SPID clonato, stipendio sparito: incubo su NoiPA, può colpire ogni dipendente pubblico

lentepubblica.it

SPID clonato e sicurezza digitale: un recente caso avvenuto su NoiPA rivela una falla sistemica che espone milioni di dipendenti pubblici a truffe informatiche.

Un caso di furto d’identità ai danni di un docente ha svelato un allarmante punto debole del sistema NoiPA. Al centro della vicenda, la possibilità di attivare più profili SPID legati a un solo codice fiscale, senza che l’interessato riceva alcuna notifica. Una falla che espone milioni di lavoratori pubblici a rischi gravi, tra cui la sottrazione di stipendi, la manipolazione di dati personali e l’accesso illecito a portali istituzionali.

Nel cuore del sistema digitale italiano che gestisce la pubblica amministrazione si annida un rischio troppo spesso sottovalutato: la vulnerabilità del Sistema Pubblico di Identità Digitale (SPID). Il caso di un insegnante delle scuole superiori, che ha scoperto mesi dopo il furto d’identità di essere stato privato del proprio stipendio, rappresenta solo la punta dell’iceberg di un problema ben più ampio.

SPID clonato, stipendio sparito: incubo su NoiPA, può colpire ogni dipendente pubblico

Il docente, vittima inconsapevole di una sofisticata truffa informatica, si è accorto troppo tardi che le sue mensilità venivano versate su conti correnti intestati a prestanome. A permettere l’inganno, un clone dello SPID ottenuto da un cybercriminale attraverso tecniche di phishing particolarmente insidiose. L’attacco non si è limitato alla piattaforma NoiPA, ma si è esteso a una costellazione di servizi pubblici digitali: dall’INPS all’Agenzia delle Entrate, passando per i sistemi del Ministero dell’Istruzione.

Il punto debole che ha reso possibile tutto ciò? La possibilità di attivare più SPID legati allo stesso codice fiscale, senza che venga inviata una comunicazione all’utente originario. Questo vuoto informativo mina alla radice la sicurezza dell’intero ecosistema digitale della pubblica amministrazione. Il problema, quindi, non è circoscritto al singolo episodio, ma riguarda potenzialmente l’intera platea di oltre due milioni di dipendenti pubblici.

Una falla strutturale

L’assenza di un meccanismo di allerta in tempo reale per l’attivazione multipla di SPID è una lacuna normativa e tecnica che apre la porta a una molteplicità di frodi. Con un’identità digitale clonata, un malintenzionato può non solo modificare l’IBAN per ricevere lo stipendio altrui, ma anche accedere a dati sensibili, aprire conti bancari, registrarsi su portali istituzionali o ottenere certificati e documenti. In uno scenario del genere, la sicurezza dell’intero impianto digitale statale viene messa in discussione.

Nonostante le normative antiriciclaggio (AML) e le procedure Know Your Customer (KYC), i controlli bancari si rivelano insufficienti a impedire l’uso fraudolento di conti correnti intestati a soggetti compiacenti. Alcuni truffatori riescono persino, dopo una denuncia, a registrare nuovi SPID e a rimettere mano ai dati bancari, aggirando del tutto gli interventi già effettuati a tutela dell’utente colpito.

Questo quadro segnala una fragilità preoccupante nel rapporto tra pubblica amministrazione e sistema finanziario. La sincronizzazione tra le piattaforme pubbliche e i circuiti bancari appare ancora lacunosa, soprattutto in assenza di un’infrastruttura integrata e aggiornata in tempo reale.

Le soluzioni possibili: semplici ma trascurate

A fronte di un rischio così diffuso e documentato, le contromisure possibili non sembrano particolarmente complesse. Tra le più efficaci figurano:

• l’obbligo di legare ogni SPID a una casella PEC,

• l’introduzione della verifica biometrica per nuove attivazioni,

• e la sincronizzazione immediata tra tutti i provider autorizzati per impedire duplicazioni sospette.

Tuttavia, l’adozione di queste soluzioni richiede una scelta politica e normativa ben precisa: ripensare la struttura stessa del sistema SPID. La sua natura attuale, basata su una pluralità di gestori privati e su una regolamentazione non ancora pienamente armonizzata, non sembra in grado di affrontare le sfide poste dall’evoluzione del crimine informatico.

Il ruolo degli utenti e i limiti dell’autoprotezione

Nel frattempo, la responsabilità della protezione dei dati resta in larga parte sulle spalle degli utenti. Il Ministero dell’Economia e delle Finanze, insieme alla società Sogei – che gestisce NoiPA – ribadisce l’importanza di adottare comportamenti prudenti: non condividere le credenziali, non rispondere a email sospette, evitare di accedere a siti non certificati. Ma tutto questo, pur necessario, appare largamente insufficiente.

Il consiglio alle persone è quello di effettuare controlli frequenti sull’IBAN registrato nei portali pubblici, monitorare i log di accesso forniti dai gestori SPID, attivare l’autenticazione a due fattori tramite app dedicate (evitando il meno sicuro sistema via SMS). Tuttavia, non si può realisticamente pensare che ogni cittadino sia in grado di presidiare costantemente il proprio profilo digitale con questo livello di attenzione.

Anche la stessa Sogei, pur escludendo violazioni dirette al portale NoiPA, ammette che si sono verificati “casi limitati e circoscritti” di modifiche IBAN non autorizzate. In totale, si parla di 15 episodi su oltre due milioni di utenti, gestiti grazie all’intervento tempestivo della Polizia Postale. Ma il fatto che siano pochi non elimina la possibilità che siano solo quelli emersi finora: e, soprattutto, non riduce la gravità del fatto che un simile attacco possa avvenire.

Una questione sistemica, non episodica

Il furto d’identità nel caso del docente non è quindi un’anomalia isolata, ma il sintomo di una falla strutturale in uno dei pilastri della digitalizzazione dei servizi pubblici. SPID, concepito come “chiave universale” per accedere a tutto ciò che riguarda l’interazione tra cittadini e Stato, è divenuto anche un bersaglio privilegiato per chi intende sfruttarlo a fini illeciti.

L’adozione massiva di SPID negli ultimi anni, accelerata dalla pandemia e dalla crescente spinta verso la dematerializzazione dei servizi, ha portato con sé la necessità di rafforzare i meccanismi di sicurezza. Ma questa esigenza è rimasta troppo spesso inascoltata. Senza un intervento strutturale, rischiamo che ogni nuovo passo verso la digitalizzazione diventi un’opportunità per i truffatori e un’incognita per i cittadini.

In definitiva, serve una riflessione urgente e profonda su come rendere il sistema SPID davvero sicuro e impermeabile alle frodi. Per farlo, è indispensabile superare la logica emergenziale e attivare un piano normativo, tecnico e operativo che metta al centro la tutela dell’identità digitale di ogni cittadino. Perché un’identità violata è molto più di un furto: è una crepa nella fiducia verso lo Stato digitale.

The post SPID clonato, stipendio sparito: incubo su NoiPA, può colpire ogni dipendente pubblico appeared first on lentepubblica.it.