Phishing SPID: come riconoscere i messaggi falsi e cosa fare

Risposta immediata: un messaggio che ti chiede di "verificare", "aggiornare" o "rinnovare" lo SPID tramite un link è quasi sempre phishing. INPS, Agenzia delle Entrate e gestori SPID non chiedono credenziali, documenti o selfie via SMS. Se hai inserito dati, cambia la password dal sito ufficiale del gestore, fai sospendere l'identità se hai dato codici o documenti e denuncia alla Polizia Postale.

Perché lo SPID è un bersaglio così ambito

Lo SPID non è un account come gli altri. È la chiave unica con cui accedi a INPS, Agenzia delle Entrate, NoiPA, fascicolo sanitario, portali dei comuni e spesso anche a servizi privati. Chi la possiede non deve forzare dieci porte diverse: ne apre una e trova le altre già socchiuse.

Le truffe a tema SPID puntano di solito a uno di questi tre risultati:

• Rubare le credenziali e il codice di conferma: nome utente, password e il codice temporaneo (OTP, cioè una password usa e getta valida pochi secondi) bastano per entrare a tuo nome nei servizi pubblici, finché non te ne accorgi.
• Raccogliere documenti e selfie: la carta d'identità fotografata fronte e retro, la tessera sanitaria e una foto del tuo volto sono il materiale per chiedere un'identità SPID nuova presso un altro gestore. Ogni persona può averne più di una, e quella nuova sarebbe collegata al telefono e all'e-mail di qualcun altro.
• Ottenere i dati della carta: molte pagine false chiedono un piccolo pagamento per un "rinnovo" o una "pratica" inesistente. L'importo è minimo, il vero obiettivo sono numero, scadenza e codice di sicurezza della carta.

Con un accesso valido, chi truffa potrebbe cambiare l'IBAN su cui ricevi rimborsi fiscali, pensione o stipendio. Diversi casi riportati dalla stampa negli ultimi anni seguono proprio questo schema: la vittima se ne accorge quando il bonifico atteso non arriva.

Come si presentano i messaggi falsi

I testi cambiano di continuo, lo schema molto meno. Nell'agosto 2026 l'INPS ha avvisato di una campagna di smishing (il phishing via SMS, un amo lanciato direttamente nella casella dei messaggi) che usava nome e grafica dell'istituto. Secondo la comunicazione dell'INPS sulla campagna osservata dal CERT-AgID, il sito falso guidava la vittima in cinque passaggi e chiedeva dati anagrafici, documenti d'identità, buste paga, CUD e un selfie. L'Istituto precisa che non invia e-mail o SMS con link per confermare dati o ricevere rimborsi.

I pretesti più frequenti, da tenere a mente:

Attenzione al caso del rinnovo: alcuni gestori prevedono davvero un canone dopo il primo periodo. Proprio per questo il pretesto funziona. Se hai un dubbio, entra nell'area riservata del gestore digitando tu l'indirizzo e controlla lì. Una richiesta autentica la trovi anche dentro il sito, non solo nel messaggio.

Cinque controlli prima di toccare qualsiasi link

1. Leggi l'indirizzo per intero, lettera per lettera. Le pagine false usano domini che somigliano a quelli veri: l'INPS cita varianti come "insp", "ipns" o "inpis". Il sito dell'istituto finisce sempre con .inps.it, e una parola come "inps" in mezzo a un indirizzo diverso non conta nulla.
2. Diffida della fretta. Scadenze di poche ore, blocchi imminenti, rimborsi che "scadono": servono a farti saltare il passaggio in cui ragioni.
3. Chiediti chi ti sta scrivendo. L'AgID non gestisce le singole identità SPID: lo fanno i gestori (Poste Italiane, Aruba, InfoCert, Namirial, Lepida e gli altri). Un messaggio "da AgID" che ti chiede di verificare il tuo SPID è già sospetto per questo.
4. Nessuno ti chiede un video o un selfie via link. Il riconoscimento per ottenere lo SPID lo avvii tu, sul sito del gestore che hai scelto. Una pagina che lo pretende dopo un SMS sta raccogliendo materiale per un'altra persona.
5. Un codice OTP non si detta a nessuno. Né al telefono, né in chat, né a chi si presenta come tecnico, poliziotto o impiegato della banca. Il codice serve a te per entrare, non ad altri per "verificarti".

