C’è una forma di truffa online che non si limita a svuotare un conto o a far sparire un pacco mai spedito: è quella in cui il criminale non ruba qualcosa alla vittima, ma ne assume direttamente l’identità. Con le credenziali giuste in mano, un malintenzionato può accedere alla posta elettronica, rispondere ai contatti della vittima, aprire finanziamenti a suo nome, persino presentarsi ai servizi pubblici digitali come se fosse lei. Il furto d’identità digitale è ormai il moltiplicatore di quasi tutte le frodi in rete, e i numeri — come raccontato anche su queste pagine a proposito delle oltre 64mila truffe online registrate nel 2025, con i senior tra i più colpiti — dicono che il fenomeno non accenna a rallentare.
Come avviene il furto d’identità
Il punto di partenza è quasi sempre lo stesso: le credenziali di accesso. I criminali le ottengono in tre modi principali.
Il primo è il phishing, in tutte le sue varianti: email che imitano la banca, SMS che segnalano un pacco in giacenza, telefonate di finti operatori che chiedono di “verificare i dati”. Le versioni più recenti sono sempre più curate, con loghi perfetti, italiano corretto e persino numeri di telefono contraffatti che sembrano quelli ufficiali. La Polizia Postale mette regolarmente in guardia su queste campagne, che si intensificano in periodi precisi: saldi, dichiarazione dei redditi, festività.
Il secondo canale sono le violazioni di dati subite dalle aziende. Quando un sito viene compromesso, gli archivi di email e password degli utenti finiscono in vendita nei circuiti criminali. Chi usa la stessa password su più servizi si trova esposto ovunque: basta una sola violazione, magari di un vecchio forum dimenticato, per consegnare ai truffatori le chiavi della propria casella di posta o dell’home banking.
Il terzo è il più sottovalutato: le informazioni che pubblichiamo spontaneamente. Data di nascita, nome del cane, squadra del cuore, città natale — tutto materiale che i criminali incrociano per indovinare password e risposte alle domande di sicurezza, o per costruire truffe su misura, come le finte emergenze familiari telefoniche che colpiscono soprattutto gli anziani.
Perché la posta elettronica è il bersaglio numero uno
Tra tutti gli account, quello email è il più prezioso per un truffatore, perché è il passe-partout di tutti gli altri: da lì passano i link di recupero password di banche, social, e-commerce e servizi pubblici. Chi controlla la casella di posta può reimpostare le credenziali di qualsiasi servizio collegato e, nel giro di poche ore, “diventare” digitalmente la vittima. Non a caso, molte frodi scoperte a distanza di mesi — finanziamenti mai richiesti, SIM intestate a sconosciuti, acquisti fantasma — cominciano proprio da una casella email compromessa in silenzio.
Le difese che funzionano davvero
La buona notizia è che le contromisure efficaci sono poche, semplici e alla portata di tutti.
La prima riguarda proprio le credenziali: ogni servizio deve avere una password lunga, unica e priva di riferimenti personali. Poiché inventarne e ricordarne decine è impossibile, il consiglio degli esperti è di non farlo a mano: un generatore password crea in pochi secondi combinazioni lunghe e realmente casuali, da conservare poi in un gestore dedicato anziché su foglietti o file di testo. Così, anche se un sito viene violato, il danno resta confinato a quel singolo account.
La seconda è l’autenticazione a due fattori, da attivare almeno su email, banca e SPID: il codice temporaneo richiesto oltre alla password rende inutilizzabili le credenziali rubate. È la singola misura che, da sola, blocca la stragrande maggioranza dei tentativi di accesso abusivo.
La terza è comportamentale: mai cliccare link ricevuti via SMS o email per accedere a banca o servizi pubblici — meglio digitare l’indirizzo a mano o usare l’app ufficiale — e diffidare di qualsiasi comunicazione che metta fretta. L’urgenza è la firma del truffatore: “il suo conto sarà bloccato entro un’ora”, “confermi subito i dati”. Nessuna banca e nessun ente pubblico opera così.
Infine, controllare periodicamente i propri movimenti bancari e la propria casella email (comprese le regole di inoltro automatico, che i criminali usano per spiare la posta senza farsi notare) permette di accorgersi in tempo di anomalie.
Se il danno è fatto
Chi scopre di essere vittima di un furto d’identità deve muoversi in fretta: cambiare immediatamente le password partendo dall’email, revocare gli accessi sospetti, avvisare la propria banca e sporgere denuncia. La denuncia non è una formalità: è ciò che tutela la vittima da eventuali debiti o contratti stipulati a suo nome ed è indispensabile per contestarli.
Il furto d’identità digitale prospera sulla convinzione che “tanto a me non capita”. I dati dicono il contrario: capita, e sempre più spesso, a persone di ogni età e livello di istruzione. La differenza tra chi subisce un danno grave e chi se la cava con uno spavento sta quasi sempre in quei tre accorgimenti di base — credenziali robuste e uniche, secondo fattore attivo, sana diffidenza — che richiedono un pomeriggio di impegno e valgono anni di tranquillità.
