Tre avvisi di phishing in sei giorni: cosa deve fare oggi chi ha un'azienda piccola

Se in questi giorni in ufficio è arrivata una comunicazione che annuncia un rimborso, conviene fermarsi un attimo prima di cliccare.

Nella sezione “Focus sul phishing” del sito dell’Agenzia delle Entrate risultano tre avvisi pubblicati nel giro di sei giorni:

• 16 settembre 2026 — nuove campagne di phishing a tema falso rimborso IRPEF;
• 17 settembre 2026 — phishing a tema falso “Bonus Vacanze”;
• 21 settembre 2026 — campagna di smishing (phishing via SMS) con false comunicazioni fiscali.

Non è un picco isolato. Il CERT-AGID, la struttura che monitora le minacce informatiche per la pubblica amministrazione italiana, nel riepilogo della settimana dal 29 agosto al 4 settembre 2026 ha analizzato 137 campagne malevole rivolte all’Italia: 41 costruite sulla promessa di un rimborso, 33 su una presunta multa non pagata. Tra queste, una campagna che imitava nome e grafica di PagoPA prospettando un rimborso TARI di 95 euro.

Perché adesso ci cascano anche i prudenti

Per anni il consiglio è stato: guarda come è scritta. Errori di grammatica, traduzioni goffe, indirizzi improbabili.

Quel consiglio oggi è pericoloso, perché insegna a fidarsi di un segnale che non esiste più. I testi vengono generati con strumenti di intelligenza artificiale: sono corretti, hanno il tono giusto, citano i riferimenti plausibili. I loghi sono copiati dal sito originale. E gli importi sono studiati: 95 euro di TARI, non 9.500. Una cifra piccola non attiva il sospetto, attiva la fretta di sistemare la pratica.

Lo stesso vale al telefono. Con trenta secondi di audio — una storia su Instagram, un messaggio vocale, un video aziendale — si clona una voce in modo convincente. La telefonata di conferma, che era la nostra rete di sicurezza, non è più una prova.

La regola dei tre NO

In un’azienda da tre a trenta persone non serve un manuale di cento pagine. Serve una riga, uguale per tutti, stampata e appesa vicino ai monitor.

Da una comunicazione in arrivo — email, SMS, PEC, WhatsApp, telefonata — non si fa mai nessuna di queste tre cose:

1. non si clicca il link per “accedere” o “verificare”;
2. non si modifica un IBAN;
3. non si digita il numero di una carta o le credenziali.

La verifica avviene sempre uscendo dal messaggio: si entra nel cassetto fiscale dal sito dell’Agenzia digitando l’indirizzo a mano, oppure si chiama il numero già presente in rubrica da prima. Mai il numero scritto nel messaggio.

Il caso che costa di più: il cambio IBAN del fornitore

Il falso rimborso fa perdere dei dati. Il falso cambio IBAN fa perdere i soldi, e sono le cifre di una fattura vera.

Funziona così: qualcuno legge la corrispondenza (spesso una casella di posta compromessa mesi prima), aspetta la fattura giusta e manda una mail quasi identica a quella del fornitore, con il riferimento corretto del documento e una riga sulle “nuove coordinate bancarie”.

La procedura di difesa è in tre passaggi:

• il cambio IBAN si verifica solo telefonando al numero che avevi già prima della mail;
• la conferma si chiede a una seconda persona dell’azienda fornitrice, non a chi ha scritto;
• il primo pagamento sul nuovo conto è di importo minimo, seguito da una telefonata per confermare l’accredito.

E se il bonifico è già partito: si chiama immediatamente la banca chiedendo il richiamo del bonifico (le prime ore sono quelle utili), si sporge denuncia e si conserva tutto — intestazioni complete delle email comprese, non gli screenshot.

Dove finisce la sicurezza e comincia la conformità

C’è un filo che lega queste truffe all’altro tema di cui parlo spesso, l’AI Act. È lo stesso: l’intelligenza artificiale è già dentro l’azienda, sia in mano ai tuoi collaboratori sia in mano a chi vi attacca. In entrambi i casi la difesa non è un divieto, è sapere cosa gira, aver scritto le regole e aver formato le persone.

Sono tre documenti — registro degli strumenti AI, policy in una pagina, formazione documentata — più la procedura anti-truffa. Li trovi già pronti, con il piano per metterli insieme in trenta giorni, nel primo volume della collana “In regola e al sicuro”: 1,99 €, aggiornamenti e volumi futuri inclusi per sempre.

https://vogliocrescere.it/l/falsi-rimborsi-e-voci-clonate-la-difesa-in-tre-documenti

Se invece vuoi che questa procedura venga scritta e provata sulla tua azienda, con le tue caselle di posta e i tuoi fornitori, è esattamente il lavoro che faccio: scrivimi e ne parliamo.

Cristoforo Frasca by Helpwebnet

Fonti: Agenzia delle Entrate, “Focus sul phishing — segnalazioni e approfondimenti” (avvisi del 16, 17 e 21 settembre 2026); CERT-AGID, riepilogo settimanale 29 agosto – 4 settembre 2026.