«L'SMS diceva che avevo un credito d'imposta di 384,52 €. Con i centesimi. Avevo ricevuto il mio avviso di imposta appena dieci giorni prima e l'anno scorso avevo effettivamente ottenuto un rimborso. Ho compilato il modulo: nome, data di nascita, codice fiscale, poi le coordinate bancarie "per il bonifico". Il giorno dopo, due addebiti da 49 € su un sito straniero.»
Questa testimonianza, raccolta quasi identica in uno sportello di assistenza per le pratiche amministrative, riassume l'essenziale del meccanismo. Il finto SMS fiscale non fa leva sul panico puro, a differenza del finto SMS di multa. Fa leva su qualcosa di più efficace: un calendario condiviso da 40 milioni di nuclei familiari. Tutti sanno che d'estate arriva l'avviso, che a fine estate arrivano i rimborsi delle somme versate in eccesso, che a fine anno viene ricalcolata l'aliquota della ritenuta alla fonte.
Il truffatore non ha bisogno di conoscerti. Gli basta sapere in che mese siamo.
Perché il tema fiscale funziona meglio degli altri
Un calendario pubblico, e quindi sfruttabile
La maggior parte delle campagne di smishing deve indovinare il contesto: il tuo pacco, la tua banca, la tua assicurazione sanitaria. Il fisco, invece, è sincronizzato a livello nazionale. Le scadenze vengono annunciate in anticipo dalla Direction générale des Finances publiques (DGFiP) e riprese da tutta la stampa:
- la primavera: apertura della campagna di dichiarazione dei redditi;
- luglio-agosto: pubblicazione online degli avvisi di imposta;
- fine luglio-inizio agosto: bonifici di rimborso per i contribuenti che hanno versato troppo;
- settembre: adeguamento dell'aliquota della ritenuta alla fonte;
- autunno: scadenze dell'imposta fondiaria, poi dell'imposta sulle seconde case.
Inviare 500.000 SMS «rimborso disponibile» nella prima settimana di agosto equivale a scommettere su una coincidenza con probabilità molto alta. Una parte dei destinatari aspetta davvero un bonifico.
Due emozioni al prezzo di una
Lo smishing fiscale si declina in due famiglie che si completano a vicenda:
| Tipo di messaggio | Leva psicologica | Obiettivo reale |
|---|---|---|
| «Credito d'imposta / rimborso in attesa» | Guadagno, opportunità, scadenza breve | Ottenere l'IBAN e i dati della carta |
| «Insoluto, sanzione, avviso di pignoramento» | Paura della sanzione, urgenza | Far pagare subito con carta |
| «Aggiornamento della tua area riservata» | Routine amministrativa | Rubare le credenziali fiscali |
| «Regolarizzazione della tua aliquota di ritenuta» | Tecnicismo, incomprensione | Raccogliere un dossier d'identità completo |
Il primo tipo procura coordinate bancarie riutilizzabili per mesi. Il secondo procura un pagamento immediato. Il terzo è il più pericoloso sul lungo periodo: con un codice fiscale e una password, un truffatore può consultare la tua situazione, modificare le coordinate bancarie per il rimborso e recuperare documenti anagrafici utilizzabili per aprire un finanziamento.
Un vocabolario che nessuno padroneggia davvero
«Credito d'imposta», «attestazione della dichiarazione», «ruolo», «aliquota non personalizzata», «acconto in corso d'anno»: il lessico fiscale è abbastanza opaco da impedirci di valutare la verosimiglianza di un messaggio. Quando una frase sembra incomprensibile in un SMS bancario, ci insospettiamo. Quando sembra incomprensibile in un SMS fiscale, pensiamo che sia normale.
Cosa invia realmente la DGFiP via SMS
È il punto più utile da ricordare, ed è semplice.
L'amministrazione fiscale usa effettivamente gli SMS, ma in un perimetro molto ristretto, essenzialmente informativo:
- promemoria di scadenza di dichiarazione o di pagamento, senza link a un modulo da compilare;
- codici monouso nell'ambito dell'autenticazione rafforzata della tua area riservata;
- conferme di una pratica che hai già svolto tu stesso.
