SPID accesso sospetto: cosa fare subito

Se ricevi una notifica relativa a un accesso SPID che non riconosci, non approvare la richiesta e non cliccare su eventuali link. Accedi direttamente al sito o all’app ufficiale del tuo gestore, cambia la password e, se temi una compromissione, chiedi immediatamente la sospensione dell’identità digitale.

Un accesso sospetto allo SPID non deve essere sottovalutato. Le credenziali SPID permettono infatti di entrare in servizi importanti come INPS, Agenzia delle Entrate, Fascicolo Sanitario Elettronico e portali regionali o comunali.

Una persona che riesce a utilizzare la tua identità digitale potrebbe visualizzare informazioni personali, presentare domande, modificare recapiti o eseguire altre operazioni a tuo nome.

La buona notizia è che, intervenendo rapidamente, è possibile ridurre notevolmente i rischi. In questa guida vedremo cosa fare quando ricevi una richiesta di autenticazione non riconosciuta, un codice OTP inatteso o una comunicazione che segnala un presunto accesso anomalo.

Cosa significa accesso sospetto SPID

Un accesso sospetto SPID è un tentativo di autenticazione che non hai avviato personalmente o che presenta elementi insoliti.

Può manifestarsi in diversi modi:

• ricevi un codice OTP tramite SMS senza aver effettuato l’accesso;
• compare una richiesta di autorizzazione nell’app del gestore SPID;
• ricevi una notifica relativa a un login che non riconosci;
• arriva un’email che segnala un accesso da un nuovo dispositivo;
• la password che utilizzavi non viene più accettata;
• noti modifiche al numero di telefono o all’indirizzo email associato;
• trovi comunicazioni relative a operazioni mai effettuate;
• ricevi un messaggio che minaccia la sospensione immediata dello SPID.

In alcuni casi può trattarsi di un semplice errore, per esempio di una persona che ha inserito un nome utente sbagliato. Tuttavia, la ricezione di un codice OTP o di una richiesta di approvazione potrebbe anche indicare che qualcuno conosce già parte delle tue credenziali.

Per sicurezza è quindi opportuno controllare immediatamente il proprio account.

SPID accesso sospetto: cosa fare immediatamente

Quando ricevi una notifica anomala, evita di agire frettolosamente seguendo le istruzioni contenute nel messaggio. Procedi invece attraverso i canali ufficiali.

1. Non approvare la richiesta di accesso

Se sullo smartphone compare una richiesta di autorizzazione che non hai avviato, premi Rifiuta, Nega o chiudi la notifica.

Non approvare mai una richiesta pensando che possa servire a bloccare il tentativo. L’approvazione potrebbe consentire al malintenzionato di completare realmente l’accesso.

Allo stesso modo, non comunicare a nessuno:

• codici OTP ricevuti tramite SMS;
• codici generati dall’app SPID;
• password;
• PIN;
• codici di recupero;
• screenshot delle richieste di autenticazione.

Un operatore dell’assistenza non dovrebbe chiederti di comunicare la password completa o un codice temporaneo necessario per autorizzare un accesso.

2. Non cliccare sui link ricevuti

Se l’avviso è arrivato tramite email, SMS, WhatsApp o un altro servizio di messaggistica, non utilizzare i collegamenti presenti nel testo.

I truffatori possono realizzare pagine molto simili a quelle di AgID, Poste Italiane, INPS o degli altri gestori SPID. Lo scopo è convincere l’utente a inserire credenziali, caricare documenti o registrare un video del proprio volto.

Il CERT-AgID ha segnalato campagne di phishing nelle quali venivano utilizzati il nome e il logo di AgID per richiedere username, password, documenti di identità e video di riconoscimento.

Per effettuare un controllo, apri manualmente l’app ufficiale del tuo gestore oppure digita personalmente nel browser l’indirizzo del suo sito.

3. Controlla chi ha rilasciato il tuo SPID

Lo SPID non viene gestito direttamente da AgID, ma dal gestore di identità digitale scelto durante l’attivazione, chiamato anche Identity Provider.

Tra i gestori possono esserci, per esempio:

• PosteID;
• Aruba ID;
• InfoCert ID;
• LepidaID;
• Namirial ID;
• SielteID;
• TIM ID;
• SpidItalia;
• Intesi Group;
• InfoCamere ID.

Devi quindi intervenire attraverso il sito, l’app o l’assistenza del gestore che ha rilasciato le tue credenziali.

Nella pagina ufficiale Assistenza degli Identity Provider SPID sono disponibili i contatti aggiornati dei gestori. La pagina SPID specifica che, in caso di problemi di accesso o registrazione, occorre rivolgersi ai canali di assistenza dell’Identity Provider.

