Si può fare più di uno Spid? Sì, ma è anche il sistema più usato per le truffe

In Italia la digitalizzazione dei servizi pubblici ha favorito l'adozione su larga scala dello SPID, ovvero il Sistema Pubblico di Identità Digitale. Tuttavia, la maggior parte dei cittadini non è a conoscenza del fatto che sia possibile avere più di un'identità digitale attiva contemporaneamente ovvero uno Spid duplicato, pur riferite allo stesso codice fiscale. Questa caratteristica, permessa dalla normativa attuale, nasce per offrire una maggiore libertà di scelta agli utenti, permettendo ad esempio di separare la gestione di identità personale e professionale o disporre di un accesso alternativo in caso di malfunzionamenti di un provider.

Tuttavia, questa possibilità nasconde anche un lato rischioso: le recenti evoluzioni tecnologiche, insieme a procedure non sempre uniformi tra i diversi gestori, hanno progressivamente reso più facile sfruttare questa funzionalità per compiere frodi e duplicazioni non autorizzate. Negli ultimi anni le cronache hanno evidenziato un incremento dei casi di doppio SPID utilizzato per truffe finanziarie, mettendo in luce lacune strutturali che richiedono un'attenta riflessione su sicurezza, consapevolezza e regole del sistema.

Cosa sono SPID e Identity Provider: come funzionano

Il Sistema Pubblico di Identità Digitale è uno strumento di autenticazione adottato in Italia per consentire a cittadini e imprese di accedere in modo sicuro ai servizi online di Pubblica Amministrazione e soggetti privati. L'attivazione avviene tramite Identity Provider (IdP) accreditati dall'AgID, che rilasciano credenziali personali dopo una procedura di identificazione rigorosa. Ogni utente può utilizzare lo SPID per autenticarsi su portali pubblici (es. INPS, Agenzia delle Entrate) e privati aderenti, disponendo di username e password validi a livello nazionale.

La normativa che regola il funzionamento dello SPID è contenuta nel Codice dell'Amministrazione Digitale (CAD), in particolare nell'art. 64 del D. Lgs. 82/2005 e aggiornamenti successivi, oltre che nel D. L. 76/2020 che impone alle amministrazioni pubbliche l'accettazione delle credenziali SPID, CIE e CNS. Ogni identità è legata univocamente al codice fiscale del titolare, ma non è tecnicamente un documento di identità: rappresenta piuttosto un insieme di dati digitalmente certificati. I provider eseguono controlli formali e tecnici, tra cui il riconoscimento visivo, il confronto dei dati personali con banche dati ufficiali e la verifica di validità dei documenti.

Perché si possono avere due (o più) SPID duplicati

La possibilità di attivare più di uno SPID per la stessa persona trova fondamento nella filosofia del sistema federato, scelto per garantire:

• Continuità di accesso: se un provider risulta inaccessibile o subisce un attacco informatico, l'utente può usare un'identità digitale alternativa, evitando interruzioni nell'uso dei servizi online.
• Gestione separata: chi opera sia come privato che come rappresentante di un ente può mantenere credenziali distintive per separare completamente le interazioni personali da quelle lavorative.
• Backup e flessibilità: avere più identità permette di sperimentare servizi e assistenza diversi, individuando quello più efficiente rispetto alle proprie esigenze.

Le condizioni per ottenere più SPID sono precise:

• bisogna rivolgersi a Identity Provider differenti,
• utilizzare indirizzi email diversi per ciascun account (pur potendo mantenere lo stesso numero di cellulare se associato al medesimo codice fiscale),
• fornire identici dati anagrafici e documentali.

Tutti gli SPID attivati riferiscono sempre alla stessa persona fisica, ma sono gestiti in modo indipendente. In particolare contesti aziendali o per professionisti, questa opzione permette una migliore ripartizione delle responsabilità e dei controlli.

Tuttavia, non vanno sottovalutati alcuni svantaggi collaterali: la moltiplicazione delle credenziali può generare confusione, costi non previsti (alcuni provider sono passati a modelli a pagamento dal 2025) e maggiori rischi di perdita o smarrimento delle password. Consapevolezza e capacità di gestire correttamente l'identità digitale rimangono aspetti centrali.

Il fenomeno delle frodi e delle duplicazioni SPID

L'aumento del numero di SPID attivabili per ogni utente ha esposto il sistema a nuovi rischi, con un'impennata nei casi di furto d'identità e truffe digitali. Gli attaccanti possono sfruttare:

• l'assenza di un registro centralizzato che notifichi all'utente nuove attivazioni,
• differenze nei livelli di sicurezza applicati dai vari provider,
• la diffusione sul dark web di pacchetti di documenti di identità rubati,
• l'impiego di strumenti AI per creare documenti falsi convincenti e superare i controlli video.

