Truffe PEC Agenzia Entrate 2026: difesa professionisti
L'estate 2026 segna un'escalation senza precedenti delle truffe informatiche ai danni di professionisti e imprese con partita IVA. False PEC, pagine web clone del portale dell'Agenzia delle Entrate e firme digitali contraffatte compongono un arsenale sempre più sofisticato che prende di mira chi opera nel perimetro della fatturazione elettronica e dei servizi fiscali telematici.
L'offensiva phishing: cosa sta accadendo
Il 17 luglio 2026 l'Agenzia delle Entrate ha diramato un avviso ufficiale segnalando una nuova campagna di phishing che utilizza indebitamente nome e logo dell'ente per carpire le credenziali di accesso alle caselle di posta elettronica delle vittime 1. Il meccanismo è collaudato: un'email apparentemente istituzionale contiene un collegamento a una pagina web che riproduce fedelmente il portale dell'Agenzia, con una falsa schermata di login. L'utente ignaro inserisce indirizzo email e password, consegnandoli direttamente agli attaccanti 1.
Il fenomeno non si limita al phishing via email. L'INPS ha dedicato un intero Vademecum antitruffe con sezioni specifiche su phishing, smishing via SMS, truffe tramite QR-Code e profili social falsi, invitando cittadini e professionisti a non fidarsi di comunicazioni non richieste che richiedono l'inserimento di credenziali 4. Parallelamente, un'indagine della Guardia di Finanza di Sala Consilina ha portato alla luce l'utilizzo di firme digitali contraffatte per falsificare documenti societari e commettere evasione fiscale per oltre 120.000 euro tra IRPEF e IVA, con nove indagati 5. L'identità digitale fiscale è ormai un bersaglio primario.
Come distinguere le comunicazioni autentiche
Il provvedimento del 14 luglio 2026 sulle comunicazioni di anomalia ISA fornisce una chiave di lettura fondamentale: le PEC istituzionali dell'Agenzia sono di tipo "no reply" e il testo non contiene mai il dettaglio delle irregolarità, consultabile esclusivamente nel Cassetto fiscale 2. Qualunque messaggio che alleghi documenti con presunte anomalie o richieda di inserire credenziali tramite link incorporati è, per definizione, fraudolento.
L'indirizzo PEC ufficiale dell'Agenzia delle Entrate è agenziaentratepec@pce.agenziaentrate.it 6. Comunicazioni provenienti da indirizzi diversi vanno considerate sospette. L'accesso ai servizi riservati avviene esclusivamente tramite SPID, CIE o CNS: nessuna comunicazione autentica richiede l'inserimento di credenziali tramite link in email non sollecitate 6.
Anche l'INPS ha rafforzato le proprie difese attivando il progetto "Classificazione e smistamento PEC" nell'ambito della trasformazione digitale, con l'obiettivo specifico di proteggere imprese e professionisti da comunicazioni non autentiche che sfruttano il brand istituzionale 7.
Cosa deve fare il professionista oggi
Tre regole operative riducono drasticamente il rischio:
-
Verificare sempre il mittente. Le comunicazioni ISA autentiche provengono dalle caselle istituzionali indicate nel provvedimento del 14 luglio 2026 e hanno funzione di mero avviso: il dettaglio è solo nel Cassetto fiscale 3.
-
Non cliccare mai su link in email o PEC che richiedono credenziali. L'Agenzia delle Entrate non chiede password via email. Chi riceve un messaggio sospetto deve accedere direttamente al portale istituzionale digitando l'URL nel browser.
-
Segnalare immediatamente. L'Agenzia si dichiara totalmente estranea a queste campagne 1. Chi ha inserito credenziali in una pagina sospetta deve modificare immediatamente le password e attivare l'autenticazione a due fattori su ogni servizio collegato.
La fatturazione elettronica obbligatoria ha ampliato la superficie d'attacco per i lavoratori autonomi. Conoscere le procedure ufficiali di comunicazione della PA non è più un optional: è la prima linea di difesa contro un ecosistema criminale che evolve ogni settimana.