Negli ultimi mesi le segnalazioni di tentativi di phishing legati allo SPID (Sistema Pubblico di Identità Digitale) sono aumentate drasticamente. I truffatori non puntano più solo ai dati bancari tradizionali, ma alla chiave d'accesso primaria ai servizi della Pubblica Amministrazione.
Capire come operano è il primo passo per evitare di consegnare spontaneamente le proprie credenziali nelle mani sbagliate.
Come funziona la trappola
La truffa inizia quasi sempre allo stesso modo, sfruttando la tecnica dello smishing (phishing via SMS) o dell'email marketing ingannevole:
1. Il messaggio allarmante: Ricevi un SMS o un'email che sembra provenire direttamente dal tuo identity provider (PosteID, Aruba, Lepida, InfoCert, ecc.) o da enti istituzionali come l'Agenzia delle Entrate o l'INPS.
2. Il pretesto dell'urgenza: Il testo avvisa di un problema imminente: "Il tuo SPID è stato sospeso per anomalie di sicurezza", "È necessario un aggiornamento obbligatorio dei dati" oppure "I servizi INPS sono bloccati, clicca qui per riattivarli".
3. Il link fraudolento: All'interno del messaggio è presente un link che rimanda a una pagina web quasi identica a quella ufficiale del gestore o del portale pubblico.
4. Il furto delle credenziali: Una volta aperta la pagina fake, l'utente viene invitato a inserire nome utente, password, codice OTP (One Time Password) o ad autorizzare l'accesso tramite app. In quel preciso istante, i criminali informatici catturano i dati in tempo reale e prendono il controllo dell'identità digitale.
Il nodo critico: la confusione sui gestori e i tentativi di duplicazione
Un'altra anomalia molto frequente, spesso sfruttata dai malintenzionati per confondere gli utenti, riguarda la gestione del proprio codice fiscale in relazione ai vari Identity Provider.
È bene ricordare che con lo stesso codice fiscale non è possibile creare più SPID presso lo stesso fornitore, né tantomeno avere più identità attive contemporaneamente con lo stesso operatore. Sebbene il sistema normativo permetta teoricamente di registrarsi presso gestori differenti usando sempre la stessa anagrafica, farlo è del tutto inutile e rischioso:
- Avere più SPID attivi su gestori diversi complica inutilmente la gestione di password, scadenze e rinnovi.
- Nel marasma dei tentativi di phishing, i truffatori giocano proprio su questa confusione, facendo leva su presunti blocchi o conflitti di identità per spingere l'utente a cliccare su link fraudolenti con la scusa di "sbloccare" o "allineare" il proprio profilo.
Ricorda: lo SPID è unico nella sua funzione. Indipendentemente da quale gestore tu abbia scelto, quell'unica identità digitale apre le porte a tutti i servizi della Pubblica Amministrazione.
I rischi concreti
▪︎ Avere accesso allo SPID di un cittadino significa poter agire legalmente al suo posto in una marea di contesti critici:
▪︎ Accedere a cassetti fiscali e dati patrimoniali.
Richiedere prestiti o finanziamenti online a nome della vittima.
• Accedere a bonus, sussidi o prestazioni sociali indebitamente.
▪︎ Sfruttare l'identità compromessa per compiere ulteriori reati telematici.
Regole d'oro per non cascarci
• Nessun ente chiede le credenziali via SMS: Nessun gestore di identità digitale o amministrazione pubblica chiederà mai via SMS, telefono o link diretto di inserire la password o il codice di sblocco per "verificare" o "sbloccare" l'account.
• Controlla sempre l'URL: Prima di inserire qualsiasi dato, verifica la barra degli indirizzi del browser. I siti ufficiali utilizzano domini istituzionali verificati (es. finisce con .gov.it o appartiene al dominio ufficiale del gestore accreditato AgID). I siti civetta usano spesso domini strani, con errori di battitura o estensioni insolite.
• Non cliccare sui link nei messaggi: Se ricevi un avviso di sicurezza, chiudi il messaggio, apri autonomamente il browser, digita l'indirizzo ufficiale del tuo provider SPID o accedi tramite l'app ufficiale che usi di solito.
• Usa l'autenticazione a due fattori con attenzione: Non autorizzare mai richieste di accesso (notifiche push sull'app) se non sei stato tu in quel preciso istante ad avviare la procedura di login da un computer o un altro dispositivo.
Hai mai ricevuto un SMS sospetto di questo tipo o hai notato anomalie nei tuoi accessi? La prudenziale verifica periodica dei registri di accesso sul proprio portale SPID è un'ottima abitudine di sicurezza informatica.
Nessun commento:
Posta un commento
Chiunque ritenga di sentirsi in qualche modo danneggiato dalla presenza di link al proprio sito può chiedere la rimozione dei link o la modifica degli stessi, anche con una semplice e-mail a hardwaristaesoftwarista@hotmail.it