La tutela dell’identità digitale è diventata una priorità ineludibile per chiunque acceda ai servizi online della pubblica amministrazione. Il furto di identità digitale — fenomeno in costante crescita — espone i cittadini a gravi rischi: dall’accesso indebito alle prestazioni previdenziali alla compromissione dei dati personali sensibili. Per contrastare queste minacce, l’INPS ha adottato un sistema strutturato di verifica delle credenziali, illustrato nel Messaggio n. 535 del 03.02.2023, che introduce un controllo aggiuntivo denominato «verifica dell’identità digitale». Comprendere come funziona questo meccanismo — e perché è stato introdotto — permette a lavoratori, professionisti e datori di lavoro di navigare i portali istituzionali con maggiore consapevolezza e sicurezza.
Identità digitale e furto di credenziali: il quadro del problema
L’utilizzo sempre crescente dei canali telematici per l’accesso ai servizi delle pubbliche amministrazioni da parte dei cittadini presuppone una estrema attenzione alla tutela della propria identità digitale, volta ad assicurare un’adeguata protezione dei dati personali dal verificarsi di fenomeni fraudolenti. Il furto di identità digitale si concretizza quando un soggetto terzo riesce ad appropriarsi delle credenziali di un utente — SPID, CIE o CNS — e le utilizza per accedere abusivamente a servizi riservati, potenzialmente modificando dati previdenziali, richiedendo prestazioni o sottraendo informazioni riservate.
Nonostante l’adozione delle credenziali SPID, CIE e CNS abbia generato un notevole innalzamento dei livelli tecnici di sicurezza, il rischio residuale di accesso fraudolento rimane concreto, soprattutto nei casi in cui le credenziali vengano compromesse attraverso tecniche di phishing, social engineering o violazioni di banche dati esterne. È proprio in risposta a questo scenario che l’INPS ha progettato un livello ulteriore di protezione.
Il sistema INPS di verifica dell’identità digitale: come funziona
L’INPS — al fine di ridurre con maggiore efficacia il rischio di furto dell’identità digitale — ha previsto la progressiva attivazione, nella fase di accesso ai servizi online, di un controllo aggiuntivo denominato «verifica dell’identità digitale». Il meccanismo si inserisce nel flusso di autenticazione già garantito da SPID, CIE e CNS, aggiungendo uno strato di sicurezza comportamentale che analizza le abitudini di accesso dell’utente.
Quando si attiva il controllo aggiuntivo
Tale ulteriore controllo interviene nei soli casi in cui si verifichi un tentativo di accesso ai servizi con identità digitali diverse da quelle utilizzate precedentemente dallo stesso utente. In altri termini, il sistema monitora la coerenza delle credenziali impiegate nel tempo: se un utente ha sempre effettuato l’accesso tramite un determinato set di credenziali SPID e improvvisamente viene rilevato un accesso con credenziali diverse — pur intestate allo stesso soggetto — il sistema interpreta questa anomalia come un potenziale segnale di furto di identità digitale e attiva la procedura di verifica.
Il codice «usa e getta» e la notifica di sicurezza
Esclusivamente in tale caso, il sistema invia sui recapiti telematici — e-mail e cellulare — già registrati dall’utente un codice di conferma monouso, c.d. «usa e getta», che l’utente stesso dovrà inserire per ottenere l’accesso. Questo approccio, noto in ambito tecnico come autenticazione a due fattori (2FA) contestuale, garantisce che solo il legittimo titolare delle credenziali possa completare l’accesso, anche qualora le credenziali primarie fossero state compromesse.
→ Leggi anche: Caporalato digitale: il lavoro tramite piattaforme e la responsabilità solidale del committente secondo la L. 199/2016
Contestualmente, il sistema invia una notifica via e-mail o, in assenza, sul cellulare o via PEC, per informare l’utente dell’avvenuto accesso con nuove credenziali SPID, CNS o CIE a lui intestate. Questa notifica svolge una funzione duplice: da un lato conferma all’utente legittimo che l’accesso è avvenuto regolarmente; dall’altro lo allerta tempestivamente in caso di accesso indebito, consentendogli di adottare le conseguenti azioni di tutela — come la revoca delle credenziali compromesse o la segnalazione all’autorità competente.
Requisito di attivazione: i recapiti telematici validati
Si precisa che la nuova funzionalità risulterà attiva per tutti coloro che abbiano validato i propri recapiti telematici nel sistema INPS. Chi non avesse ancora provveduto a questa operazione è fortemente invitato a farlo accedendo al proprio profilo sul portale istituzionale: senza recapiti validati, il sistema non è in grado di inviare né il codice monouso né la notifica di sicurezza, vanificando l’efficacia del controllo aggiuntivo.
Il testo integrale del Messaggio INPS n. 535/2023
Di seguito si riporta il testo del Messaggio n. 535/2023, così come diffuso dall’Istituto.
L’utilizzo sempre crescente dei canali telematici per l’accesso ai servizi delle pubbliche amministrazioni da parte dei cittadini presuppone una estrema attenzione alla tutela della propria identità digitale volta ad assicurare un’adeguata protezione dei dati personali dal verificarsi di fenomeni fraudolenti.
