Fonti preferite
L’identità digitale è diventata parte integrante della vita quotidiana degli italiani. Dallo Spid dipendono ormai centinaia di servizi: dall’accesso al fascicolo sanitario elettronico alle comunicazioni con l’Agenzia delle Entrate, dalle pratiche comunali alle prenotazioni di visite mediche. Questa centralità nel sistema burocratico digitale ha trasformato lo Spid in un bersaglio appetibile per i criminali informatici, che sfruttano proprio la fiducia che i cittadini ripongono nei marchi istituzionali.
Il 3 agosto 2026, il Cert-AgID, la struttura deputata alla sicurezza informatica della Pubblica amministrazione, ha lanciato un allarme ufficiale. È in corso una campagna di phishing particolarmente insidiosa, orchestrata per sottrarre dati personali e bancari agli utenti Spid. La pericolosità di questa truffa risiede nella sua sofisticatezza: i malintenzionati hanno costruito pagine web false che riproducono fedelmente la grafica ufficiale, utilizzando loghi AgID e Spid autentici per creare un’apparenza di legittimità.
I truffatori hanno perfezionato la tecnica nel tempo, arrivando a registrare domini che contengono parole chiave istituzionali come “gov” e “spid“. Questa scelta non è casuale: l’utente medio tende a fidarsi automaticamente di un indirizzo web che richiama terminologie governative. È una forma di ingegneria sociale che sfrutta i meccanismi psicologici di fiducia verso l’autorità.
Il meccanismo della truffa segue uno schema collaudato e insidioso. Tutto inizia con una comunicazione, solitamente via email, che presenta un tono ufficiale e urgente. L’utente viene indirizzato verso una pagina che richiede l’inserimento del codice fiscale, primo passo per costruire il profilo completo della vittima. A questo punto compare la richiesta centrale dell’inganno: il pagamento di un fantomatico canone annuale di verifica.
La genialità criminale sta nel rendere questa richiesta credibile. I truffatori presentano il pagamento come necessario per mantenere attiva l’identità digitale, minacciando sanzioni e impossibilità di accedere ai servizi della Pubblica amministrazione in caso di mancato versamento. La cifra richiesta viene calibrata con attenzione: somme simili ai reali costi sostenuti dai gestori Spid legittimi, abbastanza contenute da non destare sospetti eccessivi.
Le schermate fraudolente mostrano falsi numeri di pratica, timer con scadenze imminenti, riferimenti normativi inesistenti. Ogni dettaglio è studiato per creare un senso di urgenza che impedisca alla vittima di fermarsi a riflettere, chiedere aiuto o verificare la veridicità della comunicazione. Ma attenzione: il vero obiettivo non è incassare quei pochi euro del canone fasullo.
Quello che cercano veramente i criminali sono i dati della carta di credito o del conto bancario inseriti per effettuare il pagamento. Quelle informazioni valgono infinitamente di più di qualche decina di euro: permettono di clonare metodi di pagamento, effettuare prelievi non autorizzati, rivendere i dati nel dark web o utilizzarli per ulteriori frodi.
Smascherare questa truffa è possibile, ma richiede consapevolezza e attenzione. Il primo segnale inequivocabile riguarda la natura stessa della richiesta: le identità Spid non si gestiscono mai attraverso siti istituzionali come AgID. Questo è un punto fondamentale da comprendere. Ogni operazione legata alla propria identità digitale, dalla modifica dei dati personali al rinnovo delle credenziali, avviene esclusivamente tramite il portale del gestore con cui si è attivato lo Spid: Poste Italiane, Aruba, Infocert, Tim o gli altri provider autorizzati.
Qualunque richiesta di inserire dati personali, codici fiscali o informazioni bancarie su pagine esterne, non riconducibili direttamente al proprio gestore, deve accendere un campanello d’allarme immediato. Non importa quanto professionale appaia la grafica, quanto accurati siano i loghi riprodotti o quanto ufficiale suoni il linguaggio utilizzato: se la richiesta non proviene dal vostro gestore Spid, è una truffa.
Il secondo elemento distintivo è il senso di urgenza artificiale. I truffatori costruiscono scenari emergenziali con scadenze brevissime: “entro 24 ore“, “ultima comunicazione”, “accesso sospeso imminente”. Questa pressione temporale è deliberata e mira a cortocircuitare il ragionamento critico della vittima. Le istituzioni reali non operano mai in questo modo: eventuali comunicazioni autentiche prevedono sempre tempi congrui per mettersi in regola, canali di assistenza chiari e la possibilità di verificare attraverso contatti ufficiali.
Terzo segnale: i link ricevuti via email. La regola aurea della sicurezza digitale è semplice quanto efficace: mai cliccare su link proposti attraverso comunicazioni non sollecitate. Anche se la mail sembra provenire da un mittente legittimo, anche se l’oggetto è allarmante, il primo passo deve essere sempre verificare autonomamente. Come? Digitando manualmente l’indirizzo del proprio gestore Spid nella barra del browser o accedendo tramite l’app ufficiale scaricata dagli store certificati.
Esiste poi un aspetto che sfugge a molti: lo Spid in sé non prevede canoni annuali di mantenimento per l’utente. Alcuni gestori offrono il servizio gratuitamente, altri richiedono un piccolo contributo iniziale per l’attivazione, ma nessuno chiede pagamenti ricorrenti per verifiche o rinnovi della validità. Questa consapevolezza è la prima difesa contro tentativi di frode.
Cosa fare se si sospetta di essere stati vittime di questa truffa? Innanzitutto, non completare in nessun caso l’inserimento di dati sensibili se si nutre anche il minimo dubbio. Secondo, contattare immediatamente il proprio gestore Spid attraverso i canali ufficiali per segnalare quanto accaduto. Terzo, se sono già stati forniti dati bancari, contattare urgentemente la propria banca per bloccare eventuali operazioni non autorizzate.
È consigliabile inoltre segnalare l’accaduto alla Polizia Postale, che dispone di strumenti e competenze specifiche per contrastare questo tipo di criminalità informatica. Ogni segnalazione contribuisce a mappare le campagne di phishing in corso e a contrastarle più efficacemente.
