Capita di ricevere delle e-mail sospette che comunemente siamo abituati a chiamare messaggi di phishing.

In data 5 ottobre le Entrate informano di un’attività di phishing attuata tramite il nome dell’Agenzia finalizzata alla diffusione di software malevoli e all’utilizzo fraudolento di dati. 

Nel dettaglio si tratta, sottoliena l'Agenzia, del malware “PureLogs Stealer”, in grado di sottrarre password, cronologia e cookie dei browser, credenziali dei wallet di criptovalute e di vari client di posta elettronica.

Vediamo precisamente che cos'è il phishing e quali regole occorre seguire per difendersi spiegate dal sito istituzione delle Entrate.

Che sos'è il phishing

Il phishing è una particolare tipologia di frode online con lo scopo di entrare in possesso dei dati personali e confidenziali degli utenti. 

Più precisamente, attraverso il phishing viene praticato il furto di:

• login e password, 
• numeri relativi a carte di credito e conti bancari,
• ulteriori dati riservati. 

Un esempio di phishing

L’Agenzia delle Entrate, in quanto Pubblica Amministrazione, non è al riparo dallo sfruttamento truffaldino del proprio brand aziendale, da parte di malintenzionati, per tentare di dare legittimità a messaggi malevoli.

Ecco un esempio:

Questa mail, inviata da una fantomatica “Divisione Indagine” dell’Agenzia delle Entrate, fa riferimento a una presunta citazione relativa a una fattura non dichiarata e contiene un link tramite il quale sarebbe possibile visualizzare la fattura in questione e le informazioni circa il responsabile della citazione.

Il link presente all’interno del messaggio punta a una pagina contraffatta del sito dell’Agenzia, ospitata oltretutto su un dominio estremamente simile a quello istituzionale:

Le Entrate spiegano come difendersi dal phishing

Per difendersi da questo tipo di attacchi occorre tenere sempre presente che lo strumento più efficace è l’uso consapevole degli strumenti informatici.

Gli antivirus moderni offrono un buon livello di protezione, almeno dall’esecuzione di software malevoli, ma per ridurre al minimo i rischi di incappare in una di queste trappole è fondamentale adottare una serie di accorgimenti nell’uso della posta e di internet.

Come si capisce se una mail è sospetta? E' necessrio chiedersi:

• se il messaggio proviene da un mittente noto,
• se è scritto in italiano corretto
• se è rivolto personalmente a noi
• se è ben “costruito”, cioè i caratteri usati sono coerenti o sembra un copia e incolla raffazzonato
• se il discorso “fila” liscio e ha senso compiuto.

Anche una sola di queste mancanze è sufficiente a considerare prudentemente il messaggio come pericoloso.

Se ci sono collegamenti nel messaggio, la prima verifica da fare è se, al passaggio del mouse, il link corrisponde al testo. 

È sempre opportuno diffidare dei link accorciati (ad esempio quelli di tipo bit.ly) che non consentono di sapere a priori qual è l’indirizzo di destinazione. 

Se ci sono allegati, bisogna sempre controllare che abbiano una sola estensione (ad esempio .docx e non .docx.exe).

In caso di dubbi sulla provenienza reale di un documento ricevuto per mail, piuttosto che aprirlo è preferibile contattare il mittente per altra via (un numero di telefono o un indirizzo email ufficiale) e chiedere conferma. 

Attenzione l’Agenzia delle Entrate non invia mai per posta elettronica comunicazioni contenenti dati personali dei contribuenti.

La linea di difesa più efficace, in definitiva, contro gli attacchi informatici di questo tipo è la presenza di spirito, coadiuvata dal buon senso e da un pizzico di attenzione.

Con un comunicato stampa del 25 settembre le Entrate informano del fatto che   basterà un'unica richiesta per delegare un familiare o una persona di fiducia ad accedere, nel proprio interesse, ai servizi online dell’Agenzia delle Entrate e dell’Agenzia delle entrate-Riscossione. 

Con Provvedimento n 332731 del 25 settembre delle Entrate sono approvati i modelli e le istruzioni per consentire:

• alle persone di fiducia, 
• ai genitori,
• e agli altri “rappresentanti” (ad esempio i tutori),

di utilizzare i servizi web delle due Agenzie nell’interesse di un’altra persona. 

