Le truffe migliori non sono quelle assurde. Sono quelle che chiedono una cosa che ti aspettavi già di dover fare.
Oggi, 3 agosto, il CERT-AGID ha pubblicato un’allerta su una campagna di phishing in corso a tema SPID. Il meccanismo: pagine che usano nome e loghi di AgID e SPID, ospitate su domini che contengono nel nome le parole «spid» e «gov», chiedono il codice fiscale per una presunta verifica del pagamento del canone annuale, necessario — dicono — a non perdere l’accesso ai servizi della Pubblica Amministrazione.
Inserito il codice fiscale, compare un numero di pratica fasullo e la richiesta di pagare. E qui sta la parte che merita attenzione: l’importo richiesto è in linea con i canoni realmente applicati dai gestori SPID.
Perché stavolta ci si casca
Nel 2026 il canone SPID è diventato una cosa vera.
Fino a poco tempo fa l’identità digitale era gratuita per tutti, e una mail che chiedeva di pagarla si smontava da sola. Oggi non più: diversi gestori hanno introdotto un canone annuale, il primo anno resta gratis per i nuovi utenti, e il rinnovo non è mai tacito — se non aderisci esplicitamente, l’accesso si interrompe.
Quindi la sequenza mentale della vittima è perfettamente ragionevole: è vero che adesso lo SPID si paga, è vero che se non pago mi si blocca, e sei euro non sono una cifra su cui mettersi a indagare.
Importi indicativi rilevati per il 2026: Aruba e InfoCert 4,90 euro più IVA, cioè 5,98 euro; Poste Italiane 6 euro per il rinnovo di PosteID; Namirial 9,99 euro più IVA; Register.it 9,90 euro più IVA. Il primo anno è gratuito per i nuovi utenti e il canone scatta dal secondo. Sono importi bassi, ed è esattamente questo il problema: nessuno chiama la banca per sei euro. Gli importi vanno comunque verificati sul sito del proprio gestore, perché cambiano.
L’obiettivo dichiarato della campagna, scrive il CERT-AGID, è acquisire fraudolentemente «dati personali e bancari degli utenti». Il finto canone non è il fine: è il pretesto per farti scrivere il codice fiscale e poi i dati della carta.
La regola che risolve il dubbio in tre secondi
Il CERT-AGID indica un criterio secco, e vale la pena impararlo a memoria perché non richiede di valutare quanto è ben fatta la pagina:
Tradotto in pratica: il canone lo chiede Poste, o Aruba, o InfoCert, o Namirial, o Register.it — chiunque sia il tuo gestore, quello con cui hai fatto l’identità. Non lo chiede mai l’Agenzia per l’Italia Digitale, che non incassa nulla da te.
E il modo di verificare non è cliccare il link per controllare. È entrare a mano nell’area riservata del tuo gestore, digitando l’indirizzo che già conosci. Se un pagamento è realmente dovuto, lo trovi lì.
Cosa si perde davvero, per una partita IVA
Per un privato uno SPID rubato è un guaio. Per chi ha un’attività è un’altra categoria di problema, ed è il motivo per cui questa notizia riguarda i lettori di questa testata più della media.
Con lo SPID di un titolare o di un professionista si entra in:
- il cassetto fiscale e l’area riservata dell’Agenzia delle Entrate, con lo storico completo di dichiarazioni, versamenti e comunicazioni;
- il portale della fatturazione elettronica, quindi l’elenco di clienti, fornitori e importi;
- l’area INPS, con posizioni contributive proprie e dei dipendenti;
- i portali di bandi e incentivi, dove si presentano domande a proprio nome;
- e, tramite domicilio digitale, la corrispondenza ufficiale dell’impresa.
La sproporzione tra l'esca e la posta in gioco.
Va detto anche il rovescio, per non alimentare l’allarme sbagliato: i sistemi dei gestori SPID non risultano compromessi. Sono pagine esterne che ne imitano l’aspetto. Chi non ha inserito nulla non deve fare niente.
Cosa fare lunedì
Se non hai inserito dati. Non interagire con il messaggio e inoltralo a malware@cert-agid.gov.it, l’indirizzo che il CERT-AGID indica per le segnalazioni. Serve a far disattivare i domini più in fretta.
Se hai inserito il codice fiscale ma non i dati di pagamento. Il danno è contenuto, ma quel codice fiscale finisce in una lista che verrà riusata per il prossimo tentativo, probabilmente più mirato. Aspettati un secondo contatto e trattalo come tale.
Se hai inserito i dati della carta. Blocca la carta chiamando il numero che trovi sul retro o nell’app della banca — non un numero letto nella pagina o nella mail. Poi cambia la password dello SPID entrando a mano nel sito del tuo gestore e verifica gli accessi recenti.
Se in azienda lo SPID lo usa più di una persona. Vale la pena dirlo esplicitamente in questi giorni: nessuno paga nulla e nessuno inserisce dati su pagine raggiunte da un link, nemmeno per pochi euro, nemmeno se la pagina è identica a quella vera. Chi ha delega sui portali va avvisato per primo.
In breve
Il 3 agosto 2026 il CERT-AGID ha segnalato una campagna di phishing attiva che imita AgID e SPID su domini contenenti le parole «spid» e «gov», chiede il codice fiscale per una finta verifica del canone annuale e poi il pagamento di un importo allineato ai canoni reali, con l’obiettivo di rubare dati personali e bancari.
L’esca funziona perché dal 2026 il canone SPID esiste davvero e costa tra i 6 e gli 11 euro l’anno a seconda del gestore. La regola che non sbaglia: il canone lo chiede il tuo gestore, mai AgID, e si verifica entrando a mano nella propria area riservata, mai cliccando il link ricevuto. Per una partita IVA la posta in gioco non sono quei pochi euro, ma cassetto fiscale, fatturazione elettronica e posizione INPS.