Identità digitale: cos’è, da cosa è composta e come proteggerla

L’identità digitale è l’insieme dei dati e delle credenziali che identificano in modo univoco una persona (o un’organizzazione) nel mondo online, permettendo ai sistemi informatici di riconoscerla con certezza. Comprende i dati anagrafici digitalizzati, le credenziali di accesso, le identità istituzionali come SPID e CIE, i profili social, l’identità finanziaria e i dati biometrici. Sul piano normativo, il DPCM 24 ottobre 2014 la definisce come la rappresentazione informatica della corrispondenza biunivoca tra un utente e i suoi attributi identificativi, verificata attraverso l’insieme dei dati raccolti e registrati in forma digitale.

In altre parole, l’identità digitale è ciò che “siamo” per una banca, un social network, la Pubblica Amministrazione o un e-commerce quando non ci vedono di persona. Proprio perché ha effetti giuridici ed economici concreti, è diventata un bene da tutelare: quando qualcuno se ne appropria può agire al posto nostro, aprire conti, firmare atti, contrarre debiti o commettere reati a nostro nome. In questa guida vediamo cos’è l’identità digitale, di quali elementi è composta, come funziona in Italia tra SPID, CIE e IT-Wallet, quali sono i rischi e come difenderla.

Cos’è l’identità digitale:

L’identità digitale è la proiezione della nostra identità nel mondo online. Nel mondo fisico ci identifichiamo con un documento (carta d’identità, patente, passaporto); in rete ci identifichiamo con un insieme di dati e credenziali che i sistemi informatici associano in modo univoco a noi. Questa corrispondenza tra la persona e i suoi attributi è il cuore della definizione data dal DPCM 24 ottobre 2014, il decreto che ha istituito lo SPID.

Rispetto all’identità “tradizionale”, legata a documenti materiali, l’identità digitale ha alcune caratteristiche proprie. È distribuita, perché non risiede in un solo luogo ma in decine di servizi diversi (email, banche, social, portali pubblici). È dinamica, perché cresce e cambia nel tempo con ogni nuovo account e ogni nuovo dato che lasciamo online. Ed è verificabile a distanza, senza bisogno della presenza fisica della persona. Proprio queste caratteristiche la rendono comoda ma anche vulnerabile: basta appropriarsi delle credenziali giuste per “diventare” qualcun altro agli occhi dei sistemi informatici.

Di cosa è composta l’identità digitale:

L’identità digitale non è un singolo dato, ma un mosaico di informazioni. Conoscerne le componenti aiuta a capire dove si annidano i rischi e cosa occorre proteggere.

Dati anagrafici e identificativi:

Nome, cognome, data e luogo di nascita, codice fiscale, indirizzo di residenza, numero di documento. Sono gli attributi di base che collegano l’identità digitale alla persona reale e che compaiono in qualsiasi registrazione a un servizio.

Credenziali di accesso:

Username, indirizzi email, numeri di telefono, password, PIN, token e codici di autenticazione a due fattori. Sono le “chiavi” che aprono i singoli account. L’email principale, in particolare, è una porta di accesso a tutti gli altri servizi, perché consente di attivare le procedure di recupero password.

Identità digitale istituzionale:

SPID, Carta d’Identità Elettronica (CIE) e Tessera Sanitaria – CNS sono le identità rilasciate dallo Stato per accedere ai servizi della Pubblica Amministrazione. Hanno il livello di rischio più alto, perché permettono di operare su INPS, Agenzia delle Entrate, fascicolo sanitario e pratiche personali.

Identità sui social e reputazione digitale:

Profili Facebook, Instagram, LinkedIn, TikTok, foto, contenuti pubblicati, cerchia di contatti. Insieme costituiscono la reputazione online della persona, un patrimonio immateriale che può essere danneggiato da profili clonati o da contenuti diffamatori.

Identità finanziaria:

Credenziali di home banking, dati delle carte di pagamento, IBAN, wallet e conti su piattaforme di e-commerce. Sono l’obiettivo diretto della gran parte delle frodi.

Dati biometrici e comportamentali:

Impronte digitali, riconoscimento facciale, ma anche le tracce comportamentali (cronologia, geolocalizzazione, abitudini di acquisto) che i servizi raccolgono e che concorrono a profilare l’utente.

I tipi di identità digitale:

La stessa persona possiede, di fatto, più identità digitali che convivono. Possiamo distinguerle in quattro categorie principali.

L’identità digitale pubblica o istituzionale è quella rilasciata dallo Stato (SPID, CIE) e serve a interagire con la Pubblica Amministrazione con pieno valore legale. L’identità digitale privata o commerciale è quella che creiamo registrandoci a servizi privati: banca, e-commerce, streaming, utenze. L’identità social è il profilo che costruiamo sulle piattaforme relazionali e che spesso coincide con la nostra immagine pubblica. L’identità professionale, infine, è quella che ci rappresenta in ambito lavorativo (LinkedIn, firme digitali, PEC, account aziendali) e che ha ricadute dirette sulla reputazione e sul business.

