Lo SPID è diventato la chiave d’accesso a moltissimi servizi online della Pubblica Amministrazione, dalle detrazioni fiscali all’INPS. Proprio per questo motivo è finito nel mirino dei truffatori digitali, che usano il phishing per rubare credenziali e dati personali.
Cos’è il phishing SPID?
Il phishing è una truffa informatica in cui i criminali fingono di essere enti affidabili per ottenere informazioni sensibili. Nel caso dello SPID, il trucco più comune consiste nell’invio di:
- Email allarmanti (es. “Il tuo SPID sta per scadere”)
- SMS o messaggi WhatsApp con inviti a “verificare l’identità”
- Link a siti falsi che imitano quelli ufficiali (come PosteID, Aruba, TIM, ecc.)
Una volta che la vittima inserisce le credenziali SPID o un codice OTP su una di queste pagine fasulle, i dati finiscono nelle mani dei truffatori.
Esempi concreti di truffa
Un caso frequente nel 2025: molte persone hanno ricevuto email con oggetto:
“La tua identità digitale sarà sospesa il 10 maggio. Aggiorna subito i tuoi dati SPID cliccando qui.”
Cliccando sul link, si finiva su un sito identico a quello di PosteID, ma con dominio truccato, tipo posteid-verifica.it(anziché posteid.poste.it).
Come si presentano questi messaggi?
Ecco alcuni segnali d’allarme:
- Toni urgenti o minacciosi (“ultima possibilità”, “account bloccato”)
- Errori grammaticali o frasi strane
- Link sospetti (passando il mouse sopra il link si nota un indirizzo diverso da quello ufficiale)
- Richieste di dati personali o bancari che i provider SPID non chiedono mai via email o SMS
5 segnali per riconoscere il phishing SPID
- Non cliccare mai su link ricevuti via email o SMS, anche se sembrano ufficiali.
- Accedi sempre digitando l’indirizzo del provider SPID nel browser o tramite l’app ufficiale.
- Attiva l’autenticazione a due fattori (2FA) e tieni aggiornate le app di sicurezza.
- Controlla l’indirizzo del sito prima di inserire i dati: deve essere protetto (https://) e corrispondere al dominio corretto.
- Non fidarti di telefonate, messaggi o email che ti chiedono credenziali. Nessun operatore SPID lo farà mai.
Cosa fare se hai cliccato su un link sospetto
- Cambia subito la password SPID.
- Contatta il tuo provider (PosteID, TIM, Namirial, ecc.).
- Se hai inserito anche dati bancari, contatta subito la tua banca.
- Puoi segnalare il tentativo di truffa al CERT-AgID: https://cert-agid.gov.it
✅ Conclusione: il phishing SPID è una minaccia reale, ma con un po’ di attenzione è possibile evitarlo. Ricorda: quando si parla di identità digitale, la prudenza non è mai troppa.