La truffa SPID del finto canone annuale è la campagna di phishing più insidiosa degli ultimi mesi, e funziona per un motivo preciso: il canone SPID adesso esiste davvero. Da quando alcuni gestori hanno introdotto un costo annuale per mantenere l’identità digitale, una mail che chiede di pagare pochi euro per non perdere l’accesso ai servizi pubblici non suona più assurda. È esattamente su questa plausibilità che contano i criminali.
Il CERT-AgID ha segnalato una campagna di phishing che usa il nome e il logo di AgID per chiedere il pagamento di un presunto canone annuale SPID. La pagina falsa raccoglie prima il codice fiscale, poi mostra un finto numero di pratica e infine chiede i dati della carta per un importo di pochi euro: l’obiettivo non è quella cifra, sono i dati della carta. AgID non gestisce le identità digitali e non incassa canoni: qualsiasi pagamento passa solo dal proprio gestore.
Ultimo aggiornamento: settembre 2026
Indice
- Come funziona la truffa, passaggio per passaggio
- Perché questa volta ci cascano in tanti
- I segnali che smascherano la mail
- Le altre varianti in circolazione
- Cosa fare se hai già inserito i dati
- Come verificare se devi davvero pagare
- Domande frequenti
Come funziona la truffa, passaggio per passaggio
Tutto comincia con un messaggio, che può arrivare via email o via SMS. Il testo avvisa che il canone annuale dello SPID è in scadenza e invita a regolarizzare la posizione cliccando su un link, con il consueto corredo di minacce garbate: more, interessi, sospensione dell’accesso ai servizi della pubblica amministrazione. Nome e logo di AgID, l’Agenzia per l’Italia Digitale, sono riprodotti in modo fedele.
Il link porta a una pagina intitolata al pagamento del canone annuale. Il primo dato richiesto è il codice fiscale, presentato come una verifica della propria posizione. È una mossa studiata: chiedere subito la carta di credito insospettisce, chiedere il codice fiscale sembra una formalità e serve a far entrare la vittima nel meccanismo. Nella schermata successiva compare un finto numero di riferimento della pratica, che dà l’impressione di un procedimento amministrativo reale in corso.
Solo alla fine arriva la richiesta di pagamento, di pochi euro, in linea con l’importo effettivamente chiesto da alcuni gestori SPID. Ed è qui che si consuma la truffa vera: l’obiettivo non sono quei sei o sette euro, ma i dati completi della carta, che finiscono nelle mani dei criminali e vengono poi usati per addebiti molto più consistenti o rivenduti. Chi paga si convince pure di aver risolto, e scopre il problema settimane dopo guardando l’estratto conto.
Perché questa volta ci cascano in tanti
Le campagne di phishing a tema pubblica amministrazione girano da anni, ma questa ha un vantaggio che le altre non avevano: si appoggia a un fatto vero. Diversi gestori di identità digitale hanno introdotto un costo annuale per il mantenimento dello SPID, e la notizia è stata ampiamente ripresa dai media, generando confusione su chi debba pagare, quanto e a chi. Il caso più discusso è quello del gestore di Poste Italiane, che abbiamo raccontato nel dettaglio in SPID Poste a pagamento: chi è esente e come disdire.
Quando una notizia del genere circola, milioni di persone restano con un dubbio irrisolto: io devo pagare o no? Una mail che sembra rispondere a quel dubbio arriva su un terreno già preparato. È la stessa dinamica che ha reso efficaci le finte comunicazioni sui rimborsi fiscali nel periodo delle dichiarazioni, come nel caso della truffa del falso rimborso dell’Agenzia delle Entrate: il phishing non inventa scenari improbabili, si aggancia a quelli reali.
C’è poi un secondo elemento che abbassa la guardia, ed è l’importo. Siamo addestrati a diffidare di richieste da centinaia di euro, molto meno di una richiesta da sei. Una cifra piccola sembra troppo modesta per essere una truffa, e proprio per questo funziona meglio.
I segnali che smascherano la mail
Il segnale definitivo è di sostanza, non di forma: AgID non gestisce le identità digitali dei cittadini. L’Agenzia accredita e vigila sui gestori, ma accessi, verifiche ed eventuali pagamenti passano esclusivamente dal proprio identity provider, cioè l’azienda con cui si è attivato lo SPID. Una richiesta di pagamento che arriva a nome di AgID è falsa per definizione, indipendentemente da quanto sia ben fatta.
Poi ci sono gli indizi tecnici. Il dominio del mittente e quello del link vanno letti da destra a sinistra, guardando le ultime due parole prima della prima barra: è lì che si trova il dominio reale, mentre tutto il resto può essere costruito per assomigliare a un indirizzo istituzionale. I domini pubblici italiani finiscono in gov.it, e nessun servizio ufficiale chiede dati di pagamento su un dominio diverso da quello del proprio gestore.
Terzo segnale, il più affidabile in assoluto: la pressione temporale. Le pubbliche amministrazioni comunicano scadenze, non ultimatum da poche ore, e non minacciano la sospensione immediata di un servizio via email. Se un messaggio spinge ad agire in fretta, quella fretta è parte dell’attacco. Le tecniche di base per riconoscere questi messaggi valgono anche qui e le abbiamo raccolte nella guida su come riconoscere il phishing, con la variante via SMS spiegata in smishing.