Queste identità non sono compartimenti stagni: sono collegate tra loro. La compromissione di una (per esempio l’email) può innescare a cascata la compromissione delle altre. È uno dei motivi per cui la protezione dell’identità digitale va pensata in modo unitario.

L’identità digitale in Italia: SPID, CIE e IT-Wallet:

In Italia il sistema dell’identità digitale pubblica è oggi in una fase di transizione. Ne fanno parte lo SPID, la CIE e il nuovo IT-Wallet, il tutto dentro un quadro europeo in via di consolidamento.

Lo SPID (Sistema Pubblico di Identità Digitale) è nato nel 2016 come sistema di credenziali fornite da gestori privati accreditati (identity provider). Resta pienamente valido e utilizzabile, ma non è più la soluzione strategica su cui punta il Paese: le convenzioni con gli identity provider sono state prorogate per garantire continuità, mentre è avviata una dismissione progressiva.

La CIE (Carta d’Identità Elettronica) è lo strumento designato per diventare la credenziale nazionale unica. A differenza dello SPID è un documento rilasciato direttamente dallo Stato (Ministero dell’Interno) e consente l’accesso alla quasi totalità dei servizi pubblici tramite l’app CieID e la tecnologia NFC dello smartphone.

L’IT-Wallet è il portafoglio digitale italiano, integrato nell’app IO e gestito da PagoPA, pensato per raccogliere in un unico posto le versioni digitali dei documenti (patente, tessera sanitaria, carta europea della disabilità, e progressivamente ISEE, titoli di studio e altri attestati). L’accesso avviene tramite SPID o CIE.

Sul piano europeo, il Regolamento UE 2024/1183 (la cosiddetta riforma eIDAS 2.0, in vigore dal 20 maggio 2024) impone a ogni Stato membro di mettere a disposizione almeno un portafoglio di identità digitale interoperabile, l’EUDI Wallet (European Digital Identity Wallet), entro la fine del 2026. La novità di fondo del wallet europeo non è tanto l’accesso ai servizi, quanto la logica delle credenziali verificabili: la possibilità di dimostrare un singolo attributo (l’età, la residenza, una qualifica) condividendo solo il dato necessario e nulla di più, secondo il principio di minimizzazione dei dati. L’IT-Wallet italiano è progettato per allinearsi a questa infrastruttura.

Perché l’identità digitale è importante e va protetta:

L’identità digitale non è un’astrazione tecnica: ha effetti concreti sul patrimonio, sui diritti e sulla reputazione della persona. Con le credenziali giuste si accede a conti bancari, si firmano documenti, si presentano istanze alla Pubblica Amministrazione, si contraggono obbligazioni. Per questo la sua tutela è oggi centrale tanto quanto quella dei documenti fisici.

Il tema è tutt’altro che teorico. Il furto di identità digitale è un fenomeno in forte crescita, alimentato da data breach su larga scala, campagne di phishing sempre più sofisticate e dalla facilità con cui, sui social, chiunque può creare un profilo con le generalità di un’altra persona. Le conseguenze vanno dal danno economico diretto (bonifici non autorizzati, finanziamenti aperti a nome della vittima) al danno reputazionale (profili clonati, contenuti diffamatori), fino al paradosso di essere indagati per reati commessi da altri con la propria identità.

I rischi: furto e sostituzione di identità:

Le due minacce principali per l’identità digitale sono il furto di identità e la sostituzione di persona. Sono concetti collegati ma distinti, e a ciascuno abbiamo dedicato un approfondimento specifico.

Il furto di identità digitale consiste nell’appropriazione indebita dei dati e delle credenziali che identificano una persona online, allo scopo di sostituirsi a essa per ottenere un vantaggio o per arrecarle un danno. Avviene attraverso tecniche come phishing, data breach, SIM swap, malware e credential stuffing. Nella nostra guida dedicata trovi in dettaglio come avviene il furto di identità digitale, come riconoscerlo e cosa fare se ne sei vittima.

La sostituzione di persona è la condotta di chi si finge un’altra persona, tipicamente creando un profilo social falso con il nome o le foto di qualcun altro. È disciplinata dall’articolo 494 del Codice Penale e diventa penalmente rilevante quando il profilo fittizio è creato per ingannare altri e ottenere un vantaggio o arrecare un danno. Abbiamo spiegato quando scatta il reato nella pagina dedicata alla sostituzione di persona online.