Ecco invece ciò che non fa:
L'amministrazione fiscale non chiede mai le tue coordinate bancarie, il numero della tua carta, la tua password o una copia di un documento d'identità via SMS o e-mail. Un rimborso di somme versate in eccesso viene accreditato automaticamente sul conto già noto all'amministrazione, senza alcuna azione da parte tua.
Questa frase compare, con una formulazione simile, su impots.gouv.fr e nelle comunicazioni di Cybermalveillance.gouv.fr. Da sola basta a smascherare la quasi totalità dei messaggi fraudolenti.
Secondo punto di riferimento: non esiste un pulsante di rimborso. Se hai pagato troppo, il bonifico arriva. Se non può arrivare perché il tuo IBAN è obsoleto, ricevi un assegno per posta ordinaria. Mai un link.
I cinque segnali che smascherano un falso SMS fiscale
1. L'importo con i centesimi
Controintuitivo, ma centrale. I truffatori hanno capito che un importo tondo («400 €») suona falso, e allora scrivono «384,52 €». È proprio questo livello di precisione, in un SMS non richiesto, che deve mettere in allarme: l'amministrazione non dettaglia un saldo in un messaggio di 160 caratteri.
2. Il termine breve e arbitrario
«Entro 48 ore», «prima del 3 ottobre», «in caso contrario la sua pratica sarà archiviata». Il diritto tributario funziona con scadenze pubbliche, identiche per tutti, non con conti alla rovescia personalizzati inviati via SMS.
3. L'indirizzo del link
Guarda ciò che precede immediatamente la prima /. I servizi ufficiali sono ospitati su domini .gouv.fr. Tutto il resto — impots-remboursement.com, dgfip-service.net, impots.gouv.fr.secure-paiement.xyz — è fraudolento. L'ultimo esempio è il più insidioso: impots.gouv.fr è lì un semplice sottodominio di un sito terzo.
4. Il mittente visualizzato
Un SMS può mostrare un nome di mittente, anche contraffatto: è lo spoofing del mittente. Il fatto che un messaggio compaia nella stessa conversazione di un SMS legittimo ricevuto mesi prima non prova quindi nulla. È una debolezza strutturale dell'SMS, non un bug del tuo telefono.
5. La richiesta di pagamento con carta
Il pagamento delle imposte avviene tramite addebito, bonifico o attraverso l'area riservata. Una pagina che chiede un numero di carta a 16 cifre per saldare una «sanzione di 32 €» è un falso, senza eccezioni.
La procedura corretta, in tre mosse
Mossa 1: non partire mai dal messaggio
È l'unica regola che resiste a tutte le varianti di truffa, presenti e future. Un SMS può informarti che sta succedendo qualcosa; non deve mai essere il tuo percorso di accesso. Chiudi il messaggio, digiti tu stesso l'indirizzo del sito ufficiale nel browser, oppure apri l'app installata dallo store del tuo telefono.
Se l'informazione è vera, la trovi nella tua area riservata. Se non c'è, è falsa. Non esiste una terza possibilità.
Mossa 2: verificare da un dispositivo comodo
Molti errori nascono dal supporto: su uno schermo da 6 pollici, in metropolitana, un indirizzo troncato è illeggibile. Fare la verifica su un computer, o su un tablet con un supporto inclinabile per tablet che permette di leggere con calma, cambia davvero la qualità del giudizio. Non è un dettaglio: la maggior parte delle vittime dice di aver cliccato «tra una cosa e l'altra».
Mossa 3: segnalare, poi cancellare
Due canali utili e gratuiti:
- 33700: inoltra l'SMS a questo numero, poi invia il numero del mittente quando ti viene richiesto. È il sistema di segnalazione condiviso degli operatori francesi.
- Cybermalveillance.gouv.fr e signal.conso.gouv.fr per documentare la campagna; Phishing Initiative per far inserire l'URL nelle blacklist.
Solo dopo, cancella. Ma se hai cliccato, conserva uno screenshot: servirà per la denuncia.
Se hai compilato il modulo
La rapidità conta più della precisione. Nell'ordine:
- Bloccare la carta di pagamento, tramite l'app della tua banca o il servizio interbancario (0 892 705 705). Chiedi anche il blocco di qualsiasi addebito SEPA sospetto.
