C'era una famosa marca di cucine , il cui slogan diceva "la più amata dagli italiani", però forse, per lo Spid potremo definirlo lo strumento digitale "più odiato dagli italiani".
Che dire , l'idea di partenza dello SPID (Sistema Pubblico di Identità Digitale), era anche giusta, ovvero quello di rispondere alla crescente esigenza di digitalizzazione dei servizi pubblici, visto che prima della sua introduzione ogni ente pubblico spesso richiedeva credenziali diverse, con l'obbligo di salvare decine e decine di nomi utenti e password.
E lo Stato, invece di prendersi la briga di creare degli organi appositi per la verifica dei documenti e il rilascio dello SPID, si è affidata a 12 "identity provider accreditati", tra cui Aruba, Tim, Poste Italiane, e Infocert.
E proprio quest'ultima, Infocert, è stata protagonista , suo malgrado, di vari episodi spiacevoli, tra cui uno di Data Breaching proprio a Dicembre 2024, con pacchetti di dati sensibili venduti sui forum di Hackers per soli 1500 dollari, contenenti circa 5 milioni di dati, tra cui carte d'identità, numeri di telefono e indirizzi email.
E ora, su segnalazione di alcuni enti come l'Inps, viene a galla un'altra gravissima falla del sistema SPID, che in verità si sapeva da tempo: era già stata denunciata, nel lontano 2023 sul programma Report, ma il servizio fu inondato di critiche, ma, alla luce di quello che sappiamo oggi, diceva assolutamente il vero.
Il grande, grandissimo malfunzionamento è che è possibile richiedere più SPID per la stessa persona, e non viene mandato nessun avvertimento , di nessun genere, ai contatti di chi ha richiesto il primo SPID originario, se così si può dire.
Infondo, basta una copia del documento, il codice fiscale, una email e un numero di telefono qualunque (perchè non vi è l'obbligo di specificare il proprietario) che è possibile creare un secondo SPID, per una persona, completamente a sua insaputa,
Quasi tutti gli "identity provider accreditati" danno la possibilità di fare una videochiamata per la verifica dell'identità, e oggi , con l'Intelligenza Artificiale, e la foto del documento, è facilissimo spacciarsi per qualcun altro e superare la verifica, facendosi approvare il nuovo SPID.
Capite bene che gli scenari che sia aprono con questa truffa sono apocalittici: un hacker può venire in possesso di un documento, magari di una persona anziana, magari che è stata vittima di un episodio di Phishing via email, o magari i suoi dati sono finiti in un caso i di Data Breaching , proprio come quello successo con Infocert, e l'hacker di turno può cambiare , nel sito dell'Inps, l'iban dell'accredito della pensione.
Con un secondo SPID si può cambiare l'iban anche per la Naspi e altri contributi sociali, si possono fare visure, verifiche, aprire pratiche ed avere accesso ad ancora più dati personali.
E tutto questo disastro è accentuato dal fatto di avere questi 12 "identity provider accreditati", una lista lunghissima di aziende distinte che non comunicano nemmeno tra di loro, quando era lo Stato che doveva prendersi l'onere di gestire l'identità digitale dei suoi cittadini, e non aziende private che seguono, o fanno finta di seguire, le procedure di Cyber Security.
E niente, speriamo che questo triste strumento, nato più di 10 anni fa , lo SPID, vada in pensione e si passi esclusivamente all'uso della CIE, Carta d'identità Elettronica, per cui non bisogna passare per aziende private e strane verifiche d'identità via webcam, che mettono a repentaglio la nostra privacy e sicurezza.
Grazie dell'attenzione e alla prossima.
Immagine realizzata con Grok