Sul piano giuridico, l’ordinamento italiano non prevede una fattispecie autonoma chiamata “furto di identità digitale”: la tutela passa attraverso più norme che possono concorrere tra loro, tra cui l’articolo 494 c.p. (sostituzione di persona), l’articolo 640-ter c.p. (frode informatica, con una specifica aggravante quando il fatto è commesso con sostituzione dell’identità digitale), l’articolo 615-ter c.p. (accesso abusivo a sistema informatico) e le norme del Codice Privacy sul trattamento illecito dei dati.

Identità digitale e truffe online: riconoscere i siti pericolosi:

Una parte consistente dei furti di identità comincia da un sito fraudolento: una pagina che imita quella di una banca, di un corriere o di un e-commerce per indurre l’utente a inserire i propri dati. Saper riconoscere un sito non affidabile è quindi una delle prime difese dell’identità digitale.

Un errore diffuso è credere che il lucchetto nella barra del browser o la presenza dell’HTTPS bastino a garantire la sicurezza: indicano solo che la connessione è cifrata, non che dietro il sito ci siano soggetti onesti. Per valutare davvero l’affidabilità di un portale occorre verificare l’autenticità del dominio, la presenza di dati societari e partita IVA, la reputazione e i metodi di pagamento. Nella guida come capire se un sito è sicuro trovi la checklist completa dei controlli, gli strumenti gratuiti da usare e i segnali d’allarme dei negozi online falsi.

Come proteggere la propria identità digitale:

La protezione dell’identità digitale si costruisce con poche buone abitudini, che coprono la gran parte dei rischi quotidiani.

• Usa un password manager per generare e custodire password uniche per ogni servizio, evitando di riutilizzare la stessa credenziale su più piattaforme.
• Attiva l’autenticazione a due fattori ovunque possibile, preferendo le app dedicate (TOTP) o le chiavi hardware rispetto ai codici via SMS, più esposti al SIM swap.
• Diffida dei messaggi urgenti che chiedono credenziali o dati: nessuna banca o ente pubblico li richiede via email o SMS. Verifica sempre contattando i canali ufficiali.
• Riduci la tua impronta digitale pubblica, limitando le informazioni personali sui social e rivedendo le impostazioni di privacy. Meno dati sono esposti, meno materiale hanno a disposizione i truffatori.
• Proteggi l’identità istituzionale: custodisci con cura le credenziali SPID e CIE e i relativi PIN, e verifica periodicamente gli accessi ai portali della Pubblica Amministrazione.
• Controlla se le tue email sono state compromesse tramite i servizi di monitoraggio dei data breach, e cambia subito le password dei servizi coinvolti.
• Tieni aggiornati sistema operativo, browser e applicazioni: buona parte degli attacchi sfrutta vulnerabilità già note e già corrette.

Identità digitale compromessa: cosa fare e il ruolo dell’agenzia investigativa:

Quando l’identità digitale viene compromessa, la denuncia alla Polizia Postale è il punto di partenza obbligatorio. I tempi delle indagini ufficiali, però, non sono sempre rapidi, e in molti casi (soprattutto quando l’autore è un soggetto vicino alla vittima o quando occorre raccogliere prove tecnicamente solide per un’azione civile di risarcimento) il supporto di un’agenzia investigativa specializzata può risultare determinante.

Svolgiamo indagini in ambito informatico con investigatori dipendenti dell’agenzia, affiancando il cliente e i suoi legali su quattro fronti complementari a quello degli organi pubblici.

• Cristallizzazione delle prove digitali: acquisizione formale di screenshot, pagine web, chat, log e metadati con data certa e garanzia di integrità, così che la prova mantenga valore in giudizio. Un semplice screenshot o un PDF, da soli, sono modificabili e privi di data certa: non hanno lo stesso valore probatorio.
• Indagini per risalire agli autori: ricostruzione tecnica dell’attacco e attività di OSINT e SOCMINT per identificare i responsabili, con particolare efficacia nei casi in cui l’autore è una persona dell’ambiente del cliente.
• Tutela preventiva: analisi continua dell’esposizione del cliente sul web e sui social, per individuare in anticipo profili clonati, dati esposti o tentativi di profilazione a fini illeciti.
• Indagini reputazionali: monitoraggio di contenuti diffamatori o lesivi e raccolta di prove utili per eventuali azioni di rimozione o risarcimento.

Agenzia Investigativa delle Alpi opera dal 1992 con autorizzazione prefettizia ex art. 134 T.U.L.P.S. (Prefettura di Torino), a Torino, in Piemonte e su tutto il territorio nazionale e internazionale. L’Agenzia è specializzata in indagini in ambito giuslavoristico e impiega strumenti investigativi avanzati (OSINT, SOCMINT, intelligence, localizzazione satellitare GPS), con risultanze valide in giudizio. Al termine viene fornito il rapporto investigativo, utilizzabile in sede di denuncia e nei successivi procedimenti civili e penali. Per una valutazione del caso è possibile richiedere un colloquio con il responsabile.