4. Sospendi lo SPID se temi una compromissione

Se pensi che qualcuno conosca la tua password, abbia avuto accesso al telefono oppure sia riuscito a entrare nel tuo account, chiedi al gestore la sospensione immediata delle credenziali.

La sospensione è particolarmente importante quando:

• hai approvato per errore una richiesta sconosciuta;
• hai inserito le credenziali in un sito sospetto;
• hai comunicato un codice OTP;
• hai perso lo smartphone;
• ti hanno rubato il telefono;
• non riesci più ad accedere al tuo account;
• email o numero di telefono associati risultano modificati;
• sono state effettuate operazioni a tuo nome.

Le modalità cambiano a seconda dell’Identity Provider. Alcuni permettono di sospendere l’identità dall’area personale, mentre altri richiedono una telefonata, un modulo online o l’invio di una richiesta all’assistenza.

Per esempio, la pagina ufficiale SPID indica che PosteID mette a disposizione il numero 06 977.977.77, utilizzabile 24 ore su 24 per richiedere la sospensione delle credenziali. Contatti e orari possono cambiare, quindi è sempre preferibile controllarli sulla pagina ufficiale.

5. Cambia la password dello SPID

Se riesci ancora ad accedere in sicurezza, cambia subito la password dall’area personale del tuo gestore.

La nuova password dovrebbe essere:

• diversa da quella precedente;
• mai utilizzata su altri siti;
• lunga almeno 12-14 caratteri;
• composta da lettere maiuscole e minuscole, numeri e simboli;
• difficile da collegare a informazioni personali.

Evita nomi, date di nascita, numeri di telefono, nomi di animali domestici e sequenze semplici come “Password123”.

Quando disponibile, utilizza anche la funzione per disconnettere dispositivi o sessioni precedentemente autorizzate.

Metti in sicurezza anche l’indirizzo email

Cambiare solamente la password SPID potrebbe non essere sufficiente. L’indirizzo email collegato all’identità digitale viene spesso utilizzato per il recupero delle credenziali e per le comunicazioni di sicurezza.

Se qualcuno controlla la tua casella email, potrebbe intercettare messaggi, avviare procedure di recupero o cancellare avvisi importanti.

Accedi quindi alle impostazioni della posta elettronica e:

1. cambia la password;
2. attiva la verifica in due passaggi;
3. controlla i dispositivi collegati;
4. rimuovi sessioni che non riconosci;
5. verifica che email e numero di recupero non siano stati modificati;
6. controlla eventuali regole di inoltro automatico;
7. verifica la cartella del cestino e quella della posta inviata.

Utilizza una password differente da quella scelta per lo SPID.

Cosa fare se hai inserito i dati in un falso sito SPID

Se hai cliccato su un collegamento e hai inserito username, password, codice OTP o dati personali, considera le credenziali potenzialmente compromesse anche se la pagina ha mostrato un errore.

Procedi in questo ordine:

1. chiudi immediatamente il sito;
2. non scaricare file o applicazioni suggerite dalla pagina;
3. contatta il gestore SPID e chiedi la sospensione;
4. modifica la password dello SPID;
5. cambia la password dell’indirizzo email collegato;
6. controlla i dispositivi e le sessioni attive;
7. conserva l’email, il messaggio e l’indirizzo del falso sito;
8. verifica se sono state effettuate operazioni sui servizi pubblici;
9. segnala l’accaduto alle autorità se sono stati sottratti dati o documenti.

Le email sospette a tema SPID possono essere inoltrate alla casella malware@cert-agid.gov.it, indicata da AgID per le verifiche sui messaggi potenzialmente malevoli.

Non continuare a visitare la pagina fraudolenta e non provare a inserire dati falsi: potresti esporre ulteriormente il dispositivo o confermare ai truffatori che il tuo recapito è attivo.

Cosa fare se hai perso o ti hanno rubato il telefono

Lo smartphone viene spesso utilizzato per ricevere SMS, generare codici temporanei o approvare gli accessi SPID. In caso di smarrimento o furto è quindi necessario intervenire immediatamente.

Da un altro dispositivo:

• contatta il gestore SPID e chiedi la sospensione;
• blocca la SIM chiamando il tuo operatore telefonico;
• utilizza “Trova il mio dispositivo” su Android o “Dov’è” su iPhone;
• blocca il telefono da remoto;
• cambia la password dell’account Google o Apple;
• modifica la password dell’email principale;
• controlla eventuali applicazioni bancarie o di pagamento;
• presenta denuncia in caso di furto.

Il blocco della SIM è particolarmente importante perché impedisce, una volta completata la procedura dell’operatore, di ricevere normalmente sul dispositivo rubato i codici inviati tramite SMS.

Dopo aver recuperato il numero telefonico con una nuova SIM, contatta il gestore SPID per sapere come riattivare o riconfigurare correttamente l’autenticazione.

