Una comunicazione apparentemente amministrativa, un pulsante per il rinnovo e pochi minuti per evitare la sospensione del servizio: è su questa sequenza che si costruisce la nuova truffa legata allo Spid. Il meccanismo sfrutta urgenza, fiducia nei marchi istituzionali e timore di perdere l’accesso ai servizi pubblici, trasformando una falsa scadenza in uno strumento per sottrarre credenziali e dati finanziari.
Il fenomeno si inserisce in un contesto molto più ampio: tra il 18 e il 24 aprile 2026 il CERT-AgID ha analizzato 130 campagne malevole, 96 delle quali rivolte specificamente a obiettivi italiani. Nella stessa settimana è stata individuata una campagna che utilizzava abusivamente nome e logo di AgID per rubare le credenziali dell’identità digitale.
La falsa scadenza e il pagamento immediato
La trappola comincia con un’e-mail costruita per sembrare una comunicazione ufficiale: lo Spid sarebbe prossimo alla disattivazione e occorrerebbe procedere rapidamente al pagamento del rinnovo. Il collegamento conduce però a una pagina estranea ai canali del gestore, dove possono essere richiesti dati personali, informazioni bancarie oppure le credenziali utilizzate per entrare nei servizi della Pubblica amministrazione.
In alcuni schemi il messaggio viene rafforzato da un presunto operatore, che telefona alla vittima e chiede password o codici temporanei con il pretesto di completare la procedura.
Il pulsante “vai al pagamento”, l’eventuale possibilità di delegare l’operazione e la pressione a decidere subito sono segnali di allarme, non prove di autenticità.
Perché lo Spid ha un valore economico
L’obiettivo dei criminali non è necessariamente limitato alla somma richiesta per il falso rinnovo: il vero bottino è rappresentato dall’accesso a una parte rilevante della vita amministrativa e finanziaria della vittima. A dicembre 2024 risultavano rilasciate oltre 39 milioni di identità Spid, utilizzate nello stesso anno per più di 1,15 miliardi di autenticazioni ai servizi online pubblici e privati.
Attraverso credenziali e informazioni aggiuntive, i truffatori possono tentare di consultare documenti, acquisire generalità, raccogliere dati sul conto corrente o costruire ulteriori frodi basate sull’identità sottratta. Il danno può quindi estendersi dalla singola transazione alla compromissione di rapporti bancari, pratiche fiscali, rimborsi e altri servizi collegati al profilo digitale.
Gli indizi nascosti nella comunicazione
Il primo controllo riguarda il mittente e soprattutto l’indirizzo della pagina raggiunta: loghi, colori e intestazioni possono essere copiati, mentre il dominio rivela spesso che il sito non appartiene né ad AgID né al gestore Spid.
Anche un collegamento ospitato su una piattaforma conosciuta non garantisce che il contenuto sia legittimo: nel gennaio 2026 una campagna utilizzava Google Sites per riprodurre un falso portale istituzionale. Bisogna diffidare delle richieste improvvise di aggiornamento, dei termini molto brevi, delle minacce di sospensione e di qualsiasi domanda relativa a password o codici OTP ricevuti sul telefono. Le credenziali Spid sono strettamente personali e non devono essere comunicate a terzi, neppure a chi sostiene di appartenere al gestore del servizio.
Le mosse da compiere dopo il sospetto
Chi ha soltanto ricevuto il messaggio dovrebbe evitare di aprire i collegamenti, conservare l’e-mail e verificare l’eventuale scadenza entrando autonomamente nel sito o nell’applicazione ufficiale del proprio provider.
Se le credenziali sono già state inserite, è necessario modificare subito la password, contattare l’assistenza attraverso i canali ufficiali e controllare notifiche, accessi e attività anomale nella casella di posta. Quando sono stati comunicati dati della carta o del conto, occorre avvisare la banca, verificare i movimenti e valutare con l’istituto il blocco degli strumenti potenzialmente compromessi. Messaggi, numeri telefonici, schermate e indirizzi web devono essere conservati e trasmessi alla Polizia Postale o alle strutture competenti, perché possono contribuire all’individuazione e alla chiusura delle infrastrutture fraudolente.
