SPID e truffe online: il futuro incerto del sistema di identità digitale

Lo SPID (Sistema Pubblico di Identità Digitale) è oggi la principale chiave d’accesso ai servizi digitali della Pubblica Amministrazione per oltre 40 milioni di italiani. Eppure, proprio mentre il sistema raggiunge la sua massima diffusione, crescono le preoccupazioni legate alla sua sicurezza e al suo futuro. SPID e truffe online sono ormai due temi indissolubilmente legati: le vulnerabilità strutturali del sistema aprono la porta a frodi digitali sempre più sofisticate, mentre il quadro normativo e istituzionale resta in evoluzione. Cosa sta succedendo davvero e cosa rischiano i cittadini?

SPID e truffe online: le vulnerabilità che preoccupano

Tra le falle più gravi del sistema, emerge la possibilità di ottenere più identità SPID da diversi Identity Provider senza un meccanismo centralizzato capace di rilevare incongruenze o duplicazioni. Questo vuoto strutturale apre la strada a potenziali truffe digitali di vario tipo:

• Furto d’identità digitale: un malintenzionato può creare un’identità SPID fraudolenta a nome di un’altra persona, accedendo a servizi bancari, fiscali e previdenziali.
• Phishing mirato: i truffatori inviano comunicazioni false che imitano i messaggi degli Identity Provider, inducendo gli utenti a cedere le proprie credenziali.
• Accesso abusivo ai servizi PA: con credenziali rubate o clonate, è possibile modificare dati anagrafici, richiedere rimborsi fiscali o accedere a prestazioni sociali in modo illecito.
• Moltiplicazione delle identità: l’assenza di un database centralizzato rende difficile bloccare in tempo reale account creati con documenti contraffatti.

La mancanza di un sistema di controllo incrociato tra i diversi Identity Provider è il punto debole più critico: ogni provider gestisce autonomamente la verifica dell’identità, senza una regia centrale che possa individuare anomalie in tempo reale.

Come proteggersi dalle truffe legate allo SPID

In attesa di interventi strutturali da parte delle istituzioni, i cittadini possono adottare misure preventive concrete per ridurre il rischio di frodi:

👉 Leggi anche: Fisco, nuove verifiche con incrocio dati: come funziona il ravvedimento preventivo

• Utilizzare password complesse e uniche per l’account SPID, diverse da quelle usate su altri servizi.
• Attivare sempre l’autenticazione a due fattori (2FA), preferibilmente tramite app di autenticazione anziché SMS.
• Non cliccare mai su link ricevuti via email o SMS che richiedono le credenziali SPID: gli Identity Provider ufficiali non chiedono mai le password via messaggio.
• Verificare periodicamente gli accessi effettuati con il proprio SPID attraverso il pannello di controllo del proprio Identity Provider.
• Segnalare tempestivamente qualsiasi attività sospetta all’Identity Provider e alla Polizia Postale.
• Controllare che il sito su cui si usa lo SPID abbia un indirizzo HTTPS e corrisponda al dominio ufficiale del servizio.

Il futuro incerto dello SPID: cosa prevede il Governo

Il Governo ha espresso l’intenzione di sostituire gradualmente lo SPID con una soluzione unificata e centralizzata, capace di garantire una maggiore sicurezza online e di eliminare le frammentazioni tra provider. Tuttavia, questa transizione appare tutt’altro che semplice: lo SPID è ormai radicato nelle abitudini digitali di decine di milioni di italiani, e qualsiasi cambiamento richiede una pianificazione accurata per evitare disagi.

L’ipotesi più discussa è quella di un’identità digitale nazionale unica, gestita direttamente dallo Stato, che superi l’attuale modello basato su provider privati accreditati. Un modello simile esiste già in altri Paesi europei e potrebbe risolvere molti dei problemi di sicurezza attuali, ma comporta costi e tempi di implementazione significativi.

Il nodo dei costi: chi paga lo SPID?

Un altro punto critico riguarda la sostenibilità economica del sistema. Dopo numerose richieste da parte degli Identity Provider, il Governo ha stanziato 40 milioni di euro per supportare le aziende che gestiscono il servizio, le quali lamentavano difficoltà economiche crescenti legate all’erogazione gratuita delle identità digitali.