Perché il messaggio conosce il tuo nome

Molti SMS truffa partono a pioggia verso migliaia di numeri, senza sapere chi c'è dall'altra parte. Altri sono costruiti meglio: ti chiamano per nome, citano la tua città, a volte l'ente per cui lavori. In quel caso qualcuno ha incrociato informazioni su di te.

Le fonti sono due. La prima sono le fughe di dati: archivi rubati con e-mail, telefono e indirizzo che circolano per anni. La seconda è più legale e meno nota. Broker pubblicitari e di indirizzi come Acxiom, LiveRamp od Oracle (BlueKai) costruiscono profili con nome, indirizzo, fascia d'età e abitudini di consumo per il marketing. Non sono loro a mandare i messaggi truffa, ma ogni profilo in circolazione è una scheda in più che potrebbe finire nelle mani sbagliate tramite cessioni, errori o attacchi.

Quando per quei profili manca una base giuridica, di solito il tuo consenso, l'art. 17 del GDPR ti dà il diritto di chiederne la cancellazione. Puoi scrivere a ogni azienda una per una. Oppure puoi affidare a noi le richieste di cancellazione ai data broker: le inviamo a tuo nome a oltre 100 aziende e le ripresentiamo a intervalli regolari. Se e quando cancellare lo decide ciascuna azienda, ma ogni profilo cancellato lascia meno materiale per un messaggio su misura.

Hai già inserito i dati: cosa fare, passo per passo

Non serve vergognarsi: queste pagine sono fatte bene apposta. Conta la velocità. L'ordine dipende da cosa hai consegnato.

Passo 1: cambia la password dal sito ufficiale del gestore. Apri tu il sito o l'app del tuo gestore SPID, senza passare dal messaggio. Se la stessa password la usi anche altrove, cambiala anche lì: per la procedura completa trovi una guida su cosa fare quando una password finisce in una violazione di dati.

Passo 2: se hai dato il codice OTP o i documenti, chiedi la sospensione. Ogni gestore permette di sospendere l'identità, di solito dall'area riservata o tramite l'assistenza, quando sospetti un uso fraudolento. La sospensione è temporanea e reversibile; la revoca la cancella del tutto. Se hai caricato documenti e selfie, segnala al tuo gestore anche questo: potrebbe servire a qualcuno per chiedere uno SPID nuovo altrove.

Passo 3: controlla gli accessi recenti. Nell'area personale della maggior parte dei gestori trovi lo storico degli accessi con data, ora e servizio. Un accesso all'INPS o all'Agenzia delle Entrate che non ricordi è un segnale da prendere sul serio.

Passo 4: verifica IBAN e recapiti nei servizi pubblici. Entra nel portale INPS, nel cassetto fiscale e, se sei dipendente pubblico, in NoiPA. Controlla che coordinate bancarie, e-mail e cellulare siano i tuoi.

Passo 5: se hai inserito dati della carta, chiama la banca. Usa il numero sul retro della carta, non quello eventualmente indicato nel messaggio. Chiedi il blocco e la sostituzione della carta.

Passo 6: denuncia e segnala. Puoi presentare denuncia e segnalare il sito falso tramite il portale della Polizia Postale. La denuncia è utile anche dopo, se dovrai contestare operazioni con banca, INPS o Agenzia delle Entrate. Conserva screenshot del messaggio, il numero del mittente e l'indirizzo della pagina. Le e-mail di phishing possono essere inoltrate anche al CERT-AgID (malware@cert-agid.gov.it), che chiede l'oscuramento dei domini.

