Cos’è lo SPID e perché è fondamentale nei servizi digitali
Il Sistema Pubblico di Identità Digitale rappresenta la porta principale per accedere ai servizi online della Pubblica Amministrazione e di diversi soggetti privati. Si tratta di un meccanismo di autenticazione che consente a ogni individuo, previa identificazione da parte di provider autorizzati, di ottenere un accesso sicuro e certificato a una vasta gamma di servizi. La peculiarità dello SPID risiede nella sua capacità di unificare il processo di login per una moltitudine di portali – dal fiscale al sanitario, dall’istruzione alla previdenza – attraverso l’utilizzo di credenziali uniche e personali.
La normativa di riferimento è il Codice dell’Amministrazione Digitale (D. Lgs. 82/2005, art. 64 e ss.), che impone a tutte le amministrazioni pubbliche l’accettazione delle credenziali SPID oltre che di CIE e CNS. La distribuzione su larga scala, rafforzata dall’adozione sistemica di strumenti digitali nei processi istituzionali, ha determinato una capillarità senza precedenti. Secondo i dati più recenti, il numero di identità digitali attive supera i 39 milioni, coinvolgendo circa il 78% della popolazione adulta. Questo livello di penetrazione rende lo SPID uno strumento divenuto quasi imprescindibile nella quotidianità, ma anche un obiettivo strategico per chi intende sfruttare la digitalizzazione per fini illeciti.
Il fenomeno delle truffe SPID: metodi più diffusi e vulnerabilità
La vasta diffusione dello SPID ha inevitabilmente esposto nuove superfici di attacco alla criminalità digitale, dando origine a un panorama variegato di tecniche fraudolente. Fra i metodi di inganno più ricorrenti si riscontrano:
- Phishing: l’invio di email che imitano comunicazioni ufficiali di enti pubblici, provider SPID o istituti bancari. Questi messaggi sono congegnati per generare urgenza o timore (ad esempio notificando accessi anomali o richiedendo l’aggiornamento urgente dei dati) e inducono la vittima a fornire credenziali, documenti o addirittura a cliccare su link malevoli.
- Smishing: variante via SMS che sfrutta la tendenza degli smartphone ad aggregare messaggi per mittente. Anche qui, un contenuto plausibile e l’aspetto grafico ingannevole portano l’utente a visitare pagine contraffatte.
- Vishing: chiamate telefoniche durante le quali presunti operatori, con tono rassicurante e competenza apparente, chiedono codici OTP o l’installazione di app-spia.
- Social engineering: raccolta sistematica di informazioni pubbliche sulla vittima, per confezionare raggiri su misura che passano facilmente inosservati.
L’escalation delle campagne fraudolente ha generato un vero mercato parallelo in cui dati, credenziali e documenti vengono scambiati o messi in vendita sul dark web. A preoccupare è anche l’aumento delle frodi di tipo “industrializzato”, con decine di falsi domini (ad esempio a tema INPS) che raccolgono illegalmente documenti e video di riconoscimento. In mancanza di una notifica automatica in caso di seconda registrazione SPID, le vittime spesso scoprono la compromissione solo a seguito della mancata ricezione di pagamenti attesi o di richieste anomale sui propri portali. Le vulnerabilità, dunque, sono non solo tecnologiche ma anche organizzative e culturali, mettendo a rischio tanto le finanze quanto l’autostima digitale dei cittadini.
Il caso del doppio SPID: come funziona e perché è così insidioso
L’attivazione di più SPID per lo stesso codice fiscale rappresenta sia un’opportunità sia un punto debole del sistema attuale. La normativa consente a ciascun utente di affidarsi a diversi Identity Provider, abilitando registrazioni parallele tramite differenti email. Se questa funzione nasce per offrire continuità di accesso e flessibilità tra provider, in caso di compromissione diventa una pericolosa porta d’ingresso per i truffatori. Quest’ultimi, una volta ottenuti i dati anagrafici tramite phishing, data breach o compra/vendita sul dark web, procedono con la richiesta di una nuova identità digitale su un provider alternativo.
La tecnica prevede l’utilizzo di email e numeri di telefono sotto controllo del criminale, favorendo un processo di autenticazione “legittimo” agli occhi dei sistemi automatizzati. Da quel momento, l’identità digitale duplicata può essere utilizzata per accedere ai portali della PA, modificare IBAN, dirottare pagamenti, firmare documenti e generare danni economici anche di notevole entità. Data l’assenza di un registro centralizzato che notifichi automaticamente all’utente la nuova attivazione, la vittima si accorge del problema spesso troppo tardi.