Nonostante questo intervento, alcune aziende — tra cui Aruba — hanno già annunciato l’introduzione di costi per il rinnovo del servizio. Una mossa che solleva due ordini di problemi:

👉 Leggi anche: BCE chiede alle banche difese contro l'IA entro il 31 ottobre

• Accessibilità: i cittadini meno abbienti o meno digitalizzati rischiano di essere esclusi da un sistema che è ormai indispensabile per accedere ai servizi pubblici.
• Frammentazione: se ogni provider adotta politiche di prezzo diverse, il sistema perde ulteriormente coerenza e affidabilità percepita.

Sicurezza SPID: la sfida di un database centralizzato

Per affrontare le sfide legate alla sicurezza dello SPID e alle truffe online, gli esperti indicano come prioritaria la creazione di un database centralizzato delle identità digitali, affidato all’AgID (Agenzia per l’Italia Digitale). Un tale sistema permetterebbe di:

• Identificare rapidamente le identità fraudolente e bloccarle prima che causino danni.
• Rilevare tentativi di duplicazione delle credenziali tra provider diversi.
• Garantire una vigilanza continua e coordinata su tutto l’ecosistema SPID.

La creazione di questa infrastruttura comporta costi significativi e richiede una forte collaborazione tra enti pubblici e privati, ma rappresenta la risposta strutturale più efficace al problema delle truffe digitali legate all’identità.

Quale destino per lo SPID: scenari possibili

Il destino dello SPID rimane incerto, ma la necessità di un sistema di identità digitale sicuro e affidabile è più che mai una priorità nazionale. Gli scenari sul tavolo sono essenzialmente tre:

1. Evoluzione dell’attuale sistema: potenziamento della sicurezza con un database centralizzato, mantenendo il modello multi-provider ma con regole più stringenti.
2. Sostituzione con un’identità digitale statale: un unico sistema gestito dallo Stato, sul modello di altri Paesi europei, che elimini la frammentazione attuale.
3. Integrazione con il sistema europeo eIDAS 2.0: l’adozione del portafoglio europeo di identità digitale (EU Digital Identity Wallet), che entro i prossimi anni dovrebbe essere disponibile per tutti i cittadini UE, potrebbe rendere obsoleto lo SPID così come lo conosciamo oggi.

In ogni caso, la sfida principale sarà trovare un equilibrio tra innovazione, sicurezza e sostenibilità economica, garantendo al contempo l’accesso ai servizi digitali per tutti i cittadini, senza lasciare indietro le fasce più vulnerabili della popolazione.

FAQ: SPID e truffe online

Posso scoprire se qualcuno ha creato uno SPID a mio nome?

Puoi verificarlo contattando direttamente gli Identity Provider accreditati e controllando se esistono identità SPID associate ai tuoi documenti. In caso di sospetto, segnala immediatamente alla Polizia Postale.

Lo SPID verrà eliminato?

Non nell’immediato. Il Governo sta valutando una transizione verso un sistema più centralizzato, ma i tempi sono ancora incerti. Lo SPID rimane valido e operativo.

Lo SPID diventerà a pagamento?

Alcuni Identity Provider hanno già introdotto o annunciato costi per il rinnovo. Tuttavia, esistono ancora provider che offrono il servizio gratuitamente. Conviene verificare le condizioni del proprio provider prima del rinnovo.

Come faccio a sapere se le mie credenziali SPID sono state compromesse?

Controlla il registro degli accessi nel pannello del tuo Identity Provider. Se noti accessi che non riconosci, cambia immediatamente la password, attiva il 2FA e contatta il provider e la Polizia Postale.

Cosa è il wallet europeo di identità digitale e sostituirà lo SPID?

L’EU Digital Identity Wallet è il progetto europeo previsto dal regolamento eIDAS 2.0 che punta a fornire un’identità digitale unica e interoperabile a tutti i cittadini UE. Nei prossimi anni potrebbe affiancare o gradualmente sostituire sistemi nazionali come lo SPID.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.