID (Computer Emergency Response Team dell’Agenzia per l’Italia Digitale) hanno individuato una nuova campagna di phishing che sfrutta logo e nome dell’Agenzia delle Entrate per avvisare gli utenti della scadenza relativa alla dichiarazione di asset digitali (simile a quella scoperta a novembre 2025). Lo scopo dei cybercriminali è ovviamente accedere ai wallet delle criptovalute.
L’Agenzia delle Entrate non invia nessun avviso
La campagna combina le tecniche di phishing e vishing. I cybercriminali inviano un’email (phishing) per avvisare le ignare vittime che devono compilare con urgenza la dichiarazione di asset digitali. Cliccando sul link presente nel messaggio viene aperto un sito con design simile a quello dell’Agenzia delle Entrate.
Per accedere ai servizi online è necessario inserire codice fiscale e numero di telefono (non viene fatto nessun controllo sulla correttezza del codice fiscale). Questa richiesta dovrebbe già destare sospetti (oltre all’URL fasullo leggibile nella barra degli indirizzi), in quando il vero login avviene tramite SPID, CIE o CNS. Se l’utente cade nel tranello vedrà un presunto modulo per dichiarare i wallet di criptovalute.
Rispondendo sì alla domanda “Utilizzi wallet/exchange di criptovalute?” devono essere inseriti il nome del wallet/exchange, la data dell’ultimo deposito e il patrimonio stimato. Rispondendo no devono essere inseriti il nome dell’istituto bancario e l’ultimo saldo del conto corrente in euro.
Dopo aver cliccato sul pulsante “Invia dichiarazione” viene mostrato un errore che indica l’incongruenza dei dati forniti con quelli dell’anagrafe tributaria. Per evitare un avviso di accertamento e il blocco cautelativo degli asset digitali è necessario chiamare il numero indicato del presunto ufficio verifiche di Milano (vishing).
Gli esperti del CERT-AgID non spiegano cosa succede se l’utente telefona all’operatore/cybercriminale. Quasi certamente verranno chiesti i dati dei wallet e dei conti correnti per svuotare il contenuto. È stato chiesto il blocco di accesso ai domini, ma al momento sono ancora attivi.
L’Agenzia dell’Entrate non invia mai avvisi simili via email. La dichiarazione degli asset digitali deve essere effettuata tramite i modelli 730 o Redditi.
Ti potrebbe interessare
19 giu 2026