Hai ricevuto un’email o un messaggio che ti avvisa che il tuo SPID sta per scadere, che devi effettuare un pagamento oppure che devi verificare urgentemente i tuoi dati?
Non pagare e, soprattutto, non inserire subito codice fiscale, password o dati della carta.
Nel 2026 stanno circolando campagne di phishing che imitano SPID, AgID e servizi della Pubblica Amministrazione con pagine credibili, create per sottrarre dati personali, credenziali e informazioni di pagamento.
La truffa SPID del 2026
Il CERT-AGID ha segnalato il 3 agosto 2026 nuove campagne che utilizzano impropriamente il nome e i loghi di SPID e AgID. Il meccanismo punta soprattutto sull’urgenza: la vittima viene indirizzata verso una pagina che comunica la necessità di effettuare una verifica o un presunto pagamento, facendo credere che in caso contrario possano esserci problemi nell’accesso ai servizi digitali.
La pagina può chiedere il codice fiscale e altre informazioni personali e può essere costruita con loghi, colori e testi molto simili a quelli istituzionali.
“Il sito aveva scritto SPID e GOV nell’indirizzo”: è sicuro?
No. Un criminale può registrare un dominio contenente parole rassicuranti come spid, gov, agid, sicurezza o verifica. La loro presenza nell’indirizzo non certifica che il sito appartenga alla Pubblica Amministrazione.
Bisogna controllare il dominio effettivo, non soltanto riconoscere una parola familiare nell’URL. Anche il lucchetto HTTPS non garantisce che un sito sia legittimo: indica che la connessione è cifrata, non che il proprietario sia affidabile.
Perché rubare uno SPID è così interessante?
Una credenziale SPID non è paragonabile alla password di un normale sito. L’identità digitale viene utilizzata per accedere a numerosi servizi pubblici ed è collegata a informazioni personali, fiscali e previdenziali.
Una falsa pagina SPID può quindi cercare di sottrarre credenziali, raccogliere informazioni personali o convincere la vittima a fornire dati della carta. Nome, cognome, codice fiscale, telefono, email, password e dati bancari diventano particolarmente pericolosi quando vengono raccolti insieme.
Come riconoscere un falso sito SPID
1. Controlla attentamente l’indirizzo
Non affidarti alla grafica. Un logo AgID o SPID all’interno della pagina può essere copiato facilmente. Controlla invece il dominio visualizzato dal browser e, in caso di dubbio, non proseguire.
2. Diffida dell’urgenza
Messaggi come “il tuo SPID verrà sospeso”, “pagamento richiesto entro oggi”, “ultimo avviso” o “verifica immediatamente la tua identità” sono progettati per farti agire prima che tu abbia il tempo di verificare.
3. Non accedere allo SPID dal link ricevuto
Se ricevi una comunicazione riguardante SPID, evita il collegamento presente nell’email o nell’SMS. Apri autonomamente il sito o l’app ufficiale del tuo gestore SPID e controlla da lì la situazione.
Ho cliccato sul link: sono stato hackerato?
Non necessariamente. Aver semplicemente aperto una pagina di phishing non significa automaticamente che il tuo SPID sia stato compromesso.
La situazione richiede invece attenzione immediata se hai:
- inserito username e password;
- autorizzato una richiesta dall’app SPID;
- comunicato un codice OTP;
- fornito dati personali o della carta;
- scaricato ed eseguito un file.
Ho inserito le credenziali SPID in un sito falso: cosa devo fare?
Non aspettare di vedere movimenti sospetti. Accedi al tuo gestore SPID esclusivamente attraverso il sito o l’app ufficiale e modifica immediatamente le credenziali quando previsto dal provider. Controlla le attività e le autorizzazioni disponibili nell’account.
Se hai utilizzato la stessa password per altri servizi, cambiala anche lì. Se hai comunicato i dati della carta, contatta subito la banca attraverso i suoi canali ufficiali.
Conserva inoltre email o SMS ricevuto, indirizzo del sito, screenshot, data e ora dell’accaduto, eventuali pagamenti e file scaricati: possono essere utili per ricostruire l’incidente.
Attenzione: anche una PEC può contenere una truffa
Una PEC non rende automaticamente sicuro ciò che trovi nel messaggio. Una casella legittima può essere compromessa o utilizzata abusivamente. Anche davanti a una PEC bisogna quindi valutare con attenzione link, allegati e richieste anomale.
Perché le truffe sono sempre più difficili da riconoscere
Per anni abbiamo imparato a cercare email scritte male, loghi sgranati e traduzioni improbabili. Questi segnali sono ancora utili, ma non bastano più.
Oggi un attaccante può produrre rapidamente un’email grammaticalmente corretta, personalizzata in italiano e coerente con il linguaggio di una banca, di un’azienda o di un ente pubblico. Può anche clonare l’aspetto di una pagina web e utilizzare un dominio molto simile a quello originale.
La domanda quindi non dovrebbe essere soltanto “questa email sembra vera?”, ma soprattutto “posso verificare questa richiesta attraverso un canale indipendente?”.
La regola che può evitare molte truffe
Quando un messaggio ti chiede soldi, password, codici OTP, dati bancari o informazioni personali, non utilizzare il percorso proposto dal messaggio stesso.
Se apparentemente scrive la banca, apri autonomamente l’app della banca. Se riguarda SPID, entra dal tuo gestore SPID. Se riguarda l’Agenzia delle Entrate, raggiungi autonomamente il portale istituzionale. Se un fornitore comunica improvvisamente un nuovo IBAN, verifica la richiesta utilizzando un contatto già noto.
E in azienda?
Il problema può diventare ancora più serio. Una singola credenziale sottratta può essere il punto di partenza per compromettere una casella email aziendale, impersonare un dipendente, inviare false richieste di pagamento o tentare di accedere ad altri sistemi.
Per questo la cybersecurity aziendale non consiste soltanto nell’installare un antivirus. Servono autenticazione multifattore, aggiornamenti, backup verificati, protezione degli account, controllo degli accessi e procedure chiare per gestire richieste sospette. Se vuoi approfondire l’approccio per imprese e professionisti, consulta anche la pagina Cybersecurity di EP Consulting e l’articolo Come difendersi dagli attacchi di phishing.
Pensi di aver inserito dati in un sito falso?
Se hai ricevuto un messaggio sospetto, hai aperto un link o temi che un account personale o aziendale possa essere stato compromesso, evita tentativi casuali di “pulizia” che potrebbero eliminare informazioni utili.
EP Consulting può analizzare l’accaduto, verificare dispositivi e account coinvolti e aiutarti a mettere in sicurezza l’ambiente informatico. Intervenire rapidamente è particolarmente importante quando sono state inserite credenziali, autorizzati accessi o scaricati file.
Hai un dubbio su un’email, una PEC o un sito che hai appena aperto? Contatta EP Consulting prima di inserire altri dati.
Domande frequenti sulla truffa SPID
SPID può essere sospeso tramite un’email improvvisa?
Una comunicazione urgente ricevuta via email o SMS non va considerata autentica solo perché usa loghi o nomi istituzionali. Verifica sempre la situazione entrando autonomamente nel sito o nell’app del tuo gestore SPID.
Il lucchetto HTTPS significa che il sito SPID è autentico?
No. HTTPS protegge la connessione tra browser e sito, ma può essere presente anche su un sito di phishing.
Cosa faccio se ho inserito la password ma non il codice OTP?
Considera comunque la password compromessa: accedi dal canale ufficiale del provider, cambiala immediatamente e controlla eventuali accessi o richieste anomale.