“Se è arrivata nella posta in arrivo e non nello spam, sarà vera.” È proprio la conclusione su cui conta questa campagna. Il filtro antispam è un aiuto, non un timbro di garanzia, e questa volta i truffatori hanno lavorato apposta per aggirarlo.

Cosa dice la falsa email?

Ti avvisa che c’è un nuovo documento (una «notifica») nella tua area riservata e che hai due giorni di tempo. L’Agenzia delle Entrate ha descritto il messaggio il 2 novembre 2026:

  • il mittente appare come «AgenziaEntrate Riscossione», con un indirizzo che sembra dell’agenzia ma non lo è;
  • annuncia una notifica nell’area riservata del portale, con una validità di due giorni;
  • la parte centrale contiene falsi riferimenti e un pulsante che porta a un sito malevolo.

L’Agenzia si dichiara estranea a questi messaggi e invita a cestinarli subito, senza cliccare il link.

Agenzia delle Entrate, avviso: campagna di phishing con false notifiche Fisco Oggi, false mail su comunicazioni fiscali: nuova campagna di phishing

Perché il filtro antispam non l’ha fermata?

Perché l’antispam legge le parole, e il trucco le spezza. Secondo l’avviso, dopo ogni lettera del testo falso vengono inseriti caratteri casuali con formattazioni diverse. Per un programma che cerca parole sospette, «notifica urgente» diventa una fila di simboli senza senso. Il tuo cervello, invece, riconosce la forma delle parole e capisce il messaggio, soprattutto se lo scorri in fretta. Se lo leggi con calma, invece, quei caratteri li vedi.

L’unica parte lasciata pulita è quella centrale, con il pulsante: quella che deve funzionare.

La lezione vale oltre questa email: se un messaggio è arrivato nella posta in arrivo, non vuol dire che qualcuno l’abbia controllato. Il filtro ferma molto, non tutto.

Quali segnali restano visibili a te?

I trucchi ingannano la macchina, ma i segnali per le persone restano tutti lì.

  • Il testo strano: se lo leggi con calma, fra le lettere vedi simboli e caratteri che non c’entrano. Un’email vera di un ente non è scritta così.
  • La fretta: «due giorni» servono a farti agire prima di pensare. Una comunicazione vera non sparisce perché non hai cliccato entro due giorni.
  • Il pulsante: ti chiede di entrare nella tua area personale passando da un link. È il passaggio dove ti rubano le credenziali.
  • Il mittente: un nome che somiglia all’agenzia non basta. Guarda l’indirizzo completo, non solo il nome che appare.

È il caso tipico della domanda «chi mi mette fretta, e perché?», la Velocità controllata del Metodo 3V: più la scadenza è corta, più conviene rallentare.

Dove controllo se ho davvero una comunicazione?

Apri tu il sito ufficiale, scrivendo l’indirizzo, e accedi da lì. L’area riservata dell’Agenzia delle entrate-Riscossione si raggiunge da agenziaentrateriscossione.gov.it e si apre solo con SPID, CIE o CNS. Se c’è davvero qualcosa per te, lo trovi lì, senza passare dall’email.

Agenzia delle entrate-Riscossione, nuovi tentativi di truffa tramite false e-mail

Hai solo il telefono o poca pratica? Chiedi a un familiare di aprire il sito con te, oppure rivolgiti all’ufficio territoriale dell’Agenzia delle Entrate o ai contatti indicati sui portali ufficiali (agenziaentrate.gov.it e agenziaentrateriscossione.gov.it). L’Agenzia delle Entrate tiene anche una pagina con l’elenco delle false comunicazioni segnalate: Focus sul phishing.

Ho cliccato e inserito SPID o CIE: cosa faccio?

  1. Cambia subito la password SPID dal sito o dall’app del tuo gestore SPID (quello con cui l’hai attivato), aperti da te e non dal link. Se hai inserito le credenziali della CIE, cambiale dall’area personale del sito ufficiale della Carta d’identità elettronica, cartaidentita.interno.gov.it. Se non riesci più a entrare, chiedi subito al gestore SPID di sospendere l’identità digitale.
  2. Controlla gli accessi recenti, se il tuo gestore li mostra, e segnalagli quelli che non riconosci.
  3. Se hai inserito anche dati della carta, chiama la banca al numero sul retro della carta (o dall’assistenza nell’app) e falla bloccare.
  4. Segnala: dalla Svizzera all’UFCS con il modulo online; dall’Italia alla Polizia Postale.

Se hai solo cliccato senza inserire nulla, chiudi la pagina e cestina l’email.

Per le false multe e le PEC rubate, l’altra truffa di queste settimane, trovi tutto nell’articolo sulla multa falsa PagoPA arrivata per PEC.

Domande frequenti

Mi è arrivata una notifica urgente dell'Agenzia delle entrate-Riscossione: è vera?

Se ti chiede di cliccare un pulsante per vedere un documento entro due giorni, molto probabilmente no: è la campagna segnalata dall'Agenzia delle Entrate il 2 novembre 2026. Cestinala e, se vuoi essere sicuro, accedi tu all'area riservata dal sito ufficiale con SPID, CIE o CNS.

Perché questa email non è finita nello spam?

Perché dopo ogni lettera del testo ci sono caratteri casuali con formattazioni diverse. Il filtro antispam non riconosce più le parole, mentre tu, leggendo in fretta, le capisci lo stesso. Per questo il filtro aiuta ma non garantisce: anche nella posta in arrivo può esserci una truffa.

Il mio filtro antispam è difettoso?

Non necessariamente. Questa tecnica è pensata proprio per passare i filtri. Puoi segnalare il messaggio come spam o phishing nel tuo programma di posta: aiuta il filtro a riconoscere messaggi simili. Ma la difesa che non si aggira con un trucco di caratteri resta la tua regola: mai entrare nell'area riservata da un link.

Questa email cambierà forma, ma il trucco di fondo resta: passare il filtro e poi metterti fretta. Decidi oggi la tua regola, una volta per tutte: nell’area riservata del fisco si entra solo dal sito ufficiale, mai da un’email. Se usi SPID, vale la pena anche controllare come è protetto: la verifica in due passaggi spiega quale scegliere.