Falsi SMS di rimborso fiscale: l'ondata di smishing della DGFiP che prende di mira 12,6 milioni di nuclei familiari questa estate

Ogni estate si riattiva lo stesso meccanismo: in vista dei pagamenti di rimborso del fisco, i truffatori inviano in massa SMS che imitano la DGFiP per ingannare i contribuenti. Nel 2026 la campagna ha raggiunto proporzioni inedite: 12,6 milioni di nuclei familiari riceveranno un bonifico dal Tesoro Pubblico tra il 24 luglio (prima ondata) e il 31 luglio (seconda ondata), e i cybercriminali allineano i loro messaggi su questo calendario. Per un servizio di SMS come Texto SMS Gratuit, è l'occasione per ricordare perché la fiducia in un numero breve e la lettura critica di ogni link restino le vostre migliori difese.

Come funziona la truffa

Il modus operandi, documentato da Cybermalveillance.gouv.fr nel suo avviso del 15 luglio 2026, è ormai ben oliato. Si riceve un SMS — a volte una e-mail o una telefonata — che somiglia in tutto e per tutto a una comunicazione ufficiale della Direction générale des Finances publiques. Il messaggio annuncia un rimborso fiscale di importo preciso (spesso tra 187 € e 262 €, talvolta di più), con un conto alla rovescia di 48 ore per «convalidare» il bonifico. Il link integrato rimanda a un falso sito che imita impots.gouv.fr, che spinge l'utente a inserire i propri coordinate bancarie o credenziali fiscali.

Tre indizi devono allertare immediatamente:

• Il numero mittente: un SMS della DGFiP non è mai inviato da un numero mobile francese classico. I canali ufficiali sono lo spazio personale su impots.gouv.fr, la messaggeria sicura del sito, o un'e-mail che termina con @dgfip.finances.gouv.fr.
• L'URL del link: imita l'indirizzo ufficiale ma usa un dominio esotico (impots-gouv-remboursement.com, dgfip-fr.net, ecc.). Una h minuscola sostituita da una H maiuscola, un trattino in più, un suffisso .top o .click sono tipici.
• La richiesta di coordinate bancarie: la DGFiP non chiede mai il vostro IBAN, numero di carta o credenziali via SMS. Un vero rimborso arriva automaticamente sul conto già noto al fisco.

Foto: Unsplash — un semplice SMS su uno schermo basta a innescare una frode bancaria da diverse centinaia di euro.

Perché questa ondata è particolarmente pericolosa

Tre ragioni spiegano la virulenza della campagna 2026. Innanzitutto, il calendario fiscale cade a fagiolo: i contribuenti si aspettano effettivamente un bonifico, il che riduce la vigilanza. Quando un messaggio arriva al momento giusto, con l'importo giusto, il dubbio si insinua. In secondo luogo, i pirati incrociano ormai più basi di dati provenienti da fughe passate: nome, indirizzo, operatore, talvolta persino l'IBAN — è proprio ciò che è accaduto con la fuga di dati di Free del 2024 sanzionata dalla CNIL. In terzo luogo, la qualità degli SMS inviati è in aumento: niente errori di ortografia grossolani, un logo copiato, un tono amministrativo impeccabile, persino una menzione legale in fondo al messaggio. In breve, la trappola è tecnicamente ben fatta.

L'Arcep e gli operatori hanno messo in campo diverse barriere, ma non fermano tutto: filtraggio dei numeri a tariffazione speciale, segnalazione al 33700, marcatura degli SMS lunghi come «potenziale spam» su iPhone e Android. Queste protezioni non sostituiscono la vigilanza umana.

