Non c’è che dire, ma purtroppo questo 2026 è iniziato con una raffica di truffe online. Dopo aver segnalato quelle sui rimborsi fake di Iva e Irpef, della tessera sanitaria, del Truman show, del CUP, l’Agenzia delle Entrate segnala in questi giorni un nuovo tentativo di frode. Stavolta ad essere preso di mira è lo SPID, sì proprio lui, il Sistema Pubblico di Identità Digitale. Vediamo nel dettaglio.
La truffa
La truffa si basa su comunicazioni email ingannevoli che invitano il destinatario a “accedere urgentemente” alla propria area riservata sul sito dell’Agenzia delle Entrate. All’interno del messaggio è presente un link malevolo che reindirizza la vittima verso un sito web fraudolento, creato appositamente dai cybercriminali per raccogliere i dati sensibili.La pagina contraffatta riproduce fedelmente l’aspetto grafico del portale ufficiale, presentando un falso modulo di login tramite SPID. In questa schermata ingannevole, l’indirizzo email della vittima appare già precompilato (grazie alla personalizzazione del link inviato via email), mentre viene richiesto di inserire solo la password associata all’identità SPID. Una volta inserita, la password viene immediatamente catturata dai truffatori, che ottengono così accesso completo all’account SPID della vittima.
Le conseguenze
Con le credenziali SPID rubate, i criminali possono accedere a una vasta gamma di servizi pubblici online (tra cui il portale dell’Agenzia delle Entrate, INPS, Fascicolo Sanitario Elettronico, ecc.), con gravi conseguenze per la privacy, i dati fiscali e patrimoniali della persona colpita.
Come difendersi
- Non cliccare mai su link presenti in email sospette, anche se sembrano provenire dall’Agenzia delle Entrate
- Non inserire mai la password SPID (o qualsiasi altra credenziale) su pagine raggiunte tramite email
- Eliminare immediatamente il messaggio fraudolento senza rispondere o inoltrarlo.
- In caso di dubbio, verificare sempre accedendo direttamente al sito ufficiale digitando manualmente l’indirizzo www.agenziaentrate.gov.it nel browser
- Consultare la sezione “Focus sul phishing” sul portale istituzionale dell’Agenzia per aggiornamenti su campagne in corso e consigli di sicurezza
- Per chiarimenti o segnalazioni, contattare gli uffici territoriali competenti o utilizzare i canali ufficiali reperibili sul sito.
Cosa fare se le credenziali SPID sono state, o si sospetta siano state, compromesse
- Cambiare immediatamente la password SPID (se ancora possibile) tramite il gestore dell’identità
- Segnalare l’accaduto al proprio Identity Provider SPID e alle autorità (Polizia Postale o CERT-PA)
- Monitorare eventuali accessi non autorizzati ai propri servizi online.
