Guida
Phishing Istituzionale in Italia: Truffe INPS, Agenzia delle Entrate e SPID
Team sicurezza URLVIS · Ultimo aggiornamento: 26 agosto 2026
Il phishing istituzionale rappresenta una delle forme più insidiose di frode informatica in Italia, colpendo cittadini di ogni età e condizione economica. I criminali informatici impersonano istituzioni governative di primaria importanza come l’INPS (Istituto Nazionale della Previdenza Sociale), l’Agenzia delle Entrate e i gestori del sistema SPID (Sistema Pubblico di Identità Digitale), inviando email e SMS fraudolenti che richiedono azioni immediate per evitare sanzioni, sospensioni di benefici o problematiche fiscali. La forza di queste truffe risiede nell’autorità percepita delle istituzioni coinvolte. Quando un cittadino riceve un messaggio che sembra provenire dall’Agenzia delle Entrate con un avviso di mancato versamento delle tasse, o dall’INPS con la notifica di sospensione di una pensione o di un’indennità, la reazione naturale è di allarme e desiderio di risolvere immediatamente la situazione. I criminali sfruttano proprio questa reazione emotiva per indurre le vittime a cliccare su link fraudolenti e inserire dati sensibili su siti web contraffatti. Il sistema italiano di identità digitale, basato su SPID, CIE (Carta d’Identità Elettronica) e CNS (Carta Nazionale dei Servizi), è un altro bersaglio frequente. L’AGID (Agenzia per l’Italia Digitale) gestisce il framework SPID, ma i criminali creano fake portali che chiedono la “verifica dell’identità digitale” o la “conferma delle credenziali”, portando le vittime a fornire i propri dati di accesso a servizi governativi essenziali. Una volta ottenute queste credenziali, i criminali possono accedere a servizi pubblici, dichiarazioni dei redditi, dati sanitari e persino effettuare operazioni bancarie a nome della vittima. È importante sottolineare che le istituzioni italiane non inviano mai email o SMS che richiedono l’inserimento di dati sensibili, credenziali SPID o pagamenti diretti attraverso link. Comunicazioni ufficiali avvengono sempre attraverso canali certificati come PEC (Posta Elettronica Certificata) o il portale dell’Agenzia delle Entrate. La consapevolezza di questi meccanismi è fondamentale per difendersi da truffe che continuano a mietere vittime ogni giorno in tutta Italia.
Come riconoscerla
- Il messaggio proviene da un indirizzo email o un numero di telefono non ufficiale dell’istituzione (non usa i domini governativi .gov.it o .inps.it)
- Viene richiesto di accedere a un portale per “verificare i dati fiscali” o “confermare l’identità digitale SPID” inserendo credenziali o codici PIN
- Il testo contiene minacce esplicite di sanzioni, multe o sospensione di benefici entro brevi termine (24–72 ore)
- Il link rimanda a un sito web che non appartiene ai domini ufficiali governativi (.gov.it, .inps.it, .agenziaentrate.gov.it)
- Il messaggio richiede il pagamento di tasse, contributi o sanzioni tramite carte prepagate, bonifici istantanei o criptovalute
- Il testo presenta errori grammaticali, formattazione inconsistente o traduzioni letterali dall’inglese
- L’email contiene allegati con estensioni sospette (.html, .exe, .zip) mascherati come documenti ufficiali
- Viene chiesto di fornire dati personali sensibili come codice fiscale, PIN SPID, numeri di carta d’identità o coordinate bancarie
- Il messaggio si rivolge al destinatario in modo generico (“Gentile Contribuente”, “Gentile Cittadino”) senza specificare dati anagrafici reali
- La comunicazione simula una procedura di “urgente aggiornamento” del sistema che richiede l’azione immediata dell’utente
Esempi concreti
Gli esempi seguenti sono solo illustrativi. Non si riferiscono ad alcuna persona, marchio o organizzazione reale ed esistono solo per mostrare lo schema della truffa.
Esempio fittizio — SMS falso INPS sospensione pensione
Esempio fittizio — INPS: Attenzione! La sua pensione n. IN202608123456 sarà sospesa entro 48 ore per mancata verifica dei dati reddituali. Clicca per procedere: https://inps-verifica-gov.it/sospensione. Codice univoco: AX729K.
Esempio fittizio — Email fake Agenzia delle Entrate
Esempio fittizio — Gentile Contribuente, la Comunicazione n. AE-2026-88432 richiede un aggiornamento immediato dei dati bancari per il rimborso IRPEF. La mancata conferma entro 72 ore comporterà l’annullamento del credito. Accedi al portale: https://agenzia-entrate-rimborso.it/conferma.
