SPID e CIE: identità rubata, accessi abusivi, blocco

Che cosa si può fare con la sua identità

SPID è il sistema pubblico per la gestione dell'identità digitale previsto dall'art. 64 del codice dell'amministrazione digitale: i gestori privati accreditati da AgID identificano la persona al momento del rilascio, di persona, via webcam, con la carta d'identità elettronica, con la carta nazionale dei servizi o con firma digitale, e le consegnano credenziali a più livelli di sicurezza, di cui il secondo, password più codice temporaneo, è quello richiesto per i servizi più delicati. Con SPID, CIE o CNS si accede a tutti i servizi in rete delle pubbliche amministrazioni (art. 64 c. 2-quater) e si presentano istanze e dichiarazioni valide senza altra firma (art. 65 c. 1 lett. b). È questa validità legale a rendere il furto dell'identità digitale così dannoso: chi la controlla può cambiare l'IBAN su cui l'INPS accredita la pensione o l'assegno unico, presentare domande di bonus e prestazioni, accedere al cassetto fiscale e al fascicolo sanitario, scaricare la certificazione unica e i dati reddituali, chiedere duplicati di documenti, attivare contratti e, in alcuni casi, firmare atti. Le modalità del furto sono poche e ricorrenti: l'attivazione fraudolenta con documenti rubati o falsificati e un video o un selfie manipolati, spesso abbinata a una SIM intestata a un terzo; il phishing che raccoglie username, password e OTP su un sito clone; il SIM swap, che dirotta i codici sul telefono del truffatore; l'accesso al dispositivo o alla casella email usata per il recupero; l'uso da parte di chi ha legittimamente i documenti, come un familiare o un datore di lavoro. Il gestore ha obblighi precisi di identificazione e di sicurezza, e risponde se non li ha rispettati.

Le prime ore: che cosa fare

La sequenza conta: prima si blocca, poi si documenta, poi si disconosce. I log ottenuti dal gestore e dalle amministrazioni sono la prova che l'accesso è avvenuto da un dispositivo e da un indirizzo non riconducibili alla vittima, e servono sia alla denuncia sia alla richiesta di annullamento degli atti. Ogni comunicazione va fatta per iscritto, con PEC o raccomandata, e conservata.

I reati e le responsabilità

Chi attiva o usa un'identità digitale altrui commette la sostituzione di persona (art. 494 c.p.), punita fino a un anno, perché attribuisce a sé un falso nome o un falso stato per procurarsi un vantaggio o recare un danno. Se attraverso l'identità ottiene un profitto ingiusto alterando il funzionamento di un sistema informatico o intervenendo senza diritto su dati e programmi, il reato è la frode informatica (art. 640-ter), punita da sei mesi a tre anni, con la circostanza aggravante specifica, da due a sei anni, per il fatto commesso con furto o indebito utilizzo dell'identità digitale in danno di uno o più soggetti: è la fattispecie che copre il cambio di IBAN e la riscossione di prestazioni. L'ingresso nell'area riservata è accesso abusivo a un sistema informatico o telematico (art. 615-ter), fino a tre anni e aggravato quando il sistema è di interesse pubblico, come quelli della pubblica amministrazione; la detenzione o diffusione delle credenziali è punita dall'art. 615-quater. Si aggiungono la truffa (art. 640) verso l'ente o il privato ingannato, le falsità documentali per i documenti manipolati e il trattamento illecito di dati personali (art. 167 codice privacy). La vittima è persona offesa: può presentare denuncia o querela secondo la procedibilità del singolo reato, chiedere di essere informata dell'esito e costituirsi parte civile. Sul piano civile il risarcimento si chiede a chi ha usato l'identità e, quando il rilascio è avvenuto senza rispettare le regole di identificazione, al gestore che l'ha emessa, per responsabilità contrattuale verso il titolare e per fatto illecito verso il terzo danneggiato; AgID vigila sui gestori accreditati e può sanzionarli, il Garante privacy riceve i reclami per la violazione dei dati e può imporre misure.

Gli atti compiuti a suo nome

Un'istanza presentata con un'identità digitale rubata non è imputabile al titolare: manca la volontà, e il documento informatico non è a lui riconducibile. Le amministrazioni, ricevuto il disconoscimento con la denuncia, devono annullare in autotutela i provvedimenti adottati sulla base di quelle istanze e ripristinare la situazione precedente, e non possono pretendere dalla vittima la restituzione di somme percepite da altri, salvo che emerga una sua responsabilità. Le richieste vanno formulate in modo preciso: indicare data e ora degli accessi contestati, gli atti da annullare, l'IBAN corretto, la richiesta di riemissione dei pagamenti e di rettifica delle comunicazioni inviate a terzi. Se l'ente resiste, si impugna il provvedimento nei termini e nella sede competente, TAR o giudice ordinario secondo la materia, oppure si propone ricorso amministrativo. Per gli addebiti su conti e carte valgono le regole sui pagamenti non autorizzati, con l'obbligo della banca di rimborsare salvo dolo o colpa grave dell'utente. Per i contratti attivati a nome della vittima, telefonia, energia, finanziamenti, si contesta l'inesistenza del consenso e si chiede la cancellazione delle eventuali segnalazioni nelle banche dati creditizie.

Come prevenire

1. Livello di sicurezza: usare l'app del gestore invece degli SMS, che sono vulnerabili al SIM swap; attivare le notifiche di accesso.
2. Mai i codici: nessun gestore o ente chiede OTP, password o codici al telefono o via email.
3. Casella email: proteggere con autenticazione a due fattori la casella usata per il recupero; controllare periodicamente inoltri e regole.
4. Verifiche periodiche: controllare quante identità risultano attive a proprio nome e revocare quelle inutilizzate; controllare gli accessi ai servizi pubblici.
5. Documenti: in caso di furto o smarrimento denunciare subito e informare i gestori, perché il documento è la chiave del rilascio.

L'identità digitale vale quanto la firma: chi la perde deve bloccarla nell'ora, non nel giorno dopo. Il reato di chi si finge un altro è nella pagina sulla sostituzione di persona; l'inganno che porta a consegnare le credenziali nella pagina sulla truffa online e, per i soldi, nella pagina sul rimborso della banca; il valore degli atti firmati digitalmente nella pagina sulla firma elettronica; il reclamo per la violazione dei dati nella pagina sul reclamo al Garante privacy.