Controlla se sono state effettuate operazioni a tuo nome

Dopo aver messo in sicurezza lo SPID, controlla i principali servizi ai quali accedi abitualmente.

Puoi verificare:

• area personale INPS;
• dichiarazione precompilata dell’Agenzia delle Entrate;
• cassetto fiscale;
• Fascicolo Sanitario Elettronico;
• portali regionali;
• servizi comunali;
• app IO;
• portali per bonus e agevolazioni;
• servizi universitari;
• portali per il lavoro;
• pratiche amministrative presentate online.

Cerca domande, comunicazioni, deleghe, cambi di recapito, richieste di rimborso o altre operazioni che non riconosci.

Se trovi un’attività sospetta, contatta anche l’ente interessato. Il gestore SPID può intervenire sull’identità digitale, ma potrebbe non essere in grado di annullare direttamente un’operazione effettuata sul portale di un’altra amministrazione.

È possibile controllare tutti gli SPID attivati a proprio nome?

Un problema diverso dal semplice accesso sospetto riguarda la possibile creazione di una nuova identità SPID utilizzando documenti rubati.

AgID precisa che non esiste un sistema centralizzato attraverso il quale il cittadino possa verificare in una sola volta quanti SPID siano stati attivati a proprio nome. In caso di sospetto è necessario rivolgersi direttamente ai diversi Identity Provider per chiedere informazioni; in assenza di risposta, è possibile segnalare il mancato riscontro ad AgID.

Questa verifica può essere utile quando:

• hai inviato foto dei documenti a un falso sito;
• hai registrato un video di riconoscimento seguendo istruzioni sospette;
• hai perso carta d’identità o tessera sanitaria;
• ricevi comunicazioni da gestori SPID mai utilizzati;
• scopri pratiche o account creati senza il tuo consenso.

In questi casi conserva tutta la documentazione e valuta di presentare denuncia per furto o utilizzo fraudolento dell’identità.

Quando segnalare o denunciare l’accaduto

Una semplice richiesta di accesso rifiutata non significa necessariamente che il tuo account sia stato utilizzato. La denuncia diventa però opportuna quando emergono elementi concreti, come:

• accessi realmente autorizzati da terzi;
• modifica dei dati personali;
• pratiche presentate a tuo nome;
• furto di documenti;
• sottrazione di denaro;
• attivazione fraudolenta di servizi;
• apertura di un nuovo SPID;
• perdita o furto del telefono;
• utilizzo illecito delle credenziali.

Conserva:

• screenshot delle notifiche;
• email e SMS ricevuti;
• data e ora degli eventi;
• indirizzi dei siti sospetti;
• numeri telefonici utilizzati dai truffatori;
• comunicazioni del gestore;
• elenco delle operazioni non riconosciute;
• eventuali numeri di pratica.

Il portale del Commissariato di Pubblica Sicurezza online comprende tra i fatti segnalabili la frode informatica, la truffa e l’accesso abusivo a un sistema informatico o telematico.

Puoi consultare il sito ufficiale del Commissariato di P.S. online oppure recarti presso un ufficio della Polizia di Stato o dei Carabinieri.

Come riconoscere un falso messaggio SPID

I messaggi fraudolenti cercano quasi sempre di spaventare l’utente e spingerlo ad agire senza riflettere.

Presta attenzione a comunicazioni che parlano di:

• sospensione imminente dello SPID;
• identità digitale in scadenza;
• documenti da aggiornare urgentemente;
• rimborso INPS disponibile;
• anomalia fiscale;
• blocco del Fascicolo Sanitario;
• accesso sospetto da verificare tramite link;
• bonus da confermare;
• richiesta di caricare carta d’identità e tessera sanitaria.

Controlla anche:

• l’indirizzo reale del mittente;
• la presenza di errori grammaticali;
• domini strani o molto lunghi;
• richieste di password e codici OTP;
• allegati inattesi;
• pressioni a completare l’operazione entro pochi minuti;
• numeri telefonici da richiamare presenti nel messaggio.

Il logo di un ente non dimostra che la comunicazione sia autentica. Immagini e intestazioni possono essere copiate facilmente.

Come proteggere lo SPID dagli accessi non autorizzati

Dopo aver risolto il problema, adotta alcune misure preventive.

Usa password diverse

Non riutilizzare la password SPID per email, social network, siti di acquisti o altri servizi. In caso di violazione di uno di questi account, i criminali potrebbero provare automaticamente le stesse credenziali sul tuo Identity Provider.

Proteggi il telefono con un blocco sicuro

Imposta un PIN di almeno sei cifre, una password o un sistema biometrico. Evita sequenze semplici come 000000, 123456 o la data di nascita.

