Truffa SPID 2026: la guida completa per difendersi
La truffa SPID 2026 funziona in due tempi: prima un messaggio di phishing sottrae documenti e credenziali, poi i criminali attivano una seconda identità digitale sullo stesso codice fiscale. Il 3 agosto 2026 il CERT-AgID ha segnalato una campagna che usa domini contenenti i termini «spid» e «gov» per farsi consegnare il codice fiscale con la scusa di un canone annuale che non esiste. L’identità originale resta attiva e la vittima non riceve alcun avviso.
Indice
Il fenomeno non è isolato. Nella sola settimana dal 25 al 30 aprile 2026 il CERT-AgID ha analizzato 138 campagne malevole, di cui 97 con obiettivi italiani, diffondendo 847 indicatori di compromissione (CERT-AgID, 30 aprile 2026). Già il 24 aprile 2025 l’Agenzia per l’Italia Digitale aveva registrato un aumento delle segnalazioni dei cittadini su possibili utilizzi fraudolenti dello SPID, precisando che non esiste ancora un sistema centralizzato per verificare quante identità risultino attive a proprio nome (AgID, 24 aprile 2025).
Ultimo aggiornamento: 14 agosto 2026
Come funziona la truffa SPID 2026?
Lo schema si articola in tre passaggi. Un SMS o una email che imita INPS, l’Agenzia delle Entrate o AgID invita a «confermare i dati»; il link porta a un portale contraffatto che raccoglie documenti d’identità, tessera sanitaria, IBAN e in molti casi un selfie o un breve video di riconoscimento; con quel materiale i criminali chiedono a un gestore di identità digitale l’attivazione di una nuova utenza intestata alla vittima.
Il punto debole sfruttato è noto: il sistema consente la coesistenza di più identità valide per lo stesso codice fiscale, se rilasciate da gestori diversi e associate a email e numeri di telefono differenti. Chi già sa come si richiede lo SPID riconosce subito l’anomalia: la procedura legittima passa sempre dal sito del proprio gestore, mai da pagine generiche che promettono verifiche o rinnovi.
L’identità duplicata verrebbe poi usata, secondo le ricostruzioni delle autorità, per entrare nei portali della Pubblica Amministrazione, modificare l’IBAN registrato e dirottare rimborsi fiscali, pensioni o prestazioni sociali. Poiché l’attivazione del secondo profilo non blocca il primo, il titolare continua ad accedere normalmente e può accorgersi del furto solo quando un accredito non arriva.
Quali sono le varianti più diffuse?
Le campagne documentate dal CERT-AgID negli ultimi diciotto mesi seguono quattro copioni ricorrenti. Cambiano il pretesto e il marchio abusato, ma l’obiettivo resta lo stesso: farsi consegnare volontariamente documenti o credenziali. Riconoscere il copione è il modo più rapido per fermarsi prima di cliccare.
- Il finto canone. Segnalata il 3 agosto 2026, chiede il codice fiscale per una presunta «verifica del pagamento del canone annuale» entro scadenze fissate, pena la perdita dell’accesso ai servizi pubblici (CERT-AgID, 3 agosto 2026).
- La conferma dei dati. Rilevata il 19 gennaio 2026, viaggia con oggetti come «Importante: Conferma i tuoi dati SPID» e porta a un finto portale ospitato su Google Sites che raccoglie anagrafica, recapiti e IBAN.
- Il falso dominio AgID. Nel maggio 2025 il CERT-AgID ha segnalato il dominio agidgov[.]com, e nel giugno successivo i domini it-spid[.]com e idspid[.]com, che chiedevano credenziali, copie dei documenti e un video con istruzioni precise («guarda in camera», «sorridi»).
- Lo smishing INPS. La Polizia Postale ha descritto SMS che rimandano a siti contraffatti dove vengono richiesti dati anagrafici, IBAN, documenti d’identità, buste paga e un selfie o un breve video.
Come si riconosce un sito SPID falso?
Il segnale più affidabile è il canale. Il CERT-AgID ricorda che la gestione dell’identità digitale avviene esclusivamente tramite il gestore scelto al momento del rilascio, e mai attraverso i siti istituzionali di AgID: qualsiasi pagina esterna che chieda dati personali va considerata sospetta. Da qui derivano quattro controlli rapidi, applicabili in pochi secondi prima di inserire qualunque dato.
- Il dominio. Nomi che accostano «spid» e «gov» a estensioni commerciali (.com, .net, .info) non appartengono alla Pubblica Amministrazione italiana, che usa il dominio .gov.it.
- La richiesta di denaro. Non esiste alcun canone annuale SPID: il rilascio è gratuito presso diversi gestori e nessuna scadenza comporta la sospensione dei servizi pubblici.
- Il video di riconoscimento fuori contesto. Una registrazione con frasi dettate («guarda in camera», «sorridi») richiesta via link è un indicatore forte di raccolta fraudolenta.
- L’urgenza. Toni perentori e termini di poche ore servono a impedire la verifica. Meglio digitare a mano l’indirizzo del proprio gestore e attivare l’autenticazione a due fattori su email e home banking.
