Cosa succede se qualcuno entra in possesso delle tue credenziali SPID? Se temi che la tua password SPID sia stata rubata, la prima cosa da sapere è che la password da sola spesso non basta ai malintenzionati per accedere ai tuoi dati, grazie al sistema di autenticazione a due fattori (2FA). Tuttavia, il rischio di furto d’identità digitale è reale ed è fondamentale agire tempestivamente per bloccare l’accesso e mettere al sicuro i tuoi dati personali e fiscali.
📌 In sintesi
- Il rischio: Accesso non autorizzato a servizi della Pubblica Amministrazione (INPS, Agenzia delle Entrate, Fascicolo Sanitario).
- Cosa fare subito: Cambiare la password dallo尤 pannello del proprio Identity Provider (es. Poste, Aruba, Sielte) e verificare gli ultimi accessi.
- Cosa evitare: Non usare la stessa password per altri siti e non ignorare mai le notifiche di accesso anomale.
- Misure preventive: Attivare sempre l’autenticazione a due fattori (Livello 2) tramite app ufficiale.
Il rischio: cosa succede se ti rubano la password dello SPID?
La violazione delle credenziali SPID è un evento critico. SPID (Sistema Pubblico di Identità Digitale) è la chiave d’accesso ai servizi digitali più sensibili del cittadino. Se un cybercriminale ottiene la tua password, il rischio principale è il furto d’identità digitale.
Con un accesso completo, un malintenzionato potrebbe:
- Richiedere bonus, indennità o prestazioni previdenziali a tuo nome sul portale INPS.
- Consultare la tua situazione fiscale sul sito dell’Agenzia delle Entrate.
- Accedere al tuo Fascicolo Sanitario Elettronico, violando la tua privacy medica.
- Firmare documenti digitali (se il provider integra servizi di firma).
Nota bene: Fortunatamente, quasi tutti i servizi richiedono un accesso di Livello 2. Questo significa che, oltre alla password (qualcosa che sai), l’attaccante ha bisogno del tuo smartphone (qualcosa che hai) per approvare la notifica push o inserire il codice OTP. Il rischio maggiore si concretizza se hai subito anche il furto del telefono o se sei vittima di una truffa di SIM swapping o phishing avanzato.
Come riconoscere se lo SPID è stato compromesso
I segnali di avviso di una violazione o di un tentativo di attacco informatico sono solitamente molto chiari:
- Notifiche push inaspettate: Ricevi sul telefono richieste di autorizzazione all’accesso dall’app del tuo provider SPID (es. PosteID, Lepida, InfoCert) che non hai generato tu.
- SMS con codici OTP non richiesti: Ti arrivano messaggi di testo contenenti codici di verifica per l’accesso allo SPID.
- Email di conferma: Ricevi email che ti informano di un avvenuto accesso a servizi della PA in orari insoliti o da dispositivi sconosciuti.
- Impossibilità di accedere: Provi a entrare nel tuo account SPID e la password risulta errata, segno che qualcuno potrebbe averla già cambiata.
Cosa fare subito: la procedura d’emergenza
Se hai la certezza o il forte sospetto che la tua password SPID sia stata rubata, devi seguire questi passaggi in modo tempestivo:
1. Cambia immediatamente la password
Accedi al sito ufficiale del tuo Identity Provider (il gestore con cui hai creato lo SPID, es. Poste Italiane, Aruba, Namirial, ecc.) nell’area personale e modifica la password. Scegline una complessa, composta da almeno 12-15 caratteri, con lettere maiuscole, minuscole, numeri e simboli, e che non usi su nessun altro sito.
2. Controlla lo storico degli accessi
All’interno della tua area gestione SPID è presente la sezione “Storico accessi” o “Log delle attività”. Verifica se ci sono connessioni da indirizzi IP o città diverse dalla tua.
3. Revoca le sessioni attive
Se il tuo provider lo consente, seleziona l’opzione per disconnettere tutti i dispositivi attivi associati al tuo account.