La soluzione pensata per andare incontro ai contribuenti che hanno poca dimestichezza con i servizi online o non hanno la possibilità di usarli direttamente, già attivata lo scorso anno dall’Agenzia delle Entrate, dal 25 settembre viene estesa anche ai servizi dell’agente della riscossione. 

Per abilitare una terza persona sarà quindi sufficiente una sola richiesta, da presentare all’Agenzia delle Entrate, che potrà essere valida al massimo fino al 31 dicembre del secondo anno successivo a quello di attivazione.

Servizi on-line Entrate/Riscossione: come delegare terzi

La richiesta di abilitazione riguarda tre diversi modelli (persone di fiducia, tutori/amministratori di sostegno/curatori speciali, genitori) e va presentata all’Agenzia delle Entrate: 

• recandosi di persona in un Ufficio, 
• tramite pec a una Direzione Provinciale
• o con una videochiamata.

La persona di fiducia può essere autorizzata anche all’interno della propria area riservata sul sito dell’Agenzia delle Entrate, mentre per i rappresentanti è possibile utilizzare anche il servizio web “Consegna documenti e istanze”. L’elenco dettagliato dei servizi “delegabili” è indicato nel provvedimento.

Servizi on-line Entrate/Riscossione: su cosa delegare terzi

I servizi dell’Agenzia delle entrate-Riscossione che sarà possibile “aprire” a persone di fiducia e rappresentanti nell’area riservata del sito dell’Agenzia delle entrate-Riscossione riguardano:

• visualizzare eventuali cartelle e avvisi di pagamento (emessi a partire dal 2000), 
• consultare pagamenti, sgravi, sospensioni, piani di rateizzazione, 
• chiedere informazioni specifiche sulla posizione debitoria.

Sarà inoltre possibile presentare istanza di rateizzazione, di sospensione legale della riscossione e utilizzare i servizi relativi alla definizione agevolata dei carichi iscritti a ruolo.

L'agenzia ricorda che da maggio 2022 nell’area riservata del sito dell’Agenzia delle Entrate sono disponibili “su delega” numerosi servizi, che spaziano dalla consultazione (accedere al cassetto fiscale del rappresentato o interessato, visualizzare le comunicazioni e i pagamenti, effettuare visure degli immobili) alle richieste (per esempio ottenere il duplicato della tessera sanitaria) fino al controllo del pin e la possibilità di gestione dei propri contatti. 

Naturalmente il rappresentante o la persona di fiducia può gestire, per conto dell’interessato, anche tutte le funzionalità relative alla dichiarazione precompilata: visualizzazione, eventuale modifica e integrazione, invio del modello.

Infine ricordiamo che con Provvedimento n 130859 del 17 aprile le Entrate modificavano il precedente Provvedimento n 173217 del 1905.2022  relativo ai servizi on line delle Entrate e i modelli per richiederli "per conto" del contribuente impossibilitato a farlo in prima persona.

• Provvedimento AdE 130859 del 17.04.2023

Con decreto del 3 marzo pubblicato in GU n. 91 del 18 aprile il Ministero dell'Interno reca Modalità di attribuzione, da parte dell'Anagrafe nazionale della popolazione residente, di un codice identificativo univoco per garantire la circolarità dei dati anagrafici e l'interoperabilità con le altre banche dati delle pubbliche amministrazioni e dei gestori di servizi pubblici. 

In particolare, con il presente decreto è definito l'adeguamento e l'evoluzione delle caratteristiche tecniche  della piattaforma  di funzionamento dell'ANPR per  l'attribuzione a  ciascun cittadino del codice identificativo univoco (ID ANPR) di cui all'art. 62, comma 3,  ultimo periodo, del CAD.

Ricordiamo che, l’Anagrafe Nazionale della Popolazione Residente (ANPR), è la banca dati nazionale nella quale sono confluite le anagrafi comunali.

 ANPR è un sistema integrato che consente ai Comuni di svolgere i servizi anagrafici e di consultare o estrarre dati, monitorare le attività, effettuare statistiche: è il punto di riferimento per l'intera Pubblica amministrazione e per tutti coloro che sono interessati ai dati anagrafici, in particolare i gestori di pubblici servizi.

