---

Per chi ha fretta

AGID, l’Agenzia per l’Italia Digitale, lancia un nuovo allarme. Continua la truffa che mira al “furto” dello SPID e che sta mietendo molte vittime a causa della sua modalità insidiosa. È stato proprio il CERT-AgID (acronimo di Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, è una struttura interna ad AgID che si occupa di sicurezza informatica per la Pubblica Amministrazione; il suo compito principale è prevenire e gestire incidenti di sicurezza informatica che possono colpire le PA, offrendo servizi di monitoraggio, analisi e risposta agli attacchi) a individuare una nuova campagna di phishing che prende di mira gli utenti SPID. I truffatori inviano email che imitano perfettamente quelle di enti ufficiali come AGID o dei gestori di identità, con la scusa di un “aggiornamento documenti” o di una “sospensione dell’account”. I link in queste email portano a siti clone dove, oltre a username e password, viene richiesto di caricare documenti e persino di registrare un video-selfie. Con questi dati, i criminali possono compiere un furto di identità totale. La regola fondamentale è non cliccare mai su questi link: nessuna istituzione chiederà mai dati e documenti tramite un’email standard.

SPID nel Mirino: la Truffa che Punta al Cuore della Tua Identità Digitale

Lo SPID (Sistema Pubblico di Identità Digitale) è diventato la chiave di accesso universale ai servizi online della Pubblica Amministrazione e di un numero crescente di privati. È la nostra firma digitale, il nostro documento di riconoscimento nel mondo virtuale. Proprio questa sua importanza lo ha trasformato in un obiettivo estremamente prezioso per i cybercriminali. Il furto di un’identità SPID non è come il furto di una semplice password: significa consegnare a un malintenzionato le chiavi della nostra intera vita digitale e civile, con conseguenze potenzialmente devastanti.

Le campagne di phishing a tema SPID sono sempre più raffinate e mirano non solo a carpire le credenziali, ma a compiere un furto d’identità completo.

Anatomia di una Frode d’Identità

L’attacco è un processo a più stadi, studiato per ingannare anche l’utente più cauto.

1. L’Esca: L’Email Istituzionale: La vittima riceve un’email che sembra provenire da un ente ufficiale, come l’Agenzia per l’Italia Digitale (AgID) o il proprio gestore di identità SPID (Identity Provider come Poste, Aruba, Namirial, etc.). Il messaggio, che ne riproduce loghi e linguaggio, comunica con urgenza un problema che richiede un’azione immediata. I pretesti più comuni sono:
   • “Il suo SPID sta per scadere o sarà sospeso per motivi di sicurezza”.
   • “È necessario un aggiornamento obbligatorio dei suoi documenti”.
   • “Abbiamo rilevato un accesso anomalo, verifichi il suo account”.
   • “Lei ha diritto a un nuovo bonus, acceda qui per richiederlo”.
2. La Trappola: Il Sito Clone: L’email contiene un link che, se cliccato, non porta al sito ufficiale, ma a una sua copia perfetta. L’indirizzo web (URL) è spesso molto simile all’originale, con piccole variazioni pensate per non destare sospetti.
3. La Raccolta Dati Completa: Su questa pagina falsa, alla vittima viene chiesto di inserire le proprie credenziali SPID (username e password). Ma l’attacco non si ferma qui. Per rendere il furto d’identità più robusto, i criminali chiedono di:
   • Caricare una copia dei documenti: Viene richiesto l’upload della scansione della carta d’identità e della tessera sanitaria.
   • Registrare un video-selfie: È il passo più allarmante. Alla vittima viene chiesto di registrare un breve video di sé stessa, a volte mentre tiene in mano il proprio documento. Questo video serve ai criminali per superare i moderni sistemi di riconoscimento biometrico (liveness check) usati da molte piattaforme finanziarie.

Le Conseguenze: Cosa Fanno con il Tuo SPID?

Una volta in possesso di questo “kit” completo di identità, un criminale può:

• Richiedere bonus, sussidi e contributi statali a nome della vittima, incassandoli al suo posto.
• Aprire conti correnti bancari o postali.
• Richiedere prestiti, finanziamenti e carte di credito.
• Firmare contratti di ogni tipo (utenze energetiche, telefoniche, etc.).
• Accedere al fascicolo sanitario elettronico e ad altri dati personali estremamente sensibili.
• Commettere altri reati utilizzando l’identità della vittima come scudo.

Lista di Consigli per Evitare il Problema

1. La Regola d’Oro: Nessuno ti Chiederà Mai Questo via Email: Né AGID, né il tuo gestore SPID ti contatteranno mai tramite email standard per chiederti di inserire le tue credenziali, aggiornare i documenti o registrare un video cliccando su un link. Qualsiasi comunicazione di questo tipo è una truffa.
2. Non Cliccare sul Link, Accedi Manualmente: Se ricevi un’email che ti mette in allarme, non cliccare. Chiudila, apri il tuo browser, digita tu stesso l’indirizzo del sito del tuo gestore SPID e accedi da lì. Se c’è un problema reale, sarà segnalato nella tua area personale sicura.
3. Controlla Sempre l’Indirizzo del Sito Web: Prima di inserire qualsiasi dato, guarda attentamente l’URL nella barra degli indirizzi. Sarà simile, ma non identico, a quello ufficiale. Cerca piccole differenze, trattini o desinenze strane (es. .com invece di .it, o domini come info-gestore.net).
4. Attiva le Notifiche di Accesso: Controlla le impostazioni del tuo SPID e attiva tutte le notifiche di sicurezza disponibili. Ricevere un avviso via email o app per ogni accesso ti permette di rilevare immediatamente un’attività sospetta.
5. Valuta un Livello di Sicurezza Superiore: Se tratti dati molto sensibili, considera di passare a uno SPID di Livello 3, che per l’accesso richiede un dispositivo fisico aggiuntivo (come una smart card o una chiavetta USB), offrendo la massima protezione contro il phishing.

Rimedi: Cosa Fare se si Presenta il Problema

Se sospetti che le tue credenziali SPID siano state rubate, devi agire con la massima urgenza e decisione.

1. Contatta Immediatamente il Tuo Gestore SPID: È il primo passo cruciale. Cerca online il numero o la procedura di emergenza del tuo Identity Provider e chiedi la sospensione o la revoca immediata della tua identità digitale per bloccare qualsiasi utilizzo fraudolento.
2. Cambia la Password (se possibile): Se riesci ancora ad accedere al tuo account, cambia subito la password e tutte le domande/informazioni di sicurezza.
3. Sporgi Denuncia alla Polizia Postale: Il furto di identità digitale è un reato gravissimo. Recati al più presto presso un ufficio della Polizia Postale e delle Comunicazioni con tutta la documentazione possibile (l’email di phishing, etc.) e sporgi una denuncia dettagliata. Questo atto è fondamentale per poterti tutelare legalmente da qualsiasi azione commessa a tuo nome.
4. Verifica la Tua Posizione Finanziaria: Contatta i sistemi di informazione creditizia (come il CRIF) per verificare che non siano stati aperti finanziamenti o prestiti a tuo nome.

#checkblacklist #SPID #IdentitàDigitale