Il finto messaggio dell'INPS e il rimborso da riscuotere

Il messaggio che annuncia un rimborso dell'INPS e chiede di aggiornare le coordinate bancarie è una truffa, e il segno che la smaschera è la direzione dei soldi: chi ti deve dare del denaro il conto ce l'ha già. Altrimenti non ti avrebbe mai pagato niente nemmeno prima.

Questi messaggi si moltiplicano fra novembre e dicembre, quando arrivano tredicesime, conguagli e rimborsi veri, e una comunicazione in più non sorprende nessuno.

Com'è fatto il messaggio

Il mittente porta un nome credibile: «INPS», «INPS-Info», «Servizi Previdenziali». Il testo annuncia un accredito non riscosso, un conguaglio a favore, un rimborso fiscale.

La cifra è quasi sempre scritta con i centesimi, e non è un caso: quattrocentottantasei euro e trentadue sembrano il risultato di un conteggio d'ufficio, mentre una cifra tonda suonerebbe inventata.

Poi c'è la richiesta: aggiornare o confermare le coordinate bancarie, «per poter procedere all'accredito». E c'è la scadenza, di solito quarantotto ore, oltre le quali il diritto decadrebbe.

Il collegamento porta a una pagina che somiglia a quella vera, con lo stemma e i colori giusti, e chiede l'IBAN, i dati personali e a volte le credenziali dello SPID.

Perché l'INPS non funziona così

Un ente che eroga prestazioni ha i tuoi dati bancari da quando la prestazione è cominciata. La pensione, la disoccupazione, l'assegno unico: tutti arrivano su un conto che l'istituto conosce.

Se quel conto cambia, sei tu ad andare a comunicarlo, e lo fai entrando nell'area riservata con lo SPID o con la carta d'identità elettronica. Non è mai l'istituto a chiedertelo con un messaggio.

C'è poi una seconda cosa che vale la pena sapere, perché smonta molte varianti: la pubblica amministrazione italiana comunica in modo tracciabile. Le comunicazioni importanti arrivano per posta, nell'area riservata del sito, o nell'app IO. Un SMS può esistere come promemoria, ma non è mai il canale con cui si chiedono dati.

Il controllo che funziona sempre, in un posto solo

Questa è la parte pratica, ed è più semplice di quanto sembri.

Apri l'app IO. È l'applicazione dei servizi pubblici, quella in cui si entra con lo SPID o con la carta d'identità elettronica, e dentro arrivano gli avvisi veri di INPS, Agenzia delle Entrate, Comune e sanità, con un segno che li certifica.

Se nell'app IO non c'è niente che assomigli a quel messaggio, quel messaggio non viene da loro.

È una regola che non richiede di saper leggere gli indirizzi dei siti, di riconoscere i loghi o di essere esperti di niente. Si guarda in un posto solo, e la risposta è lì.

La seconda strada, altrettanto sicura, è entrare direttamente nel sito dell'INPS scrivendo tu l'indirizzo, e guardare nel fascicolo previdenziale. Se un rimborso esiste, è scritto lì.

I cinque segni, in ordine di forza

La richiesta di coordinate bancarie. Nessun ente chiede l'IBAN per darti dei soldi.

La fretta. Quarantotto ore. I diritti previdenziali non scadono in due giorni, e quando scadono lo fanno dopo comunicazioni ripetute e formali.

L'assenza del tuo nome. «Gentile utente» lo scrive chi non sa come ti chiami.

L'indirizzo del sito. Il nome vero è l'ultima parte prima della prima barra. I siti pubblici italiani finiscono con .gov.it oppure con .it, e l'INPS sta su inps.it. Un indirizzo come «inps-riscossione.net» non ha niente a che vedere con l'istituto.

La richiesta dello SPID. Alcune varianti chiedono di «accedere con SPID» dentro la loro pagina. È il passaggio più pericoloso di tutti, perché consegna le chiavi di tutti i servizi pubblici insieme. Lo SPID si usa solo su pagine raggiunte scrivendo l'indirizzo o dall'app IO.

Perché dicembre è il mese peggiore

Le truffe funzionano quando sembrano plausibili, e a dicembre quasi tutto sembra plausibile.

Arrivano le tredicesime, arrivano i conguagli, arrivano i rimborsi delle spese sanitarie. Molte famiglie aspettano davvero un accredito, e non sanno esattamente quando né di quanto. In quel rumore, un messaggio che annuncia un accredito non stona.

Si aggiunge un secondo fattore: a dicembre gli uffici chiudono, i patronati hanno orari ridotti, e la persona a cui si chiederebbe conferma è in ferie. La verifica si rimanda, e intanto la scadenza scritta nel messaggio incalza.

Vale la pena dirlo prima, in famiglia: fra novembre e gennaio, qualunque messaggio parli di soldi da riscuotere si controlla nell'app IO e basta.

La variante che arriva per telefono

Esiste una versione parlata, ed è la più difficile da fermare perché dall'altra parte c'è una persona.

Chiama qualcuno che dice di essere di un patronato, di un ufficio previdenziale o di un centro di assistenza fiscale. Comunica un arretrato spettante e propone di sbrigare la pratica subito, per telefono. Chiede il codice fiscale, poi l'IBAN, poi le credenziali dello SPID «per completare la domanda al posto tuo».

Funziona perché è plausibile: i patronati esistono, fanno davvero le pratiche, e chiamano davvero i loro assistiti. La differenza è che un patronato vero non chiede mai lo SPID a voce, e non ha bisogno di farlo: se sei già suo assistito, i tuoi dati li ha nel fascicolo.

La regola è la stessa che vale per le banche: si riattacca e si richiama il numero che hai scritto sul contratto, sulla tessera o sul sito ufficiale. Nessun ufficio serio si offende, e quelli che si offendono sono esattamente quelli da cui ci si voleva difendere.

Cosa fare se hai già risposto

Se hai inserito solo l'IBAN, il danno diretto è limitato: con il solo IBAN non si preleva denaro da un conto. Vale però la pena avvisare la banca, perché quel dato viene usato per truffe successive più credibili, in cui chi chiama cita il tuo numero di conto per guadagnare fiducia.

Se hai inserito i dati della carta, chiama subito la banca e chiedi il blocco.

Se hai inserito le credenziali dello SPID, agisci subito: entra sul sito del tuo gestore dell'identità digitale, quello che te l'ha rilasciata, e cambia la password. Se non riesci, chiama il loro servizio clienti e chiedi la sospensione dell'identità.

In tutti i casi, presenta denuncia. Si può fare anche online, dal portale della Polizia Postale.

Come si aiuta un genitore su questo

La tentazione è dire «non rispondere mai a niente», ma è un consiglio che non regge: prima o poi una comunicazione vera arriva, e la regola assoluta si sbriciola.

Funziona meglio insegnare il gesto, non la diffidenza. Il gesto è uno: si apre l'app IO e si guarda. Si può provare insieme, una volta, in un pomeriggio in cui non c'è nessuna urgenza, magari controllando un avviso vero già ricevuto.

Se l'app IO non è installata, quella è la cosa da fare per prima: si scarica dal negozio delle applicazioni e si entra con lo SPID. Su come ottenerlo e usarlo abbiamo una guida dedicata, SPID: cos'è e a cosa serve.

Se invece vuoi provare a riconoscere questi messaggi senza correre rischi, nel corso antitruffe arrivano finti, uno per volta, e sbagliare non costa niente.