Email dell'Agenzia delle Entrate: come capire se è vera

Un'email o un SMS «dell'Agenzia delle Entrate» si verifica senza usare il messaggio: si digita agenziaentrate.gov.it, si entra nell'area riservata con SPID, CIE o CNS e si controlla il cassetto fiscale. Se l'avviso o il rimborso non c'è, il messaggio è falso. L'Agenzia scrive di non inviare mai per email comunicazioni con dati personali dei contribuenti.

La regola: non si verifica dal messaggio, si verifica dal sito

Qualsiasi comunicazione che parli di rimborsi, avvisi, fatture o controlli fiscali si verifica uscendo dal messaggio: si apre il browser, si digita a mano agenziaentrate.gov.it e si entra nell'area riservata con SPID, CIE o CNS. Se la comunicazione è vera, lì trovi traccia. Se non c'è nulla, il messaggio era falso.

È lo stesso consiglio che l'Agenzia ripete nei suoi avvisi: per accedere ai servizi della pubblica amministrazione conviene digitare direttamente l'indirizzo ufficiale nel browser o usare collegamenti già verificati, e in caso di dubbio consultare la pagina «Focus sul phishing», i contatti del portale o l'ufficio territoriale.

Come verificare in due minuti

1. Non cliccare sul link e non aprire allegati. Se sei al computer, chiudi il messaggio.
2. Apri il browser e digita agenziaentrate.gov.it. Non usare i risultati sponsorizzati dei motori di ricerca: controlla che l'indirizzo sia esattamente quello.
3. Entra nell'area riservata con SPID, CIE o CNS (o con le credenziali dell'intermediario, se sei un professionista).
4. Controlla il cassetto fiscale e le comunicazioni: per i rimborsi c'è la sezione dedicata nei servizi. Se l'importo o l'avviso del messaggio non compare, è falso.
5. Confronta con l'elenco ufficiale delle campagne nella pagina «Segnalazioni e approfondimenti» del Focus sul phishing.

Cosa l'Agenzia non fa via email o SMS

Nella sezione «Come difendersi» l'Agenzia scrive che non invia mai per posta elettronica comunicazioni contenenti dati personali dei contribuenti. Dagli avvisi pubblicati nel 2026 emergono poi richieste tipiche dei truffatori, che un messaggio autentico non contiene:

• inserire numero, scadenza e codice di sicurezza della carta per «ricevere» un rimborso (campagna SMS segnalata il 31 agosto 2026);
• inserire email e password della propria casella di posta in una pagina che imita il portale (avviso del 17 luglio 2026);
• verificare «lo stato del rimborso» inserendo codice fiscale e annualità su siti con nomi simili a quello ufficiale (avviso del 30 settembre 2026);
• agire entro poche ore per non perdere una somma: il senso di urgenza è la leva citata nell'avviso del 22 settembre 2026.

Perché gli errori di italiano non sono più un segnale

La stessa pagina «Come difendersi» dell'Agenzia suggerisce ancora di chiedersi se il messaggio è scritto in italiano corretto. Resta un buon filtro per le campagne più rozze, ma oggi molti testi sono generati con strumenti di intelligenza artificiale: grammatica pulita, tono istituzionale, loghi copiati. Un messaggio scritto bene non è per questo autentico. Il segnale affidabile non è la forma, è dove ti porta il link e cosa ti chiede.

Nell'avviso del 30 settembre 2026 l'Agenzia elenca alcuni dei domini usati in un'unica ondata, tutti diversi da quello ufficiale. Qualche esempio, scritto in forma non cliccabile: agenziaentratel[.]shop, agenziaentratea[.]net, fiscale-gov[.]us[.]cc. L'unico dominio istituzionale è agenziaentrate.gov.it.

Le campagne segnalate di recente

Elenco degli avvisi pubblicati dall'Agenzia delle Entrate nella pagina ufficiale, aggiornato al 5 ottobre 2026. Lo aggiorniamo quando escono nuovi avvisi.

L'elenco completo, con gli anni precedenti e gli avvisi da gennaio 2026, è sulla pagina ufficiale delle segnalazioni. Per il contesto delle settimane di settembre leggi anche tre avvisi di phishing in sei giorni.

Se hai cliccato o inserito dati: cosa fare subito

PEC false a nome dell'Agenzia

La posta elettronica certificata attesta l'invio e la consegna di un messaggio da una certa casella. Non dice che quella casella appartenga a chi dichiara di essere: anche un truffatore può avere un indirizzo PEC, magari con un nome che ricorda un ufficio pubblico. Conta quindi l'indirizzo esatto del mittente, non il fatto che sia una PEC; e la verifica resta quella dell'area riservata. Gli indirizzi PEC degli uffici sono pubblicati sul portale dell'Agenzia.

Come segnalare

• All'Agenzia delle Entrate: in caso di dubbio puoi usare i contatti indicati sul portale o rivolgerti all'ufficio territoriale, come suggeriscono gli avvisi.
• Alla Polizia Postale: tramite il portale ufficiale puoi fare segnalazioni; se hai subito un danno, presenta denuncia.
• Al CERT-AGID: pubblica ogni settimana il riepilogo delle campagne malevole in Italia, utile per capire se il messaggio ricevuto fa parte di un'ondata.

Per una panoramica delle difese in ufficio leggi la guida Helpwebnet su come prevenire il phishing in azienda e la scheda di Assistenza 24 ore su 24 su come riconoscere un'email di phishing. Per ricevere gli avvisi sulle nuove campagne puoi iscriverti alla newsletter Helpwebnet.

Domande frequenti

Fonti: Agenzia delle Entrate, Focus sul phishing · Agenzia delle Entrate, Come difendersi · Agenzia delle Entrate, Segnalazioni e approfondimenti · Agenzia delle Entrate, Domini estranei all'Agenzia · CERT-AGID · Polizia Postale e delle Comunicazioni