Richiesta di aggiornamento SPID: come riconoscere le comunicazioni legittime

👁 111 letture

Quando nella casella di posta compare una notifica che intima di verificare la propria identita digitale per non perdere l’accesso ai servizi pubblici, il riflesso immediato e spesso quello di cliccare sul link fornito. I bollettini pubblici del CERT-AGID, la struttura pubblica che monitora le minacce informatiche in Italia, descrivono dettagliatamente questo scenario. L’ente documenta ripetute campagne di inganno mirate agli utenti del Sistema Pubblico di Identita Digitale, architettate facendo leva sul timore di scadenze imminenti o more amministrative.

Il confine tra AgID e identity provider

L’elemento cardine evidenziato dal CERT-AGID risiede nell’architettura stessa del sistema: l’Agenzia per l’Italia Digitale stabilisce le regole e coordina il quadro istituzionale, ma non gestisce le singole utenze dei cittadini. Tutte le operazioni pratiche, quali l’accesso al profilo, la modifica dei recapiti personali, il controllo della documentazione e gli eventuali pagamenti di mantenimento, avvengono esclusivamente tramite il gestore di identità digitale prescelto, ovvero l’identity provider privato o convenzionato con cui si è sottoscritto il servizio.

Pertanto, qualsiasi notifica che inviti a regolarizzare un canone annuale su portali terzi presentati come canali centrali dell’agenzia governativa costituisce un chiaro indicatore di tentativo di frode. L’agenzia non richiede l’inserimento di credenziali o tributi direttamente sulle proprie piattaforme per mantenere attivo lo SPID.

Gli schemi rilevati dal CERT-AGID

Le analisi pubblicate dal CERT-AGID mostrano due modalità ricorrenti sfruttate per carpire informazioni:

• Richiesta di verifica dati su piattaforme generiche: i messaggi presentano oggetti quali Importante: Conferma i tuoi dati SPID oppure Verifica richiesta per la tua identità digitale. In questi casi, il collegamento rimanda a moduli ospitati su servizi gratuiti, come Google Sites, strutturati graficamente con i loghi di AgID e del Dipartimento per la Trasformazione Digitale. I campi richiedono generalità anagrafiche, indirizzo di residenza, recapiti e, in calce, l’IBAN del conto corrente assieme alla scelta dell’istituto bancario.
• Finta richiesta di pagamento del canone: la comunicazione sollecita il codice fiscale per evitare sanzioni su un presunto canone annuale, mostrando un fittizio numero di pratica e indirizzando l’utente verso pagine web che contengono nei nomi di dominio parole ingannevoli come spid e gov.

Procedura operativa per la verifica dell’avviso

Per accertare la fondatezza di una comunicazione senza esporsi a rischi, conviene seguire questi passaggi analitici:

1. Isolare il messaggio: non cliccare sui pulsanti presenti nel corpo del testo né inserire codici fiscali o coordinate bancarie all’interno delle schermate proposte.
2. Esaminare il destinatario del rapporto contrattuale: se l’email sostiene di provenire genericamente da AgID e sollecita verifiche d’identità o pagamenti, il messaggio è incompatibile con il funzionamento del servizio.
3. Accedere tramite canale indipendente: qualora si tema che la propria identità necessiti realmente di aggiornamenti anagrafici, aprire il browser, navigare autonomamente verso il sito ufficiale del proprio specifico gestore SPID ed eseguire l’accesso autenticato nella propria area riservata.
4. Segnalazione tecnica: in presenza di un messaggio sospetto, la linea guida istituzionale prevede di non interagire con la pagina e di inoltrare la segnalazione alla casella del CERT-AGID (malware@cert-agid.gov.it), consentendo l’attivazione delle procedure per la disattivazione dei nodi malevoli.

Fonti

• Phishing a tema SPID in corso - CERT-AGID
• Nuova campagna di phishing a tema SPID sfrutta Google Sites - CERT-AGID

Kinetyra