« DGFiP : votre espace Particulier sera cloture le 09/10 faute de verification d'identite. Un remboursement de 326,41 EUR reste en attente de validation : https://impots-espace-verification.net/particulier »
Questo non ti accusa di nulla. Non ti minaccia un pignoramento, non parla di accertamento fiscale, non evoca alcuna sanzione. Ti annuncia due cose insieme: una piccola formalità amministrativa da sbrigare e del denaro che ti aspetta. È una combinazione tremendamente efficace, perché neutralizza la diffidenza con il miraggio del guadagno imponendo al tempo stesso una scadenza.
E soprattutto, questo SMS arriva al momento giusto. Non in pieno febbraio, quando nessuno pensa alla propria dichiarazione. Ma in autunno, quando gli avvisi d'imposta sono nelle cassette postali, quando scattano i prelievi del saldo, quando alcune famiglie attendono davvero un bonifico dal Tesoro pubblico. I truffatori non indovinano la tua situazione fiscale: giocano su un calendario pubblico che tutti subiscono nello stesso momento.
Perché il calendario fiscale è il miglior complice dei truffatori
Lo smishing funziona quando il messaggio cade in una finestra temporale in cui diventa plausibile. Ora, il fisco francese offre finestre molto ampie e perfettamente prevedibili:
- aprile-giugno: campagna dichiarativa, tutti si collegano alla propria area personale;
- luglio-agosto: pubblicazione online degli avvisi di imposta sul reddito e versamento dei rimborsi per le famiglie a cui è stato trattenuto troppo alla fonte;
- settembre: prelievo del saldo per chi deve del denaro, talvolta rateizzato fino a dicembre;
- ottobre-novembre: avvisi di tassa fondiaria, poi scadenze di pagamento e, per i contribuenti interessati, la modulazione dell'aliquota di prelievo alla fonte per l'anno successivo.
In altre parole, non esiste quasi nessun mese dell'anno in cui un SMS che parla di un rimborso, di un avviso o di una verifica non possa cadere a proposito. Il truffatore non ha bisogno di sapere se la cosa ti riguarda: su 100.000 numeri bersagliati, diverse migliaia di persone stanno davvero aspettando qualcosa dall'amministrazione fiscale.
La Direction générale des Finances publiques (DGFiP) lancia regolarmente allarmi su queste campagne sul suo sito impots.gouv.fr, e Cybermalveillance.gouv.fr classifica l'usurpazione dell'identità della pubblica amministrazione tra gli scenari di phishing più frequenti. Il denominatore comune di tutti questi avvisi è sempre lo stesso: l'amministrazione non chiede mai le tue coordinate bancarie né le tue credenziali via SMS o e-mail.
Le quattro varianti in circolazione nel 2026
1. Il rimborso in sospeso
La più diffusa. Un importo preciso, spesso tra i 150 e gli 800 euro — abbastanza credibile per un eccesso di prelievo alla fonte, mai abbastanza alto da destare sospetti. Il link porta a un finto modulo che riprende i colori di impots.gouv.fr e che chiede il tuo numero fiscale, la data di nascita, poi il tuo IBAN e spesso il numero della carta di credito «per verificare l'identità del titolare».
Il punto di svolta è proprio lì: un rimborso avviene tramite bonifico, e un bonifico non ha mai bisogno di un numero di carta. Se ti chiedono le 16 cifre della tua carta per ricevere del denaro, sei su un sito fraudolento, punto e basta.
2. La chiusura o sospensione dell'area personale
Variante «paura soft». Ti spiegano che il tuo account verrà disattivato in mancanza di verifica. L'obiettivo è recuperare la coppia numero fiscale + password, che apre l'accesso a informazioni di valore considerevole: redditi, composizione del nucleo familiare, indirizzo, avvisi di imposta scaricabili. Questi avvisi vengono poi riutilizzati per costruire pratiche di credito, locazioni fittizie o vere e proprie usurpazioni d'identità.
3. Il saldo non pagato con minaccia di maggiorazione
Questa imita l'avviso di messa in mora. «Solde de 712 EUR non regle, majoration de 10 % appliquee sous 48h.» Il link porta a una pagina di pagamento online. Il denaro finisce direttamente su un conto controllato dai truffatori, spesso tramite carte prepagate o conti di moneta elettronica aperti con documenti falsi.