Un modello per chiedere al gestore SPID i tuoi dati di accesso

Se vuoi un quadro completo di cosa è successo con la tua identità, puoi esercitare il diritto di accesso (art. 15 GDPR) presso il tuo gestore. L'indirizzo per le richieste privacy lo trovi nell'informativa sul suo sito.

Se la risposta non arriva o è incompleta, puoi rivolgerti al Garante per la protezione dei dati personali con un reclamo.

Come rendere lo SPID più difficile da rubare

• Preferisci l'app del gestore agli SMS: con la notifica sull'app vedi su quale servizio stai entrando, cosa che un codice via SMS non ti dice. Leggi sempre quella riga prima di approvare.
• Salva tra i preferiti i siti che usi: INPS, Agenzia delle Entrate, il tuo gestore. Entra sempre da lì, mai da un link ricevuto o da un annuncio sponsorizzato nei risultati di ricerca.
• Una password solo per lo SPID: se la stessa combinazione protegge un vecchio negozio online, una fuga di dati in quel negozio diventa un problema per la tua identità digitale.
• Attiva le notifiche di accesso del gestore: molti mandano un'e-mail o un avviso nell'app a ogni autenticazione. È il modo più semplice per notare un accesso che non hai fatto tu.
• Scopri se la tua e-mail è già in giro: l'indirizzo collegato allo SPID è anche quello che i truffatori cercano negli archivi trapelati. Con la verifica gratuita dell'e-mail controlli gli archivi noti; con il radar del dark web ricevi un avviso quando il tuo indirizzo compare in una nuova fuga di dati.

Lista di controllo

• Non aprire link in SMS o e-mail che parlano di SPID, INPS o rimborsi.
• Entra nei servizi pubblici solo dai preferiti o digitando l'indirizzo.
• Non caricare documenti o selfie su pagine raggiunte da un messaggio.
• Non comunicare a nessuno il codice OTP, nemmeno a chi dice di essere un operatore.
• Usa per lo SPID una password che non usi altrove.
• Controlla ogni tanto lo storico accessi e l'IBAN su INPS e cassetto fiscale.
• Riduci i profili su di te presso i broker pubblicitari e di indirizzi.

L'ultimo punto è quello che richiede più pazienza, perché le aziende sono tante e non tutte rispondono al primo invio. Se preferisci non tenerne il conto da solo, lascia a cancelladati.it l'invio delle richieste e dei solleciti.

Domande frequenti

L'INPS manda SMS con un link per aggiornare i dati?

No. L'INPS scrive che non invia e-mail o SMS con link per confermare dati o ricevere rimborsi. Le uniche e-mail con link sono questionari di gradimento, che non chiedono mai coordinate bancarie o documenti. Per qualsiasi verifica entra da inps.it digitando l'indirizzo a mano.

Qualcuno può avere uno SPID a mio nome senza che io lo sappia?

È possibile, perché ogni persona può avere più identità SPID presso gestori diversi. Chi ottiene copia dei tuoi documenti e un tuo selfie potrebbe tentare di attivarne una nuova con un altro gestore, collegata al proprio numero e alla propria e-mail. Per questo i documenti non vanno mai caricati su pagine raggiunte da un link.

Ho inserito solo nome utente e password, senza codice. Sono al sicuro?

Non del tutto. Per molti servizi serve il secondo livello, quindi la sola password non basta. Chi ce l'ha però può riprovare più tardi chiedendoti il codice con un pretesto, o usarla su altri siti dove l'hai ripetuta. Cambiala dal sito ufficiale del gestore e approva solo richieste di accesso che hai avviato tu.

Come fanno i truffatori ad avere il mio nome e il mio numero?

Spesso inviano a elenchi enormi di numeri, senza sapere chi c'è dall'altra parte. I messaggi mirati, con nome e cognome, attingono invece a fughe di dati passate e a profili raccolti per scopi pubblicitari. Puoi chiedere la cancellazione di questi profili ai sensi dell'art. 17 del GDPR quando manca una base giuridica.