Mantieni aggiornate le applicazioni

Installa gli aggiornamenti del sistema operativo, dell’app del gestore SPID e del browser. Scarica le applicazioni esclusivamente dal Google Play Store, dall’App Store o dal sito ufficiale del fornitore.

Non autorizzare richieste inattese

Ogni richiesta di autenticazione deve corrispondere a un’azione appena avviata da te. Se non stai entrando in un servizio, rifiuta la notifica.

Controlla sempre il servizio visualizzato

Prima di autorizzare, leggi il nome del portale che richiede l’accesso. Se stai entrando nell’area INPS ma la schermata mostra un servizio differente, interrompi l’operazione.

Non condividere documenti senza verificarne il motivo

Carta d’identità, tessera sanitaria, selfie e video di riconoscimento possono essere utilizzati per tentativi di furto d’identità. Prima di caricarli, controlla attentamente il sito e il soggetto che li richiede.

Pro tip: crea una procedura di emergenza personale

Salva nei preferiti del browser la pagina ufficiale del tuo Identity Provider e annota, in un luogo sicuro, il numero dell’assistenza e le modalità per sospendere lo SPID.

In questo modo, in caso di accesso sospetto o furto del telefono, non dovrai cercare informazioni in fretta e non rischierai di utilizzare numeri o collegamenti pubblicati dai truffatori.

Non memorizzare nello stesso documento password, PIN e codici di recupero.

Link utili

• Portale ufficiale SPID
• Assistenza degli Identity Provider
• Agenzia per l’Italia Digitale
• CERT-AgID
• Commissariato di P.S. online
• Portale INPS
• Agenzia delle Entrate

Domande frequenti su SPID e accessi sospetti

Ho ricevuto un codice SPID senza averlo richiesto: cosa significa?

Potrebbe essere stato inserito per errore il tuo nome utente oppure qualcuno potrebbe conoscere le tue credenziali e stare tentando di completare l’accesso. Non comunicare il codice, cambia la password e controlla l’account del tuo gestore.

Devo bloccare subito lo SPID?

La sospensione è consigliata quando hai inserito i dati in un sito falso, comunicato un codice OTP, perso il telefono, approvato una richiesta sconosciuta o notato modifiche e operazioni non autorizzate. Per un singolo tentativo fallito, cambia la password e contatta il gestore se l’evento si ripete.

Come posso vedere chi ha utilizzato il mio SPID?

Le funzioni disponibili cambiano in base al gestore. Controlla l’area personale, le notifiche e le email ricevute. Verifica inoltre direttamente i portali pubblici che utilizzi per individuare eventuali pratiche o modifiche non riconosciute.

AgID può bloccare direttamente il mio SPID?

La gestione delle credenziali è affidata all’Identity Provider che ha rilasciato l’identità. Per blocco, sospensione, recupero o modifica della password devi quindi contattare il tuo gestore SPID.

Cosa devo fare se ho approvato per errore un accesso?

Contatta immediatamente l’Identity Provider, chiedi la sospensione delle credenziali, cambia la password SPID e quella dell’email collegata. Successivamente controlla i servizi pubblici per verificare la presenza di operazioni anomale.

Posso cambiare il numero di telefono associato allo SPID?

Generalmente sì, ma la procedura dipende dal gestore. Può essere disponibile nell’area personale oppure richiedere una verifica aggiuntiva dell’identità. Utilizza solamente il sito o l’app ufficiale.

La polizia può intervenire per un furto di identità SPID?

Sì. Quando esistono accessi, pratiche o attivazioni fraudolente, raccogli le prove e rivolgiti alla Polizia Postale, alla Polizia di Stato o ai Carabinieri. La documentazione può essere utile anche per contestare le operazioni agli enti interessati.

Approfondisci anche:

• Come fare lo SPID nel 2026: guida passo passo
• SPID Poste a pagamento: costo, esenzioni e rinnovo
• PosteID: come accedere con SPID e risolvere i problemi

Conclusione

Quando ricevi una segnalazione di accesso sospetto SPID, la prima regola è non approvare richieste e non utilizzare i link presenti nei messaggi. Accedi direttamente all’app o al sito del tuo Identity Provider, cambia la password e chiedi la sospensione se esiste il rischio che le credenziali siano state sottratte.

Proteggi anche l’indirizzo email e il numero telefonico collegati, controlla le attività presenti sui portali della Pubblica Amministrazione e conserva tutte le prove di eventuali operazioni non riconosciute.

Agire rapidamente può impedire che un semplice tentativo di accesso si trasformi in un vero furto d’identità. Condividi questa guida con familiari e persone meno esperte: riconoscere tempestivamente una richiesta SPID anomala è il primo passo per proteggere i propri dati e i servizi digitali personali.