Il buco nero dello SPID: così ti rubano pensione e rimborsi senza che tu lo sappia

C’è una truffa che sta facendo impazzire gli italiani e che ha costretto perfino l’INPS a mandare email di emergenza ai cittadini. Non è il solito phishing, non sono le classiche truffe del finto tecnico al telefono. È qualcosa di molto più sottile e devastante: qualcuno può rubarti l’identità digitale SPID e tu non te ne accorgi fino a quando non è troppo tardi.

Il meccanismo è diabolico nella sua semplicità. Ogni cittadino può avere legalmente fino a 12 identità SPID, una per ciascun provider. Fin qui tutto normale. Il problema è che quando qualcuno crea una nuova identità con i tuoi dati personali presso un gestore diverso dal tuo, non ricevi alcun avviso. Nessuna email, nessun SMS, niente di niente. Il sistema semplicemente non è progettato per dirti che esiste un’altra “versione digitale” di te stesso.

I truffatori hanno capito l’antifona e si sono scatenati. Comprano pacchetti di documenti rubati nei forum criminali, oppure li ottengono con le solite tecniche di phishing, ma stavolta sanno che una volta creata l’identità falsa possono operare nell’ombra per mesi senza essere scoperti. Con l’intelligenza artificiale poi è diventato facilissimo falsificare i video di riconoscimento che alcuni provider richiedono.

Una volta dentro il sistema, i danni che possono fare sono enormi. Cambiano l’IBAN per ricevere la tua pensione, i tuoi rimborsi del 730, gli assegni familiari. Aprono conti correnti a tuo nome. Accedono a tutti i portali della pubblica amministrazione dove possono vedere i tuoi dati più riservati o addirittura avviare pratiche burocratiche che potrebbero crearti problemi legali.

L’elenco dei servizi accessibili con SPID è spaventoso: dall’INPS all’Agenzia delle Entrate, da tutti i comuni italiani per pagare tasse e multe, fino ai portali di giustizia e perfino ai servizi che riguardano i minori. Praticamente ogni aspetto della tua vita digitale può essere compromesso.

La cosa più assurda è che questo problema era già stato denunciato nel 2023 da esperti di sicurezza informatica. Hanno fatto interrogazioni, segnalazioni, sono andati in televisione a spiegare la falla. Risultato? Niente di niente. Anzi, sono stati trattati come allarmisti o persone in cerca di visibilità.

Ora che il fenomeno è esploso e sta colpendo migliaia di persone, improvvisamente tutti si sono accorti che forse, dico forse, avevano ragione. L’INPS ha iniziato a mandare quelle famose email di allerta che inizialmente molti scambiavano per phishing. Troppo tardi per chi ha già subito danni.

E se pensi di essere al sicuro perché non hai mai risposto a email sospette o dato i tuoi dati in giro, ti sbagli. I tuoi documenti potrebbero essere finiti nelle mani sbagliate per un data breach di un’azienda telefonica (a me per esempio è successo con TIM, vi posto sotto la foto della vecchia email), di un servizio online, di qualsiasi realtà che conserva i tuoi dati. Non è colpa tua, ma il risultato è lo stesso.

L’unico modo per sapere se qualcuno ha creato identità SPID fasulle a tuo nome è contattare tutti e 12 i gestori autorizzati. Uno per uno. Con procedure diverse per ognuno. Alcuni hanno email dedicate, altri ti fanno compilare form infiniti, altri ancora ti costringono a registrarti prima sui loro siti. Un incubo burocratico che scoraggia chiunque.

Non esiste un database centralizzato. Non esiste un numero verde. Non esiste un modo semplice per controllare. È come se lo Stato avesse creato un sistema di identità digitale e poi si fosse dimenticato di mettere le serrature alle porte.

Il recupero dei soldi rubati è praticamente impossibile. I provider possono dire che hanno verificato tutto secondo le procedure, gli enti pubblici si lavano le mani perché “l’autenticazione era regolare”, e alla fine la vittima rimane con il cerino in mano.

Questa storia mette in luce un problema molto più grande: quando digitalizziamo i servizi pubblici senza pensare alla sicurezza, creiamo mostri che possono devastare la vita delle persone. Lo SPID doveva semplificarci la vita, invece ha aperto autostrade per i criminali digitali.

Fino a quando non verrà implementato un sistema di notifiche automatiche e un controllo centralizzato delle identità, ogni italiano rimane potenzialmente esposto a questa truffa silenziosa. Nel frattempo, l’unica difesa è la prevenzione e il controllo periodico presso tutti i gestori. Un lavoro che dovrebbe fare lo Stato, ma che per ora tocca ai cittadini.