- Cambiare la password della tua area riservata su impots.gouv.fr, e di tutti gli account che condividevano quella password. Se l'operazione ti scoraggia, un gestore di password risolve il problema una volta per sempre.
- Controllare le tue coordinate bancarie nell'area fiscale: un accesso fraudolento potrebbe aver modificato il conto per il rimborso.
- Presentare denuncia presso polizia o carabinieri, oppure con una pre-denuncia online. Le banche spesso richiedono questo passaggio per istruire un rimborso.
- Chiedere il rimborso alla tua banca: la normativa prevede il rimborso delle operazioni di pagamento non autorizzate, salvo negligenza grave. Un semplice inserimento di dati su un sito contraffatto non costituisce automaticamente negligenza grave — è un punto su cui le associazioni dei consumatori, tra cui UFC-Que Choisir, ottengono regolarmente decisioni favorevoli.
- Monitorare il furto d'identità per diversi mesi: puoi esercitare il diritto di accesso al registro degli incidenti di rimborso dei crediti ai privati presso la Banque de France.
Un dettaglio che aiuta: conserva i documenti della pratica in una cartellina portadocumenti dedicata, con gli screenshot stampati, la data del blocco della carta e la copia della denuncia. I fascicoli ben ordinati procedono molto più rapidamente presso l'ufficio reclami.
Ridurre la superficie d'attacco a monte
Separare la pratica amministrativa dal resto
Le campagne fiscali raggiungono tutti, ma la loro efficacia dipende dal tuo livello di rumore. Se il tuo numero riceve quaranta sollecitazioni commerciali al mese, un falso SMS fiscale si perde nella massa e passa per legittimo. Due misure semplici:
- iscrivere la tua linea a Bloctel contro il telemarketing;
- rispondere STOP agli SMS pubblicitari legittimi, che hanno l'obbligo di legge di includere questo meccanismo.
Attivare l'autenticazione rafforzata
L'area riservata di impots.gouv.fr propone una convalida tramite codice inviato al telefono o alla casella di posta. Se attivata, rende una password rubata molto meno sfruttabile. Per gli account più sensibili, una chiave di sicurezza fisica FIDO2 elimina del tutto l'interesse del phishing: niente da ricopiare, quindi niente da rubare a distanza.
Fare gli aggiornamenti
Nel 2026 Google ha rafforzato in Francia il rilevamento dei messaggi fraudolenti nell'app Messaggi su Android, con una classificazione automatica di alcuni SMS sospetti. Apple propone dalla sua parte un filtro per i mittenti sconosciuti nelle impostazioni di Messaggi. Questi filtri non sostituiscono la vigilanza, ma riducono il volume che arriva sul tuo schermo — a condizione che il sistema sia aggiornato.
Aiutare le persone meno a proprio agio
Le fasce più esposte non sono necessariamente le più anziane: sono quelle che svolgono le pratiche di corsa, spesso dal telefono. Una conversazione di dieci minuti con una persona vicina vale più di qualsiasi impostazione. Per chi preferisce la carta, una guida pratica sulle truffe online appoggiata accanto al telefono fisso fa spesso più effetto di un promemoria verbale.
Cosa ricordare
| Situazione | Riflesso |
|---|---|
| SMS che annuncia un rimborso | Nessuna azione: un credito d'imposta viene versato automaticamente |
| SMS che annuncia un debito e un link di pagamento | Verificare solo nell'area riservata, mai tramite il link |
| Richiesta di IBAN, carta o documento d'identità | Truffa certa, qualunque sia il mittente visualizzato |
Link che non termina con .gouv.fr prima della / | Truffa |
| Hai cliccato | Blocco carta, password, denuncia, reclamo bancario |
Lo smishing fiscale non spariràï: è troppo redditizio e troppo facile da agganciare al calendario. Ma si basa interamente su una confusione che puoi eliminare in un colpo solo. L'amministrazione ti informa; non ti guida. Nel momento in cui riprendi il controllo del percorso di accesso — il tuo browser, la tua app, l'indirizzo digitato da te — il messaggio fraudolento perde la sua unica arma.
Fonti utili: impots.gouv.fr (sezione «Attention aux tentatives d'escroquerie»), Cybermalveillance.gouv.fr, DGCCRF, piattaforma 33700, Banque de France (registri degli incidenti), UFC-Que Choisir.
