Nuovo allarme SPID: Come evitare la truffa del falso canone

Nuova allerta CERT-AGID: una truffa sul falso canone SPID mira a sottrarre dati sensibili e bancari. Ecco quello che c’è da sapere per identificare questa nuova minaccia ed evitare di cadere nella trappola

In questi giorni l’Agenzia per l’Italia Digitale (AgID), tramite il suo Computer Emergency Response Team (CERT), ha recentemente individuato una pericolosa campagna di phishing a tema SPID per sottrarre dati sensibili e coordinate bancarie.

In quetsa nuova minaccia i cybercriminali mirano a ingannare gli utenti attraverso falsi avvisi di scadenza e richieste di pagamento per un presunto “canone annuale”, sfruttando il nome di AgID e il logo ufficiale SPID per risultare credibili.

Vediamo insieme come riconoscere la truffa e  come difendersi.

La dinamica del furto dati: il “tranello” del pagamento

La truffa ha inizio con un messaggio (solitamente email o SMS) che invita l’utente a cliccare su un link per regolarizzare il pagamento del canone annuale dello SPID. L’obiettivo è spaventare il cittadino, paventando la sospensione dell’accesso ai servizi della Pubblica Amministrazione o l’applicazione di more in caso di mancato versamento.

Cliccando sul link, si viene indirizzati a pagine web studiate per apparire istituzionali, complete di loghi ufficiali AgID e SPID.

Su questi siti malevoli (con domini contraffatti come spidgov.click), viene richiesto di inserire:

• Il proprio codice fiscale per una presunta verifica della pratica.
• I dati della carta di credito per effettuare un pagamento, con cifre simili ai costi di rinnovo reali di alcuni provider.

Una volta inserite, queste informazioni finiscono direttamente nelle mani dei criminali informatici.

Il ruolo di AgID e degli Identity Provider: facciamo chiarezza

Per proteggersi è fondamentale comprendere come funziona realmente il sistema SPID. Molti utenti cadono in errore pensando che la gestione della propria identità avvenga tramite siti governativi, ma la realtà è diversa:

• AgID non gestisce le identità: L’Agenzia per l’Italia Digitale ha un ruolo di vigilanza e coordinamento, ma non gestisce direttamente i rapporti operativi con i cittadini.
• Gestione esclusiva tramite il Provider: Ogni attività legata allo SPID, inclusi l’accesso, la verifica dei dati e gli eventuali pagamenti, avviene esclusivamente attraverso il sito o l’app del proprio Identity Provider (come Register.it).
• Diffidate dai siti esterni: Qualsiasi richiesta di inserimento dati personali o bancari su pagine non riconducibili direttamente al vostro gestore deve essere considerata un tentativo di truffa.

Consigli pratici contro il phishing

La prevenzione resta la difesa più efficace contro il phishing.

Se ricevi una comunicazione sospetta, ti consigliamo di seguire questi passaggi:

1. Controlla il mittente: Verifica sempre chi ha inviato il messaggio. Se hai lo SPID con Register.it, le comunicazioni ufficiali arriveranno solo dai nostri canali verificati. Se usi un altro provider, verifica attentamente l’indirizzo email di provenienza.
2. Non cliccare su link esterni: In caso di dubbi sulla scadenza del servizio, non usare i link presenti nei messaggi. Digita manualmente l’indirizzo del sito ufficiale del tuo provider nel browser e accedi alla tua area riservata.
3. Segnala il messaggio: Se individui una comunicazione di phishing, non interagire con essa e inoltrala al CERT-AGID all’indirizzo malware@cert-agid.gov.it.
4. Verifica la lista dei provider: Se non ricordi chi sia il tuo gestore, puoi consultare l’elenco dei provider autorizzati sul sito ufficiale del governo.

Ricorda che la tua Identità Digitale è la chiave d’accesso ai tuoi dati più sensibili: trattala con la massima cura e affidati solo a partner autorevoli e sicuri.