La giusta attitudine in tre gesti

Davanti a un SMS che annuncia un rimborso, applicate la regola dei tre clic zero:

1. Zero clic sul link. Digitate voi stessi impots.gouv.fr nella barra degli indirizzi del vostro browser. Se un rimborso è realmente in corso, apparirà nel vostro spazio personale, alla rubrica «Situazioni del conto».
2. Zero richiamata al numero. I truffatori lasciano a volte un numero da richiamare: è una voce su IP estera, fatturata a prezzo salato, che mira a tenervi in linea. Riattaccate immediatamente.
3. Zero trasmissione di dati. Né IBAN, né password, né codice ricevuto via SMS. Nessun servizio pubblico vi chiederà questi elementi via SMS — è un marcatore infallibile di frode.

Se avete ricevuto un SMS di questo tipo, inoltratelo al 33700 (piattaforma gratuita di segnalazione spam SMS, gestita dagli operatori sotto il controllo dell'Arcep). Potete anche segnalare il sito fraudolento su Signal-Spam e su Phishing Initiative.

Hai cliccato? Ecco l'ordine delle azioni

Anche i più prudenti possono farsi prendere in una giornata di stanchezza. Se avete cliccato sul link e inserito informazioni, agite in quest'ordine:

• Nella prima ora: fate immediatamente opposizione sulla vostra carta bancaria presso la vostra banca. Ogni minuto conta: la maggior parte delle truffe prepara un pagamento online pochi minuti dopo l'inserimento dei dati.
• Entro 24 ore: presentate una denuncia sulla piattaforma Perceval (perceval.interieur.gouv.fr) del Ministero dell'Interno francese. Perceval trasforma la vostra segnalazione in un fascicolo trasmesso direttamente alla polizia o alla gendarmeria.
• Entro 48 ore: cambiate le password dei vostri account sensibili (banca online, e-mail principale, impots.gouv.fr). Se avete usato la stessa password su un altro servizio, cambiatela anche — è il principio del credential stuffing che descrivevamo nel nostro articolo sulla protezione della vita privata dei vostri SMS.
• Entro la settimana: sporgete denuncia in commissariato o gendarmeria, o tramite il modulo di pre-denuncia online. L'articolo 226-4-1 del Codice Penale francese punisce l'usurpazione di identità digitale con un anno di carcere e 15 000 € di multa.

Foto: Unsplash — verificare i propri conti online da soli, dal browser, resta la salvaguardia più efficace.

La rete istituzionale dietro l'allerta

La lotta contro queste truffe mobilita oggi un ecosistema completo, ed è una buona notizia. Cybermalveillance.gouv.fr pubblica gli allerta e tiene aggiornata una guida «Sensibilizzazione e buone pratiche»; la DGFiP ricorda sui suoi canali social ufficiali che non chiede mai coordinate bancarie via SMS o e-mail; gli operatori filtrano i numeri a tariffazione speciale e bloccano certi domini a livello di rete; e il 33700, che compie 18 anni nel 2026, ha permesso di chiudere diverse migliaia di numeri fraudolenti. Infine, l'Arcep ha ricordato nel suo ultimo rapporto sulla soddisfazione degli operatori in Francia che la lotta contro lo spoofing (usurpazione di numero) resta una priorità per il 2026-2027, con un sistema di autenticazione dei numeri brevi in fase di generalizzazione.

Cosa bisogna ricordare

• 12,6 milioni di nuclei familiari sono interessati dai rimborsi fiscali del 24 e 31 luglio 2026: è il bersaglio.
• La DGFiP non chiede mai il vostro IBAN, carta bancaria o credenziali via SMS.
• Tre riflessi: non cliccate, non richiamate, non trasmettete nulla.
• In caso di clic: opposizione carta bancaria → Perceval → cambio password → denuncia.
• Segnalate ogni SMS sospetto al 33700 e ogni pagina fraudolenta a Phishing Initiative.

Per inviare un SMS gratuito senza trasmettere il vostro numero a un terzo e senza lasciare traccia, il nostro modulo di invio resta accessibile a tutti, senza iscrizione. Per qualsiasi domanda sulla riservatezza dei vostri scambi, potete consultare la nostra FAQ, le nostre menzioni legali o contattarci.