Furto di identità digitale: cos’è, come avviene, come difendersi e cosa fare se ne sei vittima

Il furto di identità digitale è oggi una delle minacce più diffuse e sottovalutate del nostro panorama informatico. Secondo il Rapporto Clusit 2025, nel 2024 in Italia si sono verificati 357 attacchi informatici gravi, con un aumento del 15,2% rispetto all’anno precedente, e a livello globale gli incidenti legati al furto di identità e al cracking degli account hanno registrato una crescita del +135%. L’Italia, pur rappresentando appena l’1% del PIL mondiale, ha subito il 10% degli attacchi globali, confermandosi un bersaglio sproporzionatamente attrattivo per i criminali informatici.

Dietro questi numeri c’è un fenomeno che colpisce ogni giorno migliaia di privati cittadini: profili social clonati, SPID rubati, conti correnti svuotati, prestiti aperti a nome della vittima ignara. In questo articolo vediamo nel dettaglio cos’è il furto di identità digitale, come avviene, quali rischi comporta, come riconoscerlo, come difendersi e cosa fare se ne sei vittima.

Cos’è il furto di identità digitale:

Il furto di identità digitale consiste nell’appropriazione indebita dei dati personali e delle credenziali che identificano una persona online, allo scopo di sostituirsi a essa per ottenere un vantaggio o per arrecarle un danno. A differenza del furto di identità “tradizionale” — legato a documenti fisici come carta d’identità o patente — il furto di identità digitale ha come oggetto l’insieme delle informazioni che ci rappresentano nel mondo online: credenziali di accesso, SPID, carta d’identità elettronica (CIE), account social, email, profili bancari, codici fiscali, IBAN, dati biometrici.

Il DPCM 24 ottobre 2014 definisce l’identità digitale come “la rappresentazione informatica della corrispondenza biunivoca tra un utente e i suoi attributi identificativi, verificata attraverso l’insieme dei dati raccolti e registrati in forma digitale”. In sostanza, è ciò che permette ai sistemi informatici di riconoscerci con certezza. Quando qualcuno se ne appropria, può agire al posto nostro: aprire conti, firmare contratti, pubblicare contenuti, contrarre debiti, commettere reati a nostro nome.

L’ordinamento italiano non prevede una fattispecie penale autonoma denominata “furto di identità digitale”. La condotta viene ricondotta a una pluralità di reati esistenti, primo fra tutti la sostituzione di persona disciplinata dall’articolo 494 del Codice Penale, e include spesso anche frode informatica, indebito utilizzo di strumenti di pagamento, accesso abusivo a sistema informatico e violazioni della disciplina sulla protezione dei dati personali. Su questo torniamo più avanti.

Come avviene il furto di identità digitale: le tecniche più diffuse:

I criminali informatici dispongono oggi di un arsenale tecnico ampio e in continua evoluzione. Conoscerne le modalità è il primo passo per riconoscere i tentativi e proteggersi efficacemente. Ecco le tecniche più frequenti.

Phishing, smishing e vishing:

Il phishing è la tecnica più diffusa: la vittima riceve un’email apparentemente legittima — dalla banca, dalle Poste, dall’Agenzia delle Entrate, da un corriere — che la invita a cliccare un link e inserire le proprie credenziali su una pagina contraffatta. Lo smishing è la stessa truffa veicolata via SMS, il vishing tramite chiamata vocale. Secondo il Rapporto Acronis 2025, in Italia gli attacchi di phishing sono aumentati del 18% rispetto all’anno precedente. Con la diffusione dell’intelligenza artificiale, i messaggi sono oggi linguisticamente impeccabili e personalizzati sulla base di dati raccolti in precedenza.

Data breach e dark web:

Quando un’azienda subisce una violazione dei propri sistemi, milioni di credenziali finiscono spesso in vendita su forum del dark web. Il Garante per la Protezione dei Dati Personali ha registrato 2.204 notifiche di data breach nel 2024. Una volta esposti, indirizzi email, password, codici fiscali e numeri di telefono diventano materia prima per ulteriori frodi. L’Osservatorio Cyber CRIF 2026 evidenzia che indirizzo email (48,6%) e codice fiscale (42,2%) sono i dati più frequentemente trovati nel dark web italiano.

Social engineering e profilazione OSINT

Prima di colpire, gli attaccanti più sofisticati raccolgono informazioni pubbliche sulla vittima: profili social, foto, contatti, abitudini, luoghi frequentati, interessi. Queste informazioni — disponibili in modo del tutto legale — vengono usate per costruire attacchi mirati altamente credibili (spear phishing) o per rispondere alle domande di sicurezza dei servizi online.