Nonostante l’adozione delle credenziali SPID, CIE e CNS abbia generato un notevole innalzamento dei livelli tecnici di sicurezza, l’INPS – al fine di ridurre con maggiore efficacia il rischio di furto dell’identità digitale – ha previsto, nei prossimi giorni, la progressiva attivazione, nella fase di accesso ai servizi on line, di un controllo aggiuntivo denominato “verifica dell’identità digitale”.
Tale ulteriore controllo interviene nei soli casi in cui si verifichi un tentativo di accesso ai servizi con identità digitali diverse da quelle utilizzate precedentemente dallo stesso utente.
→ Leggi anche: La tutela dei dati personali del lavoratore nel 2026: obblighi del datore tra GDPR e controlli biometrici
Esclusivamente in tale caso, il sistema invia sui recapiti telematici e-mail e cellulare già registrati dall’utente, un codice di conferma, c.d. “usa e getta”, che l’utente stesso dovrà inserire per ottenere l’accesso. Contestualmente, il sistema invierà una notifica via e-mail o, in assenza, sul cellulare o via PEC, per informarlo dell’avvenuto accesso con nuove credenziali SPID, CNS o CIE a lui intestate, in modo da adottare le conseguenti azioni in caso di accesso indebito.
Si precisa che la nuova funzionalità risulterà attiva per tutti coloro che abbiano validato i propri recapiti telematici.
(Fonte: INPS)
Perché la verifica delle credenziali è fondamentale per prevenire i furti di identità
Il sistema introdotto dall’INPS si inscrive in un quadro normativo più ampio che vede nel Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018 in attuazione del GDPR) e nel Codice dell’Amministrazione Digitale (D.Lgs. 82/2005) i riferimenti fondamentali per la gestione sicura dell’identità digitale. Il principio di privacy by design e privacy by default, sancito dall’art. 25 del GDPR, impone alle pubbliche amministrazioni di integrare misure di sicurezza già nella fase di progettazione dei sistemi informatici, rendendo la verifica delle credenziali non una scelta discrezionale ma un obbligo di sistema.
Dal punto di vista pratico, la verifica dell’identità digitale tramite codice monouso rappresenta una delle misure più efficaci per evitare furti di identità, poiché neutralizza il vantaggio dell’attaccante anche nel caso in cui questi sia riuscito ad appropriarsi delle credenziali primarie. L’utente legittimo, ricevendo la notifica di accesso anomalo, può intervenire tempestivamente — bloccando le credenziali compromesse attraverso il proprio gestore SPID o segnalando l’accesso indebito all’INPS e, se del caso, all’Autorità Garante per la protezione dei dati personali.
Cosa fare in caso di accesso sospetto: guida operativa
Qualora si riceva una notifica di accesso con nuove credenziali che non si riconosce come propria, è necessario agire con tempestività seguendo questi passaggi:
- Non ignorare la notifica: ogni comunicazione di accesso anomalo deve essere trattata come un potenziale furto di identità digitale fino a prova contraria.
- Revocare immediatamente le credenziali sospette: contattare il proprio gestore SPID (es. Poste Italiane, Aruba, InfoCert, ecc.) per bloccare o revocare le credenziali potenzialmente compromesse.
- Modificare le password e aggiornare i recapiti: cambiare le password associate ai propri account digitali e verificare che i recapiti registrati presso l’INPS siano corretti e aggiornati.
- Segnalare l’accesso indebito: presentare una segnalazione all’INPS tramite i canali istituzionali e, nei casi più gravi, sporgere denuncia presso le autorità di polizia postale.
- Informare il Garante Privacy: in caso di violazione dei dati personali, valutare la segnalazione all’Autorità Garante per la protezione dei dati personali, che può intervenire nei confronti del titolare del trattamento.
FAQ: Identità digitale e verifica credenziali INPS
- Cos’è la verifica dell’identità digitale introdotta dall’INPS?
- È un controllo aggiuntivo che si attiva quando viene rilevato un tentativo di accesso ai servizi INPS con credenziali (SPID, CIE o CNS) diverse da quelle abitualmente utilizzate dall’utente. Il sistema invia un codice monouso ai recapiti registrati per confermare l’identità del richiedente.
- La verifica delle credenziali si attiva ad ogni accesso?
- No. Il controllo aggiuntivo interviene esclusivamente in caso di anomalia, ovvero quando l’accesso avviene con credenziali diverse da quelle precedentemente utilizzate dallo stesso utente. Gli accessi ordinari con le credenziali abituali non sono soggetti a questa verifica supplementare.
- Cosa devo fare per attivare la funzionalità di verifica?
- È sufficiente aver validato i propri recapiti telematici (e-mail e/o numero di cellulare) nel profilo INPS. Senza recapiti validati, il sistema non può inviare né il codice monouso né le notifiche di sicurezza.
- Cosa rischio se subisco un furto di identità digitale?
- Le conseguenze possono essere gravi: accesso indebito alle proprie posizioni previdenziali, modifica di dati anagrafici o di pagamento, richiesta fraudolenta di prestazioni a proprio nome. Agire tempestivamente alla ricezione di notifiche anomale è essenziale per limitare i danni.
- SPID, CIE e CNS sono sufficienti a garantire la sicurezza dell’identità digitale?
- Queste credenziali garantiscono un elevato livello di sicurezza tecnica, ma non sono immuni da rischi legati a phishing o compromissione dei dispositivi dell’utente. Il sistema di verifica aggiuntiva introdotto dall’INPS è stato progettato proprio per coprire questi scenari residuali.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