I criminali informatici adottano tecniche sempre più sofisticate, tra cui la simulazione di indirizzi email e l'acquisto di SIM intestate a prestanome, riuscendo così ad attivare un doppio SPID a nome di vittime inconsapevoli. L'obiettivo tipico è il sabotaggio di sistemi di pagamento pubblici e privati: si segnalano numerosi casi di modifica fraudolenta dell'IBAN su portali INPS o NoiPA e di accesso a rimborsi fiscali, grazie all'utilizzo di identità digitali clonate.

La natura federata del sistema impedisce per ora controlli incrociati rafforzati tra provider. Il rischio, dunque, non è solo per la privacy ma anche per il patrimonio personale degli utenti, aggravato dalla tendenza crescente di alcuni operatori a esternalizzare le procedure più sensibili o delegarle a sistemi automatizzati.

Come funziona la truffa del doppio SPID: tecniche e casi reali

Il raggiro parte spesso dall'acquisizione di dati personali (documenti di identità, codice fiscale) tramite data breach, phishing o il mercato nero digitale. Questi dati vengono impiegati insieme a email e numeri telefonici controllati dal truffatore per richiedere un secondo SPID presso un provider diverso rispetto a quello originario della vittima. La creazione di un identità parallela consente ai criminali di:

• accettare i messaggi di conferma e controllare le procedure di attivazione;
• accedere ai principali portali pubblici (per modificare IBAN, dati personali o incassare prestazioni sociali altrui);
• compromettere il profilo della vittima senza che questa se ne accorga in modo tempestivo.

Numerosi casi, documentati negli ultimi due anni, hanno coinvolto dipendenti pubblici e pensionati che si sono visti privare di stipendi o sussidi, spesso residuando una difficile risoluzione giudiziaria data la complessità dell'accertamento delle responsabilità.

Conseguenze delle frodi: danni finanziari e reputazionali

Le ripercussioni dei furti digitali sono pesanti: sottrazione di fondi bancari, dirottamento di crediti fiscali, ritardi nell'erogazione di pensioni e danni alla reputazione personale sono tra le conseguenze più rilevanti. Non sono da sottovalutare i rischi relativi all'attivazione di partite IVA fittizie, richieste di prestiti o aperture di conti correnti inesistenti a nome della vittima. Il legittimo titolare spesso scopre la frode troppo tardi, quando il recupero delle somme diventa complesso e i dati personali potrebbero già essere stati riutilizzati in nuovi circuiti illeciti.

Come difendersi dal rischio di duplicazione dello SPID

Vista la difficoltà di prevenzione a livello sistemico, la tutela dell'identità digitale resta in gran parte affidata agli utenti stessi. Uno dei passaggi più efficaci consiste nel monitorare regolarmente tramite i canali ufficiali quali identità SPID risultino attive sul proprio codice fiscale.

Un'opzione intelligente è anche l'utilizzo delle prerogative previste dal GDPR per richiedere formalmente ai provider la lista completa delle identità a proprio nome: sfruttando il diritto di accesso ai dati, si può chiedere la sospensione di eventuali SPID non riconosciuti. Altre misure di prevenzione personale includono:

• mai inviare documenti personali tramite email non certificata;
• abilitare l'autenticazione a due fattori su ogni servizio che lo consenta;
• aggiornare periodicamente le password e conservarle tramite strumenti adeguati;
• attivare notifiche e alert per ogni movimento finanziario o cambio dei dati personali sui portali più sensibili.

Un controllo periodico degli IBAN associati ai portali pubblici più esposti e un'attenta verifica dei log di accesso rimangono strategie utili per scoprire tentativi di frode prima che si traducano in danni reali.

Best practice per la sicurezza personale e soluzioni normative

Dal punto di vista dell'utente, le pratiche più consigliate comprendono:

• verifiche settimanali o mensili delle proprie identità digitali tramite i pannelli dei provider;
• limitare la diffusione di documenti sensibili anche in ambito lavorativo;
• diffidare da richieste non sollecitate di aggiornamento dati o di invio di copie di documenti d'identità.

Dal versante normativo, molti esperti sostengono l'introduzione di un sistema di notifica automatizzato tramite email o SMS per ogni nuova attivazione SPID, misura che autorità e AgID stanno valutando come possibile standard di sicurezza. Un ulteriore baluardo è rappresentato dall'obbligo per gli Identity Provider di innalzare i livelli di verifica biometrica e di implementare blacklist condivise di indirizzi sospetti. In prospettiva, un rafforzamento della collaborazione tra provider e una maggiore informazione agli utenti potrebbero ridurre sensibilmente il fenomeno.