4. Il falso consulente che richiama
La più costosa. Dopo un primo SMS arriva una telefonata, a volte con un numero visualizzato con prefisso 09 o 01 che assomiglia a quello di un centro delle finanze pubbliche. Un interlocutore molto calmo spiega che è stata rilevata una frode sul tuo conto fiscale e che bisogna «mettere in sicurezza» i tuoi fondi. La Banque de France rilevava del resto nel 2026 un aumento delle truffe cosiddette «per manipolazione», quelle in cui è la vittima stessa a effettuare il bonifico, convinta di agire per proteggersi.
I sette segnali che tradiscono il falso SMS fiscale
| Segnale | Cosa fa la vera DGFiP | Cosa fa il falso SMS |
|---|---|---|
| Link nel messaggio | Mai un link verso un modulo di inserimento dati bancari | Link accorciato o dominio simile |
| Dominio | impots.gouv.fr soltanto | impots-verification.net, dgfip-particulier.com… |
| Richiesta di IBAN | Avviene dalla tua area autenticata | Richiesto in un modulo aperto |
| Carta di credito | Mai per un rimborso | Richiesta sistematicamente |
| Tempistica | Date di scadenza annunciate con settimane di anticipo | «24h», «48h», «stasera» |
| Ortografia e accenti | Testi revisionati, accenti presenti | Accenti assenti, maiuscole erratiche |
| Mittente | Spesso un nome di mittente, mai un numero di cellulare personale | Numero di cellulare 06/07, o mittente contraffatto |
L'assenza di accenti merita una precisazione: non è più un criterio affidabile di per sé. Le campagne generate con strumenti di IA producono ormai testi in francese impeccabile, con accenti, sintassi corretta e persino il lessico amministrativo adeguato. Diversi media specializzati hanno documentato nel 2026 questo salto di qualità nelle truffe legate ai pacchi; vale esattamente allo stesso modo per il fisco. L'unico criterio che non invecchia resta l'indirizzo del link e la natura dell'informazione richiesta.
Il riflesso in trenta secondi: non partire mai dall'SMS
La regola sta in una frase: non si verifica mai un'informazione nello stesso canale che l'ha portata. Se un SMS ti parla di un rimborso, non hai alcun motivo di cliccare sul suo link, né di chiamare il numero che indica.
La procedura corretta:
- Chiudi l'SMS. Non cliccare, nemmeno «per dare un'occhiata».
- Digita tu stesso
impots.gouv.frnel browser, oppure apri l'applicazione ufficiale «impots.gouv» che hai installato dallo store del tuo telefono. - Accedi alla tua area personale. Ogni rimborso, ogni avviso, ogni scadenza compare lì. Se non c'è nulla, non c'è nulla.
- Segnala il messaggio al 33700, il servizio nazionale di segnalazione degli SMS indesiderati, semplicemente inoltrando l'SMS. Puoi anche inviare una segnalazione sulla piattaforma Phishing Initiative o su cybermalveillance.gouv.fr.
Se consulti spesso i tuoi conti e i tuoi documenti amministrativi sullo schermo, un semplice supporto per smartphone appoggiato sulla scrivania cambia molte cose: ti obbliga a guardare lo schermo bene in faccia, invece di leggere un SMS di sbieco, in piedi, camminando — esattamente le condizioni in cui si clicca senza riflettere.
Perché tante persone cliccano comunque
Sarebbe comodo credere che solo i più ingenui cadano nella trappola. I fatti dicono altro: il fattore decisivo è il contesto, non l'intelligenza.
- Stai davvero aspettando un rimborso. Una coppia che ha modulato la propria aliquota di prelievo alla fonte sa che deve arrivare un bonifico. L'SMS non crea l'attesa, la conferma.
- Ti sei appena collegato al sito vero. Le campagne vengono spesso inviate in massa durante i picchi di connessione. Ricevere un SMS «DGFiP» un'ora dopo essere andato su impots.gouv.fr crea un'illusione di causalità molto potente.
- Il thread di conversazione è inquinato. Se un vero messaggio di un servizio pubblico è già arrivato in una conversazione nominata, un SMS fraudolento che usurpa lo stesso nome di mittente può infilarsi lì e comparire di seguito ai veri. È uno degli effetti perversi dei nomi di mittente alfanumerici, che l'Arcep e gli operatori cercano di regolamentare con un meccanismo di autenticazione dei mittenti.
