Sono le cosiddette lettere di compliance, annunciate dal direttore dell’Agenzia Vincenzo Carbone: comunicazioni che segnalano incongruenze tra quanto dichiarato e i dati già in possesso del Fisco — redditi non dichiarati, errori nelle comunicazioni IVA, rendite da fabbricati dimenticate, compensi da lavoro autonomo riportati male. Non sono accertamenti. Sono un preavviso, l’occasione per correggere con il ravvedimento e sanzioni ridotte prima che parta il controllo formale.

Il numero deriva da una convenzione triennale tra Ministero dell’Economia e Agenzia, che fissa per queste attività un obiettivo di recupero di 14,5 miliardi di euro. Un dettaglio smentisce il timore più diffuso: lo stesso Carbone ha precisato che dietro la selezione non c’è alcun automatismo e nessuna intelligenza artificiale generativa, ma incroci di banche dati alimentati da fattura elettronica e corrispettivi telematici.

Agenzia delle Entrate, la comunicazione che arriverà ai cittadini

Le comunicazioni autentiche viaggiano per canali precisi. Arrivano con raccomandata A/R al domicilio fiscale, via PEC, oppure come notifica nell’area riservata del portale; le persone fisiche ricevono anche un avviso sull’app IO. Per dare la misura del fenomeno, le PEC con invito a regolarizzare hanno toccato 3,2 milioni sia nel 2023 sia nel 2024, con un recupero stimato fino a 4,5 miliardi l’anno.

Proprio questa mole di posta ufficiale fa da copertura a una seconda corrispondenza, parallela e fraudolenta. A maggio l’Agenzia ha diffuso un avviso su una campagna di phishing costruita su falsi solleciti di pagamento, riconoscibili per la dicitura “Azione urgente” e per il richiamo a una scadenza imminente. Non è un episodio isolato: nei primi mesi del 2026 si erano già registrati finti rimborsi IVA per presunti versamenti in eccesso relativi al 2024, un’ondata mirata al furto delle credenziali SPID, casi di SMS con numero del mittente contraffatto e false notifiche amministrative spedite da indirizzi che imitano i domini istituzionali.

La regola per distinguere il vero dal falso è una sola, e l’Agenzia la ripete: non invia mai e-mail con allegati o link da cliccare per visualizzare un atto. Qualsiasi documento fiscale si consulta esclusivamente dall’area riservata, raggiungibile digitando a mano l’indirizzo del portale nel browser e accedendo con SPID, CIE o CNS. Un messaggio che chiede di entrare tramite collegamento è, per definizione, sospetto.

Chi riceve una comunicazione dubbia non dovrebbe rispondere né aprire i link, ma controllare la sezione “L’Agenzia scrive” nella propria area personale e, nel dubbio, la pagina sui tentativi di frode aggiornata sul sito. Il paradosso è che la truffa rende meglio proprio quando il Fisco sta davvero scrivendo a milioni di persone: la lettera attesa fa da garanzia involontaria a quella falsa.

Resta un numero che l’Agenzia non ha diffuso: quanti, tra i destinatari delle 2,4 milioni di lettere autentiche, finiranno per aprire allarmati l’email sbagliata.