Come verificare una notifica di Hacienda o della Seguridad Social

"Agencia Tributaria: hai un rimborso in sospeso di 342,18 €. Conferma qui i tuoi dati bancari." Oppure il contrario: "Hai un debito in sospeso con la Seguridad Social. Evita il pignoramento regolarizzandolo qui." Gli enti pubblici sono un ottimo travestimento per le truffe: tutti li conoscono, nessuno vuole avere problemi con loro, e le loro pratiche reali sono abbastanza criptiche perché un messaggio falso sembri plausibile.

Queste campagne funzionano a ondate e ripetono lo stesso scheletro del falso SMS di multa della DGT e del falso SMS di pacchi: ente noto + soldi in sospeso (a favore o contro) + urgenza + link. Se impari a verificarne uno, li verifichi tutti.

La regola chiave: gli enti non gestiscono pratiche tramite link negli SMS

Ricorda due cose:

1. Hacienda e la Seguridad Social non ti chiedono dati bancari, password o pagamenti tramite un link in un SMS o un'email inattesi. Le loro pratiche online passano dalle loro sedi elettroniche ufficiali, alle quali accedi TU con i tuoi mezzi di identificazione (Cl@ve, certificato digitale, DNIe).
2. Un rimborso reale non ha bisogno che tu "confermi i tuoi dati" da un link. Se Hacienda deve restituirti dei soldi, li versa sul conto già indicato nella tua dichiarazione. Non ti chiede una nuova carta via SMS.

Qualsiasi messaggio che ti spinge a cliccare un link per incassare, pagare o "regolarizzare" qualcosa con un ente è sospetto per definizione. Non perché gli enti non mandino mai comunicazioni, ma perché il link come canale di gestione non è il loro modo di lavorare.

Com'è il messaggio falso

• Il rimborso. L'esca più efficace durante la campagna delle dichiarazioni (aprile-giugno): "hai un rimborso in sospeso", con un importo concreto e credibile. Ti porta a un sito falso che imita la sede elettronica, dove inserisci i tuoi dati personali e bancari.
• Il debito o il pignoramento. "Ultimo avviso prima del pignoramento", "debito in sospeso con la Seguridad Social". Gioca sulla paura invece che sulla speranza, ma la destinazione è la stessa: i tuoi dati e la tua carta.
• L'appuntamento o la pratica. Varianti che chiedono di "confermare il tuo appuntamento" o "aggiornare i tuoi dati" con un link. Meno urgenti in apparenza, ugualmente false.
• Domini simili. Link con "aeat", "agenciatributaria", "seg-social" o "sede" più trattini e parole extra, su domini che non sono quelli ufficiali. Le sedi reali terminano in .gob.es.
• Mittente che non prova nulla. Come per tutti gli SMS: il mittente si falsifica e non dimostra né smentisce nulla.

Come controllare se c'è qualcosa di reale

Il metodo è quello di sempre: chiudi il messaggio ed entra tu nel canale ufficiale. Con gli enti pubblici è ancora più chiaro perché i canali ufficiali sono unici e noti:

1. Non cliccare il link. Chiudilo.
2. Entra tu nella sede ufficiale. Digita l'indirizzo nel browser (sede.agenciatributaria.gob.es, sede.seg-social.gob.es) o usa le loro app ufficiali. Non arrivarci tramite il link del messaggio né con una ricerca frettolosa.
3. Identificati con Cl@ve o certificato e controlla. Se c'è un rimborso, un debito, un fascicolo o una notifica, apparirà lì. Se non appare nulla, il messaggio era falso.
4. Se non te la cavi con la sede elettronica, chiama i numeri di informazione ufficiali (cercati da te sul sito ufficiale, non nel messaggio) o prendi un appuntamento in presenza.

Se esiste qualcosa di reale, lo gestisci dentro la sede ufficiale. Mai tramite il link di un messaggio. È esattamente la stessa abitudine che raccomandiamo per verificare una chiamata o un SMS della tua banca.

Cosa fare se hai già cliccato o dato dati

• Hai solo cliccato e chiuso: quasi sicuramente non è successo nulla. Blocca, cancella e vai avanti.
• Hai inserito dati della carta: chiama subito la tua banca, blocca la carta e chiedine una nuova. Tieni d'occhio gli addebiti delle settimane successive.
• Hai inserito Cl@ve, utente o password della sede: cambia la password al più presto dalla sede ufficiale e controlla se ci sono pratiche o addebiti che non riconosci. Se hai dato il PIN di Cl@ve permanente, rinnovalo.
• Denuncia con screenshot del messaggio e del link. Il 017 di INCIBE orienta gratis.
• Segnala il numero mittente nell'elenco dei numeri spam.

Domande rapide

Hacienda avvisa davvero mai via SMS? Hacienda può inviare avvisi informativi (per esempio, che hai una notifica disponibile nella sede), ma l'avviso reale ti rimanda a entrare TU nella sede elettronica, non ti infila un link di gestione né ti chiede dati nel messaggio stesso. In caso di dubbio, trattalo come non verificato e controlla nella sede.

E la Seguridad Social? Lo stesso: comunicazioni informative sì, gestione tramite link in un messaggio inatteso no. Il sistema di notifiche elettroniche (DEHú) funziona entrando tu nel portale, non cliccando i link che ti arrivano.

Durante la campagna delle dichiarazioni sono più pericolosi? Sì, perché il contesto aiuta il truffatore: tutti tengono d'occhio la propria dichiarazione e un "rimborso in sospeso" ci sta. Ad aprile, maggio e giugno, diffida il doppio di qualsiasi messaggio fiscale con link.

Un'email con il logo ufficiale è più affidabile di un SMS? No. Il logo si copia in un minuto e anche il mittente dell'email si falsifica. Applica la stessa regola: niente link in entrata, entra tu nella sede.

Se ti è arrivato uno di questi messaggi, segnalalo nell'elenco dei numeri di NoCall: queste campagne cambiano travestimento secondo la stagione, e la tua segnalazione aiuta la prossima persona a riconoscere lo schema in tempo.