Codice identificativo univoco ANPR: che cos'é

L'ID ANPR è integrato in ANPR per la corretta  identificazione del  cittadino  registrato  in  ANPR al  fine di garantire l'interoperabilità dell'ANPR  con le altre banche dati  delle pubbliche amministrazioni e dei gestori di servizi pubblici di cui all'art. 2, comma 2, lettere a) e b), nei limiti della conoscibilità dei dati previsti dalle leggi e dai regolamenti.
 L'ID ANPR è attribuito ad ogni individuo all'atto della sua iscrizione in anagrafe e conseguente registrazione in ANPR.
 L'ID ANPR si contraddistingue per le seguenti caratteristiche:

• a. è alfanumerico con lunghezza di 9 caratteri compreso il check digit;
• b. è attribuito e associato univocamente ad ogni individuo già registrato in ANPR ovvero ad ogni individuo in fase di registrazione nell'ANPR;
• c. può essere generato soltanto dal sistema ANPR;
• d. non è ricavato dai dati anagrafici della persona a  cui è attribuito,
• e. non contiene elementi identificativi dei dati anagrafici della persona a cui è attribuito,
• f. non può essere riassegnato,
• g.  garantisce l'associazione  immutabile  al  soggetto cui è attribuito;
• h. non fornisce evidenza di alcuna sequenzialità  tantomeno temporale;
• i. è dotato di check digit (il check digit è l'ultimo carattere dell'ID ANPR calcolato tramite uno specifico algoritmo per consentire di verificare la validità dei numeri che lo precedono);
• j. è possibile la ricostruzione del check digit;

Entro trenta giorni dall'entrata in vigore del presente decreto, l'ID ANPR è attribuito a tutti  gli individui già registrati  in ANPR. 

A decorrere dalla medesima data, l'ID ANPR viene attribuito  ad ogni individuo in fase di registrazione in ANPR. 

Leggi anche: Certificati gratis on line: sul portale ANPR scopri quali per scoprire i servizi on line gratuiti sul sito ANPR.

In caso di trasferimento è necessario inviare tempestivamente la dichiarazione al comune di competenza per comunicare:

• i dati della nuova abitazione, 
• i dati di coloro che già vi risiedono,
• i dati delle persone che si sono trasferite.

Sul sito di ANPR Anagrafe Nazionale è disponibile tra gli altri il servizio di cambio di residenza on-line.

In particolare, il cambio di residenza on line è il servizio che consente di inviare:

• per sé 
• e per i componenti della propria famiglia anagrafica, 

una dichiarazione al comune di competenza nei seguenti casi:

• cambio abitazione nell’ambito dello stesso comune;
• cambio residenza trasferendosi in un altro comune;
• rientro in Italia dall’estero (se si è un cittadino italiano iscritto all’AIRE).

Per tutte le altre tipologie di richiesta, è necessario rivolgersi al comune di competenza.

Cambio residenza online: in quali casi procedere

Accedendo al servizio nell'area riservata del portale ANPR, verrà chiesto di dichiarare se ci si trasferisce in una nuova residenza o in una famiglia esistente.

Occorre scegliere il primo caso (nuova residenza) se:

• SI va ad abitare in una casa dove non risiedono altre persone;
• nella casa dove ci si trasferisce ci sono altre persone con cui non si hanno vincoli di parentela o affettivi (per esempio, un gruppo di studenti che dividono un appartamento).

Occorre scegliere il secondo caso (famiglia esistente) se, viceversa, nella nuova casa ci sono persone con le quali si hanno vincoli di parentela o affettivi (per esempio, una coppia di fidanzati).

Attenzione al fatto che, prima di inviare la richiesta, è bene verificare attentamente i dati inseriti in quanto dopo l’invio, infatti, non sarà possibile effettuare ulteriori modifiche, poiché la richiesta sarà gestita direttamente dagli operatori d’anagrafe del comune di competenza. 

Cambio residenza online: come fare

Nell'area riservata sarà possibile seguire la pratica e fornendo il proprio indirizzo restare informati tramite email.

Per il cambio di residenza on line l’accesso dovrà avvenire con la propria identità digitale:

• carta d’identità elettronica CIE,
• Spid, 
• o carta nazionale dei servizi, 

CLICCA QUI e accedi al portale ANPR

Le Entrate hanno disposto una proroga al 31 gennaio 2023 per il rinnovo dei certificati per adeguamento ai nuovi standard di sicurezza. (In proposito si legga l'informativa del CNDCEC n 90 del 3 ottobre 2022)

In particolare: 

• gli intermediari Entratel 
• gli utenti Fisconline

che non hanno provveduto al rinnovo dei certificati digitali per la firma dei documenti informatici hanno tempo fino al 31 gennaio 2023.