Esempio fittizio — SMS falso SPID verifica identità
Esempio fittizio — AGID - Sistema SPID: Il tuo account SPID sarà disattivato mancano 2 giorni. Devi confermare l’identità digitale sul portale ufficiale: https://spid-conferma-identita.it/access. Non ignorare questo avviso.
Esempio fittizio — Email fake INPS richiesta documenti
Esempio fittizio — INPS - Settore Prestazioni a Soggezione: È stato riscontrato un’incongruenza nei dati dichiarati per la prestazione n. 8827364GS. Per evitare la revoca immediata, scarica e compila il modulo in allegato e restituiscilo entro 5 giorni lavorativi.
Fonti
Canali di segnalazione
- Polizia Postale e delle Comunicazioni: Denuncia online per phishing istituzionale
- CERT-AGID (Computer Emergency Response Team): Segnalazione tentativi di phishing contro servizi digitali pubblici
- Agenzia delle Entrate - Segmento Sicurezza: Verifica e segnalazione di comunicazioni fraudolente a nome dell’Agenzia
- INPS - Contact Center: Verifica autenticità delle comunicazioni ricevute a nome INPS
- Garante per la Protezione dei Dati Personali: Segnalazione trattamento illecito di dati personali
Domande frequenti
L’INPS mi ha inviato un SMS chiedendo di verificare i dati per non perdere la pensione. È legittimo?
No, l’INPS non invia mai SMS che richiedono l’inserimento di dati personali, credenziali o pagamenti. Le comunicazioni ufficiali INPS avvengono attraverso il portale web, PEC o raccomandata A/R. Se hai ricevuto un messaggio sospetto, contattare direttamente l’INPS al numero verde 803.160 per verificare l’autenticità della comunicazione.
Cosa devo fare se ho inserito le mie credenziali SPID su un sito fraudolento?
Cambia immediatamente la password SPID attraverso il portale ufficiale del tuo identity provider (Poste, Aruba, InfoCert, ecc.). Contatta il fornitore SPID per segnalare l’accesso non autorizzato. Verifica se sono state effettuate operazioni a tuo nome sui servizi pubblici collegati al tuo SPID. Rivolgiti alla Polizia Postale per denunciare il furto di identità digitale.
L’Agenzia delle Entrate può davvero sospendere il rimborso IRPEF per mancata verifica online?
No, l’Agenzia delle Entrate non richiede mai verifiche dei dati bancari o personali attraverso email o SMS. I rimborsi IRPEF vengono gestiti esclusivamente tramite il portale dell’Agenzia, il CAF o il commercialista. Qualsiasi comunicazione che richieda un’azione immediata con minacce di sospensione è una truffa.
Come posso verificare se un’email dall’Agenzia delle Entrate è autentica?
Controlla sempre l’indirizzo del mittente: deve terminare con @agenziaentrate.gov.it. Le email ufficiali non contengono link a domini esterni e non chiedono mai l’inserimento di dati sensibili. Verifica sempre lo stato delle tue pratiche accedendo direttamente al portale dell’Agenzia delle Entrate (agenziaentrate.gov.it) digitando l’indirizzo nel browser, mai cliccando su link nelle email.
I criminali possono usare i miei dati SPID per accedere ai miei servizi pubblici?
Sì, se i criminali ottengono le tue credenziali SPID possono potenzialmente accedere a servizi come il fascicolo sanitario, la dichiarazione dei redditi, la posizione previdenziale INPS e molti altri servizi collegati. È fondamentale proteggere le credenziali SPID con la stessa curza riservata alle password bancarie e attivare l’autenticazione a due fattori quando disponibile.
Come posso denunciare il phishing istituzionale?
Puoi presentare denuncia alla Polizia Postale e delle Comunicazioni online tramite il sito commissariatodips.it o recandoti presso un ufficio di polizia. È importante conservare tutte le prove: screenshot del messaggio, indirizzo email del mittente, link visitati e eventuali dati forniti. La segnalazione al CERT-AGID è inoltre consigliata quando il phishing riguarda servizi digitali pubblici come SPID o CIE.
How This Guide Was Prepared
This guide was compiled from publicly available fraud-reporting sources and URLVIS's own multilingual risk taxonomy; an AI-assisted draft was reviewed before publication. It is for general information only and is not legal or financial advice. Spotted an error or outdated detail? Report it to [email protected].