- Leggi su uno schermo piccolo. Un link troncato, una barra degli indirizzi nascosta, e il dominio fraudolento diventa invisibile. Per chi strizza gli occhi sul telefono, un paio di occhiali da lettura a portata di mano non è un dettaglio di comodità: è ciò che permette di leggere l'URL completo prima di toccarlo con il dito.
Se hai cliccato: la lista delle azioni utili, nell'ordine
Aver cliccato non significa aver perso tutto. Ciò che conta è cosa hai inserito e la rapidità della reazione.
- Non hai inserito nulla, hai solo aperto la pagina. Il rischio è basso su un telefono aggiornato. Chiudi la scheda, cancella la cronologia di quel sito e verifica che il tuo sistema sia aggiornato.
- Hai inserito il tuo numero fiscale e la password. Collegati immediatamente al sito vero e cambia la password. Usa una password unica, lunga, che non assomigli a nessun'altra. Se fai fatica a ricordarne diverse, un quaderno per le password di carta conservato in casa resta una soluzione ampiamente più sicura di una password riutilizzata ovunque.
- Hai fornito le tue coordinate bancarie. Chiama subito la tua banca, blocca la carta, chiedi una sorveglianza del conto. Il blocco e la contestazione dell'operazione sono diritti: l'articolo L. 133-18 del codice monetario e finanziario prevede il rimborso delle operazioni non autorizzate, salvo negligenza grave accertata.
- Hai effettuato un bonifico. Contatta la banca entro un'ora se possibile: un bonifico può talvolta essere richiamato prima dell'esecuzione definitiva. Poi sporgi denuncia.
- In ogni caso, segnala la truffa sulla piattaforma Thésée del ministero dell'Interno e conserva gli screenshot dell'SMS e del sito.
Un dettaglio spesso dimenticato: se hai scaricato un file dalla pagina fraudolenta, non aprirlo. I falsi moduli fiscali servono talvolta da porta d'ingresso per applicazioni malevole, in particolare su Android quando è stata autorizzata l'installazione da origini sconosciute. Verifica questa impostazione e lasciala disattivata.
Proteggere i familiari che ricevono questi SMS senza capire il meccanismo
Il vero pubblico vulnerabile, qui, non sono i contribuenti distratti: sono le persone che non hanno mai usato la propria area personale. Un pensionato non soggetto a imposta, una persona che ha sempre dichiarato su carta, un giovane che ha appena fatto la sua prima dichiarazione — tutti hanno in comune il fatto di non sapere che aspetto abbia una vera comunicazione fiscale.
Tre conversazioni utili da avere con loro:
- «L'amministrazione non ti chiederà mai la carta di credito via SMS.» Formulata così, senza sfumature, è una regola memorizzabile e sempre valida.
- «Se un messaggio ti mette fretta, è falso.» La DGFiP annuncia le sue scadenze con settimane di anticipo, sia sugli avvisi cartacei sia online.
- «Mi chiami prima di cliccare, mai dopo.» Designare un referente in famiglia spezza di netto la dinamica dell'urgenza.
Per le persone anziane che vogliono restare raggiungibili senza navigare su internet, un telefono cellulare con tasti grandi, senza browser, risolve meccanicamente il problema: un SMS fraudolento magari arriva, ma il link non ha dove aprirsi. E per chi tiene al proprio smartphone, una guida cartacea sulla sicurezza digitale per anziani, lasciata vicino al telefono, spesso funziona meglio di un lungo discorso.
Da ricordare
Un SMS fiscale che ti mette fretta, ti promette un rimborso e ti chiede una carta di credito cumula da solo i tre segnali d'allarme. Nessuno di questi tre elementi esiste in una vera comunicazione della DGFiP.
Il falso SMS del fisco non è una truffa sofisticata. È una truffa ben sincronizzata, che prende in prestito dal calendario fiscale una credibilità che non ha, e che conta sul fatto che nessuno sappia davvero come comunica l'amministrazione. La risposta è sempre la stessa, ed è gratuita: chiudere il messaggio, andare da soli su impots.gouv.fr e inoltrare l'SMS al 33700. Trenta secondi, e la campagna va a monte — per te e per quelli che verranno dopo, dato che ogni segnalazione alimenta il blocco dei numeri mittenti.