Cosa fare nelle prime 24 ore
Se i documenti sono già stati inviati, la priorità è ridurre la finestra utile ai criminali. Il CERT-AgID ha pubblicato una procedura operativa per chi è caduto nelle campagne di smishing: denuncia, verifica presso i gestori, controllo dei conti e segnalazione tecnica. I passaggi seguenti riprendono quella sequenza e vanno completati nell’arco della prima giornata.
- Sporgere denuncia alla Polizia Postale, di persona presso l’ufficio territoriale con tutta la documentazione (l’SMS ricevuto, i documenti inviati), oppure online dal portale del Commissariato di PS online. È il presupposto per contestare qualsiasi operazione successiva.
- Contattare il proprio gestore di identità digitale per bloccare o sospendere il profilo e cambiare la password. AgID indica l’Identity Provider come primo interlocutore in caso di uso fraudolento.
- Verificare l’esistenza di identità non autorizzate contattando uno per uno i gestori accreditati: non esiste ancora un registro centralizzato che elenchi gli SPID attivi su un codice fiscale.
- Controllare conto corrente e IBAN registrati su INPS, Agenzia delle Entrate e NoiPA nei mesi successivi, verificando che accrediti come pensione o stipendio non siano stati dirottati, e avvisare la banca.
- Segnalare il messaggio al contact center INPS (803.164 da rete fissa, 06.164.164 da mobile) e inoltrare la comunicazione sospetta a [email protected], che raccoglie e diffonde gli indicatori di compromissione.
Nei giorni successivi resta utile monitorare eventuali contratti o finanziamenti aperti a proprio nome: la dinamica e i rimedi coincidono con quelli previsti per il furto d’identità e come denunciarlo.
Che cosa dicono le autorità
Il tema non riguarda solo la disattenzione degli utenti. Con il provvedimento n. 303 del 29 aprile 2026 il Garante per la protezione dei dati personali ha contestato a Lepida S.c.p.A., gestore del servizio LepidaID, una serie di criticità: oltre 7.000 operatori di sportello potevano consultare dati e copie dei documenti di più di 1,5 milioni di utenti senza limiti legati alle finalità previste dalla disciplina SPID (Garante privacy, provvedimento 29 aprile 2026).
«La possibilità, riconosciuta ai medesimi operatori degli sportelli LepidaID, di estrarre copie dei documenti di identità degli interessati, il cui utilizzo non appropriato, da parte di terzi, potrebbe dare luogo truffe o comportamenti illeciti».
Agostino Ghiglia, componente del Collegio e relatore del provvedimento n. 303/2026, Garante per la protezione dei dati personali (2026)
Il provvedimento rileva anche una conservazione dei log oltre i 24 mesi previsti dalle regole SPID e la permanenza dei documenti su postazioni di lavoro non dedicate. AgID, dal canto suo, ha dichiarato di essere al lavoro su una soluzione tecnicamente e giuridicamente praticabile per consentire ai cittadini la verifica delle identità attive. Fino ad allora il controllo resta manuale e a carico dell’interessato.
Domande frequenti
Lo SPID ha un canone annuale da pagare?
No. Nessuna norma prevede un canone annuale per mantenere attiva l’identità digitale, e nessuna scadenza comporta la perdita dell’accesso ai servizi della Pubblica Amministrazione. La richiesta di pagamento è il pretesto centrale della campagna segnalata dal CERT-AgID il 3 agosto 2026. Eventuali costi possono riguardare solo servizi accessori offerti dai singoli gestori, sempre indicati sul loro sito ufficiale.
Come si controlla se esiste un secondo SPID a proprio nome?
Occorre contattare direttamente i gestori di identità digitale accreditati e chiedere se risultano utenze associate al proprio codice fiscale. AgID ha confermato che al momento non esiste un sistema centralizzato e automatizzato di verifica, e ha annunciato di stare studiando una soluzione. In parallelo conviene controllare periodicamente l’IBAN registrato sui portali INPS e Agenzia delle Entrate.
Ho inviato una copia della carta d’identità: cosa rischio?
Il rischio principale è l’attivazione di un’identità digitale a proprio nome e il conseguente accesso ai portali pubblici da parte di terzi. La Polizia Postale invita a non trasmettere mai fotografie di documenti e, se è già avvenuto, a presentare denuncia il prima possibile portando tutta la documentazione utile. La denuncia è indispensabile per contestare operazioni fraudolente successive.
A chi vanno segnalati i messaggi sospetti?
Le comunicazioni sospette possono essere inoltrate a [email protected], indirizzo indicato dal CERT-AgID per la verifica e la diffusione degli indicatori di compromissione agli enti accreditati. Le segnalazioni relative a presunte comunicazioni INPS vanno rivolte anche al contact center dell’istituto. Per i reati informatici il canale è il Commissariato di PS online della Polizia Postale.
Questo articolo è stato scritto dalla redazione di Info Pratica e verificato su fonti ufficiali e attendibili (istituzioni, enti pubblici, studi ed esperti citati nel testo). Scopri come lavoriamo nella pagina Redazione.