Le altre varianti in circolazione
Il tema SPID viene sfruttato da più campagne, con esche diverse, e conoscerle aiuta a non farsi sorprendere dalla prossima. Una variante segnalata dal CERT-AgID usava come oggetto il rinnovo del certificato digitale, con mail che sembravano provenire da un indirizzo istituzionale ma erano inviate da server di terze parti privi di firma DKIM, e portava a una pagina di login SPID contraffatta per rubare le credenziali.
Una seconda variante, più aggressiva, chiedeva l’aggiornamento dei documenti su falsi portali che imitavano i siti della pubblica amministrazione. Oltre alle credenziali e alla copia del documento d’identità, la pagina chiedeva alla vittima di registrare un breve video guardando in camera e sorridendo. È una richiesta che dovrebbe far scattare l’allarme rosso: quel video serve a superare i controlli di riconoscimento facciale usati per attivare una nuova identità digitale a nome della vittima. In quel caso il danno non è economico ma di furto d’identità, molto più lungo e complicato da sanare.
La lezione operativa è una sola: nessun servizio legittimo chiede credenziali, documento e video attraverso un link ricevuto per posta elettronica. Se serve verificare l’identità, si fa dall’app o dal sito del proprio gestore, digitando l’indirizzo a mano.
Cosa fare se hai già inserito i dati
La prima azione è bloccare la carta, dall’app della banca o chiamando il numero di emergenza dell’istituto, e disconoscere l’eventuale addebito già presente. Sulle operazioni non autorizzate la normativa sui servizi di pagamento prevede il rimborso da parte della banca, salvo il caso di colpa grave del cliente, ma il tempismo della segnalazione conta parecchio nella valutazione.
Se sono state inserite anche le credenziali SPID, va cambiata immediatamente la password dal sito del proprio gestore e va verificata l’eventuale presenza di accessi non riconosciuti nello storico, che i principali provider mettono a disposizione nell’area riservata. Attivare o ricontrollare il secondo fattore di autenticazione è il passo successivo: senza quello, una password rubata basta a entrare.
Serve poi una denuncia alla Polizia Postale, che è il presupposto per far valere le proprie ragioni con la banca e per bloccare eventuali pratiche aperte a proprio nome. Infine, il messaggio ricevuto va inoltrato a malware@cert-agid.gov.it: è l’indirizzo indicato dal CERT-AgID per le segnalazioni, e serve a far disattivare i domini fraudolenti e a diffondere gli indicatori di compromissione tra le organizzazioni accreditate. È un gesto che costa trenta secondi e che protegge chi riceverà lo stesso messaggio domani.
Come verificare se devi davvero pagare
Il metodo corretto è uno solo e non passa mai dai link ricevuti: si apre il browser, si digita a mano l’indirizzo del proprio gestore SPID e si controlla nell’area riservata lo stato del servizio e le condizioni economiche applicate. Chi non ricorda con quale gestore ha attivato l’identità può risalirci dalla schermata di accesso ai servizi pubblici, dove compare l’elenco dei provider e il proprio è quello che si sceglie abitualmente.
Vale la pena ricordare che le politiche variano da gestore a gestore: alcuni mantengono l’identità gratuita, altri applicano un canone, altri ancora prevedono l’esenzione per determinate categorie o per chi ha attivato lo SPID con specifiche modalità. Chi non vuole più pagare può migrare verso un gestore gratuito o passare alla CIE, la carta d’identità elettronica, che consente l’accesso agli stessi servizi senza costi ricorrenti. Il funzionamento generale dell’identità digitale, per chi parte da zero, è spiegato in come funziona lo SPID. Gli avvisi ufficiali sulle campagne in corso sono pubblicati sul sito del CERT-AgID.
Domande frequenti
Il canone SPID esiste davvero o è tutto una truffa?
Il canone esiste, ma dipende dal gestore: alcuni provider hanno introdotto un costo annuale, altri no. Quello che è falso è la richiesta di pagamento inviata a nome di AgID, che non gestisce le identità e non incassa nulla dai cittadini.
Ho cliccato sul link ma non ho inserito nulla: rischio qualcosa?
Il semplice clic espone poco, ma conviene comunque non ripeterlo e controllare che il dispositivo non abbia scaricato file. Il danno si concretizza quando vengono inseriti dati: codice fiscale, credenziali o numero della carta.
Come faccio a sapere qual è il mio gestore SPID?
Compare nella schermata di accesso ai servizi pubblici, nell’elenco dei provider: il proprio è quello che si seleziona abitualmente per entrare. In alternativa lo si trova nella mail di attivazione ricevuta al momento della registrazione.
La banca è obbligata a rimborsarmi?
Per le operazioni non autorizzate la normativa prevede il rimborso, con l’eccezione dei casi di dolo o colpa grave del cliente. Segnalare subito il disconoscimento e sporgere denuncia rafforza la propria posizione.
Conviene passare alla CIE per evitare il canone?
È un’alternativa concreta: la carta d’identità elettronica permette l’accesso ai servizi pubblici senza costi ricorrenti, e serve solo il PIN ricevuto al rilascio più un lettore o uno smartphone con NFC. Molti servizi accettano indifferentemente SPID e CIE.
A chi segnalo una mail sospetta?
Al CERT-AgID, all’indirizzo malware@cert-agid.gov.it, inoltrando il messaggio originale. Per il furto di denaro o di identità serve invece una denuncia alla Polizia Postale.
