Truffa SPID: messaggi falsi chiedono il "canone annuale" per rubare i dati

È in circolazione una nuova campagna di phishing che sfrutta il nome di SPID per sottrarre dati personali e bancari ai cittadini. Come segnala Punto Informatico, i criminali informatici inviano messaggi — via email, SMS o WhatsApp — nei quali chiedono agli utenti di pagare un presunto "canone annuale" per mantenere attivo il proprio account SPID, pena la sospensione dell'accesso ai servizi della Pubblica Amministrazione.

Il messaggio contiene un link che conduce a un sito fraudolento costruito per imitare le pagine ufficiali dell'identità digitale. La truffa è segnalata anche dal CERT-AGID (il Computer Emergency Response Team dell'Agenzia per l'Italia Digitale), che ha rilevato come i domini utilizzati contengano termini come "spid" e "gov" per apparire credibili. Una volta sul sito falso, all'utente viene chiesto di inserire il proprio codice fiscale per procedere con una presunta verifica del pagamento, dopodiché viene presentato un finto numero di pratica e richiesto il versamento di una somma analoga a quella richiesta da alcuni gestori SPID reali.

La pericolosità di questa campagna risiede anche nella cura con cui è costruita: a differenza delle truffe tradizionali, i messaggi non utilizzano toni aggressivi né contengono errori grossolani, risultando graficamente e linguisticamente simili alle comunicazioni ufficiali. Proprio questa apparente normalità abbassa le difese degli utenti, inclusi quelli più avvezzi agli strumenti digitali.

È bene ricordare che SPID, nella sua forma base, è un servizio gratuito e non prevede alcun canone obbligatorio legato al sistema in quanto tale. L'eventuale canone introdotto da alcuni provider (come Poste Italiane) riguarda specifici piani commerciali e non viene mai richiesto tramite link inviati via messaggio. Nessun gestore ufficiale chiederà mai credenziali di accesso, codici OTP, dati di carte di credito o IBAN attraverso email, SMS o social network.

Chi riceve messaggi di questo tipo è invitato a non cliccare su alcun link, a verificare direttamente sul sito del proprio gestore SPID la situazione del proprio account e, in caso di dubbio, a segnalare il tentativo di frode al CERT-AGID tramite il sito ufficiale cert-agid.gov.it. Chi avesse già inserito i propri dati su uno di questi siti deve cambiare immediatamente le credenziali SPID e, se sono stati forniti dati bancari, contattare senza indugio il proprio istituto di credito per bloccare eventuali operazioni sospette.