Il tutto è aggravato dalla crescente sofisticazione delle tecniche di falsificazione documentale (deepfake, AI), che rendono più complicato distinguere tra documenti genuini e manipolati, e dalla mancanza di controlli incrociati tra provider diversi.
Danni economici e sociali: le conseguenze del furto di identità digitale
Il furto di identità digitale genera danni profondi, molto spesso superiori alla semplice perdita di denaro. Le conseguenze si ripercuotono su più livelli:
- Prelievo di fondi ed erogazioni: tra i danni più evidenti vi sono il dirottamento di pagamenti statali (stipendi, pensioni, rimborsi fiscali), l’accesso fraudolento al patrimonio personale, l’apertura di conti correnti o richieste di prestiti a nome della vittima.
- Compromissione della reputazione digitale: un’identità digitale falsa può essere utilizzata per contrattare servizi, sottoscrivere abbonamenti o intraprendere azioni illecite, minando l’affidabilità sociale e legale della persona coinvolta.
- Effetto psicologico: vittime riferiscono senso di impotenza, perdita di fiducia nella tecnologia e difficoltà a ristabilire la propria posizione legale e finanziaria.
Il danno sociale si traduce anche in una crescente diffidenza verso la digitalizzazione, costringendo la PA e le aziende investire risorse sempre maggiori in sicurezza e informazione. A livello normativo, il furto d’identità ricade tra i reati penali contro la persona e il patrimonio (art. 640-ter Codice Penale: frode informatica), con aggravanti a seconda dell’impatto e delle modalità.
Consigli pratici: come riconoscere e difendersi dalle truffe SPID
Chi utilizza servizi digitali può adottare strategie preventive efficaci contro le truffe. Le best practice individuate dagli esperti comprendono:
- Controllare regolarmente i propri dati nei portali istituzionali e verificare che l’IBAN e le informazioni di pagamento siano corretti.
- Non cliccare MAI su link ricevuti via email o sms da fonti che non siano certificatamente affidabili. Gli enti come INPS e i provider SPID non inviano mai link cliccabili per aggiornare o confermare dati.
- Attivare e utilizzare sempre l’autenticazione a due fattori, che rende molto più difficile per un criminale accedere anche in caso di furto password.
- Utilizzare email dedicate esclusivamente per la gestione SPID e PA, distinte da quelle personali o lavorative.
- Proteggere la SIM telefonica con un PIN, evitando di associare account sensibili a numeri facilmente accessibili.
- Non inviare mai documenti personali tramite email, sms o app di messaggistica non sicuri.
- Prestare la massima attenzione a telefonate improvvise da presunti operatori che richiedono dati personali o codici di sicurezza: nessun ente istituzionale li chiede mai telefonicamente.
- Iscriversi a servizi di monitoraggio del credito per ricevere alert in caso di tentativi di apertura di nuovi conti a proprio nome.
- Utilizzare password complesse, diverse per ogni servizio e affidarsi a password manager certificati.
- Aggiornare regolarmente antivirus e sistemi operativi dei dispositivi utilizzati per l’accesso.
Mantener fede a queste abitudini rappresenta la prima barriera contro attacchi sempre più sofisticati.
Cosa fare in caso di truffa: strumenti, procedure e risorse utili
In caso di sospetta truffa o di compromissione dell’identità digitale è essenziale agire tempestivamente:
- Bloccare immediatamente lo SPID tramite il provider di riferimento, seguendo la procedura di sospensione accessibile da portale ufficiale.
- Sporgere denuncia alla Polizia Postale, portando con sé ogni elemento utile (email, sms ricevuti, documenti inviati).
- Effettuare una verifica approfondita sui portali PA per individuare eventuali modifiche o richieste non riconosciute.
- Segnalare il tentativo di phishing agli organismi preposti come CERT-AgID.
- Monitorare movimenti bancari e segnalare subito eventuali anomalie alla propria banca.
- Richiedere la revoca di identità SPID duplicate utilizzando il diritto di accesso previsto dal GDPR, rivolgendosi ai diversi provider.
Esistono servizi di alert (gratuiti o a pagamento) per monitorare l’uso sospetto dei propri dati, oltre a strumenti di notifiche su ES. CRIF ed Experian, per segnalare aperture sospette di linee di credito. La vigilanza, unita a una procedura tempestiva e coordinata, rappresenta oggi la risorsa più efficace contro le truffe digitali che coinvolgono l’identità SPID.