4. Contatta l’assistenza del provider
Se non riesci più ad accedere perché l’attaccante ha modificato i dati di recupero (email o numero di telefono), contatta immediatamente il servizio clienti del tuo Identity Provider via telefono o form d’emergenza per richiedere il blocco temporaneo dell’identità digitale.
5. Sporgi denuncia
Nel caso in cui tu abbia evidenza di un accesso non autorizzato andato a buon fine (es. dati modificati, pratiche avviate a tuo nome), raccogli gli screenshot delle notifiche o delle email e sporgi denuncia alla Polizia Postale o ai Carabinieri.
Cosa evitare assolutamente
In una situazione di emergenza da account compromesso, evita questi comportamenti che potrebbero peggiorare la situazione:
- Non ignorare i segnali: Se ricevi una notifica push o un OTP non richiesto, non cancellarlo distrattamente. Significa che qualcuno conosce la tua password e sta provando a forzare il secondo fattore.
- Non cliccare su link nei messaggi: Spesso il furto di password avviene tramite SMS di phishing (smishing) che dicono “Il tuo SPID è stato bloccato, clicca qui per sbloccarlo”. Non inserire mai i tuoi dati su link arrivati via SMS o email.
- Non usare la stessa password per altri account: Se usavi la stessa combinazione per la mail o la banca, corri a cambiare anche quelle.
Come proteggersi in futuro: misure preventive
La sicurezza informatica si fa prima che avvenga l’incidente. Ecco come blindare la tua identità digitale:
- Usa un Password Manager: Ti permette di generare e conservare password uniche e complesse per ogni servizio senza doverle ricordare a memoria.
- Attiva il Livello 2 e 3: Assicurati che ogni accesso richieda sempre la validazione tramite l’App ufficiale sul tuo smartphone (Livello 2) o, dove disponibile, tramite smart card/firma digitale (Livello 3).
- Proteggi lo smartphone: Poiché lo smartphone è il secondo fattore di autenticazione, proteggilo con sblocco biometrico (impronta o riconoscimento facciale) o PIN sicuro.
- Diffida del phishing: Nessun provider SPID, né l’INPS o l’Agenzia delle Entrate, ti chiederà mai la password o i codici OTP via SMS, email o telefono.
Casi particolari: Furto dello smartphone o CIE/CNS
- Se ti rubano lo smartphone insieme alla password: Questo è il caso più pericoloso. Devi immediatamente contattare il tuo operatore telefonico per bloccare la SIM (onde evitare il furto degli SMS OTP) e chiamare l’assistenza del tuo gestore SPID per chiederne la sospensione immediata.
- Uso di CIE (Carta d’Identità Elettronica): Se temi che anche l’accesso tramite CIE sia a rischio (es. smarrimento del documento e del PIN), devi richiederne l’interdizione o il blocco delle funzionalità digitali presso il Comune o tramite i canali ufficiali del Ministero dell’Interno.
FAQ – Domande Frequenti
Se mi rubano la password dello SPID possono svuotarmi il conto in banca?
No, lo SPID non è direttamente collegato al tuo conto corrente bancario. Tuttavia, tramite lo SPID potrebbero accedere a informazioni personali utili per tentare truffe finanziarie mirate (social engineering) o accedere a servizi finanziari della PA.
Come faccio a sapere chi è il mio Identity Provider SPID?
Se non ricordi con chi hai fatto lo SPID, controlla la tua casella email principale cercando la parola “SPID”. Troverai le email di attivazione inviate da soggetti come PosteID, ArubaID, Lepida, InfoCert, SielteID, TimID, ecc.
Cosa succede se blocco il mio SPID? Posso riattivarlo?
Sì. Il blocco d’emergenza può essere temporaneo (sospensione) in attesa di verifiche, oppure definitivo. In caso di blocco definitivo o revoca, dovrai effettuare nuovamente la procedura di riconoscimento con il tuo provider per ottenere una nuova identità digitale.
Giornalista e analista, scrive di economia italiana, innovazione e imprese. Appassionato di tecnologia e finanza, racconta il presente e il futuro delle aziende che fanno muovere il Paese.