In allagato alla informativa l'agenzia mette a disposizione due guide (accedi qui per scaricarle):

• Guida rapida Generazione ambiente di sicurezza utenti Entratel utilizzatori del software “Desktop Telematico” 
• Guida rapida Generazione ambiente di sicurezza utenti Fisconline – registrati al SID – ed utenti Entratel (che non utilizzano il “Desktop telematico”). 

La nota dei commercialisti del 3 ottobre riporta il dettaglio delle comunicazioni pubblicate dall'agenzia delle Entrate. 

Rinnovo certificati di sicurezza entratel: entro il 31 gennaio

L'Agenzia delle Entrate ha reso più sicuro lo scambio dati e documenti standardizzando gli algoritmi e i certificati digitali per la firma e cifratura dei documenti informatici da scambiare mediante i vari canali telematici. 

I nuovi requisiti minimi di sicurezza per la trasmissione dati all’Agenzia delle entrate sono: 

• algoritmo di hash: SHA-256; 
• algoritmo di cifratura: AES-256; 
• lunghezza delle chiavi RSA: 4096 bit (cifratura) e 4096 o 2048 bit (firma). 

Il percorso di adozione è tuttora in corso, in considerazione della vasta platea di utenti; al momento, in via transitoria, sono ancora accettati gli invii di dati firmati e cifrati con i certificati creati con i precedenti requisiti meno stringenti.

Tale fase transitoria terminerà il 31 gennaio 2023, successivamente non verranno più accettati dati e documenti firmati e cifrati che non seguano le regole precedentemente esposte. 

Viene specificato che si è proceduto anche alla pubblicazione di un messaggio di contenuto analogo, all’interno dell’area riservata di quegli utenti che al 30 aprile 2022 non avevano ancora sostituito il certificato e, per quegli utenti che hanno registrato l’indirizzo e-mail, il messaggio è stato inviato anche via posta elettronica. 

Pertanto, è necessario, qualora tale operazione non sia già stata effettuata, aggiornare le applicazioni “Desktop Telematico – Entratel” oppure “Generazione certificati”, nonché rinnovare entro la data del 31 gennaio 2023 i propri certificati utilizzando le stesse applicazioni.

Per la procedura da seguire leggi: Novità Desktop telematico: cosa si deve fare entro il 31 gennaio 2023? Ecco la guida

Nel caso di dubbio di aver già provveduto è possibile utilizzare le medesime applicazioni anche per verificare che i certificati siano già stati aggiornati, procedendo come di seguito descritto: 

• Desktop Telematico: o utilizzare la funzione “Sicurezza – Visualizza certificati” del menu “Entratel”; o selezionare il pulsante “Dettaglio” dopo aver specificato il certificato da verificare; o controllare che nella cartella “Generale – Certificato selezionato” appaia la dicitura “Chiave Pubblica: Sun RSA public key, 4096 bits”. 

Nel caso la dicitura elenchi un valore diverso, il certificato dovrà essere aggiornato procedendo alla revoca dell’ambiente di sicurezza e alla generazione di un nuovo ambiente di sicurezza;

• Gestione certificati: o utilizzare la funzione “Gestisci ambiente – Visualizza certificati”; o selezionare il pulsante “Dettaglio” dopo aver specificato il certificato da verificare; o controllare che nella cartella “Generale – Certificato selezionato” appaia la dicitura “Chiave Pubblica: Sun RSA public key, 4096 bits”. 

Qualora la dicitura descriva un valore diverso, il certificato dovrà essere aggiornato procedendo alla revoca dell’ambiente di sicurezza e alla generazione di un nuovo ambiente di sicurezza. 

Viene ribadito che è opportuno aggiornare sempre le applicazioni prima di procedere in quanto, qualora si seguisse la procedura indicata in precedenza con una versione non aggiornata, le richieste di generazione dei certificati sarebbero scartate dal sistema con il messaggio: “Formato della richiesta di iscrizione al registro utenti non valido (K1024). 

Verificare la versione del software di generazione dell'ambiente di sicurezza”. 

Ricordiamo che con il comunicato pubblicato il 29/04/2022 nell'area riservata,  l'Agenzia delle Entrate disponeva una proroga al 31 dicembre 2022 del rinnovo certificati per adeguamento ai nuovi standard di sicurezza.

• Informativa n 90 del CNDCEC del 3 ottobre 2022