Nuova truffa Spid segnalata dal Cert-AgID: come funziona e come difendersi

ANSA

In Italia l’uso dello Spid è parte della nuova normalità burocratica post Covid. Un sistema di riconoscimento dell’identità digitalizzato ormai fondamentale, che porta con sé anche una certa dose di rischio. È in corso ad esempio una nuova campagna di phishing indirizzata verso questi utenti.

A segnalarlo è il Cert-AgID, ovvero la struttura che si occupa della sicurezza informatica per la Pubblica amministrazione. Ha lanciato un avviso il 3 agosto 2026, spiegando come l’obiettivo dei truffatori miri a sottrarre dati personali e bancari, sfruttando nomi e loghi AgID e Spid per convincere gli utenti meno attenti e sospettosi.

I marchi istituzionali e gli indirizzi web contenenti alcune parole chiave, come “gov” e “spid”, rappresentano gli elementi più utili al raggiro. Vediamo però come funziona la truffa nel dettaglio e come proteggersi.

Nuova truffa Spid: come funziona

Secondo il Cert-AgID, questa nuova ondata di truffe ricalca lo schema precedente. I criminali informatici preparano pagine false che imitano la grafica ufficiale e provano a spingere l’utente a inserire i propri dati. Come? La scusa può variare ma la dinamica è la stessa: occorre occuparsi di un adempimento urgente.

Si rischia grosso in caso di ritardo e tutto è ben orchestrato per essere credibile. Basti pensare che i domini usati richiamano volutamente termini legati ai servizi pubblici digitali. Ci sono dei passaggi standard che l’utente si ritrova a subire:

• la vittima viene indirizzata su una pagina che chiede il codice fiscale;
• si richiede il pagamento di un fantomatico “canone annuale” di verifica, presentato come necessario per evitare sanzioni;
• si evidenzia che, in assenza del pagamento, non si potrà più accedere ai servizi della Pubblica amministrazione;
• le schermate visionate mostrano falsi numeri di pratica e richiedono il versamento di una cifra simile ai reali costi dei gestori Spid.
• Le somme non sono incredibili e infatti non rappresentano il bottino. Si mira ai dati personali e quelli del metodo di pagamento sfruttato.

Il segnale per svelare la truffa

Smascherare la truffa non è impossibile, ma occorre stare con gli occhi aperti e ricercare dei segnali specifici. È bene sapere che le identità Spid non si gestiscono mai attraverso i siti istituzionali di AgID. Ogni operazione legata alla propria identità digitale avviene esclusivamente tramite il singolo gestore con cui si è attivato lo Spid.

Di conseguenza, qualunque richiesta di inserire dati personali su pagine esterne, non riconducibili al proprio gestore, va considerata sospetta a prescindere dall’aspetto grafico. A ciò si aggiungono poi le due regole d’oro: mai cliccare su link proposti via mail e mai fidarsi di chi invia comunicazioni evidenziando delle tempistiche estremamente ridotte per agire. Quel senso d’urgenza è studiato proprio per impedire di chiedere aiuto e chiarimenti.

Promemoria mentale: conviene sempre digitare a mano l’indirizzo del proprio gestore o passare dall’app ufficiale.