Malware, infostealer e keylogger:

Software malevoli installati sul dispositivo della vittima — spesso tramite allegati email o app contraffatte — registrano password, screenshot, sessioni del browser, cookie di autenticazione. Gli infostealer moderni come RedLine, Vidar e Lumma sono in grado di esfiltrare migliaia di credenziali in pochi secondi e di aggirare l’autenticazione a due fattori riutilizzando le sessioni.

SIM swap:

Il criminale si presenta presso un operatore telefonico (o lo contatta) sostituendosi alla vittima e ottiene una nuova SIM con il suo numero. Da quel momento riceve i codici di verifica via SMS e può prendere il controllo di conti bancari, SPID, account social. Il SIM swap è particolarmente insidioso perché aggira gran parte delle protezioni a due fattori basate su SMS.

Credential stuffing:

Le combinazioni email-password rubate da un servizio vengono provate automaticamente su decine di altri siti. La pratica è efficace perché molti utenti riutilizzano la stessa password su più piattaforme. Bastano poche ore di test automatizzati per identificare gli account riutilizzabili.

Skimming digitale e form jacking:

Codice malevolo iniettato in siti di e-commerce legittimi cattura i dati di pagamento al momento del checkout. La vittima completa l’acquisto regolarmente, ma i suoi dati di carta vengono dirottati ai criminali.

Chi compie il furto di identità digitale:

Contrariamente all’immaginario, gran parte dei furti di identità non è opera di hacker geniali in stanze buie ma di tre categorie ben distinte di soggetti.

I cybercriminali organizzati, spesso strutturati come vere e proprie aziende criminali con divisione di compiti e fornitori specializzati, gestiscono operazioni di phishing su scala industriale, mercati neri di credenziali, servizi “as-a-service” venduti ad altri criminali. Operano principalmente per profitto finanziario e si concentrano su frodi bancarie, ransomware con esfiltrazione dati e rivendita di identità complete.

Gli hacker individuali prendono di mira singoli profili per motivazioni eterogenee: vendetta, stalking, doxxing, semplice sfida tecnica. Spesso colpiscono persone con cui hanno avuto un rapporto pregresso.

Una categoria spesso trascurata ma estremamente rilevante è quella delle persone vicine alla vittima: ex partner, familiari, colleghi, soci d’affari. Conoscono già parte delle informazioni necessarie a violare gli account (data di nascita, animale domestico, scuola frequentata, città di nascita) e possono accedere fisicamente ai dispositivi. Nei casi di separazione conflittuale, contenzioso lavorativo o societario, il furto di identità digitale è una modalità di danneggiamento sempre più frequente.

Cosa rischi se ti rubano l’identità: le conseguenze concrete:

Le conseguenze di un furto di identità digitale vanno ben oltre il semplice fastidio di dover cambiare qualche password. Ecco cosa rischi davvero.

Danno economico diretto. Bonifici non autorizzati dal tuo conto, acquisti fraudolenti con la tua carta, prestiti personali e finanziamenti aperti a tuo nome che dovrai contestare. La rilevazione tardiva può comportare la segnalazione come cattivo pagatore presso CRIF e centrali rischi, con conseguenze sull’accesso al credito per anni.

Danno reputazionale. Profili social clonati che pubblicano contenuti diffamatori, offensivi o sessualmente espliciti a tuo nome. Email inviate ai tuoi contatti professionali per truffarli o screditarti. Recensioni false. Annunci illeciti pubblicati con la tua identità. Nei contesti professionali — soprattutto in ruoli di responsabilità — i danni reputazionali possono protrarsi per anni anche dopo aver risolto il problema tecnico.

Danno penale paradossale. Reati commessi con la tua identità per cui rischi tu di essere indagato: truffe ai danni di terzi, vendite di prodotti falsi su marketplace, diffusione di contenuti illeciti, intestazione fittizia di SIM utilizzate per attività criminali. Anche dopo aver dimostrato la tua estraneità, il fascicolo a tuo carico può richiedere mesi per essere archiviato.

Casi specifici sempre più frequenti:

• SPID rubato: chi possiede il tuo SPID può accedere all’INPS, all’Agenzia delle Entrate, ai servizi sanitari, ottenere certificati, presentare istanze, dirottare pensioni e bonus, modificare l’IBAN dei rimborsi fiscali.
• Carta d’identità elettronica (CIE) compromessa: consente di firmare digitalmente atti e documenti.
• Account Facebook o Instagram clonati: usati per truffe romantiche, vendite fittizie, phishing nei confronti dei tuoi contatti, estorsioni.
• Email principale violata: porta d’accesso a tutti gli altri servizi, perché consente di azionare la procedura di “password dimenticata” su qualsiasi sito.

Stress psicologico. La gestione delle conseguenze — denunce, contestazioni, blocchi, ripristini — può richiedere mesi, durante i quali la vittima vive in uno stato di vulnerabilità e di lotta amministrativa estenuante.

Come capire se ti hanno rubato l’identità: i segnali da non ignorare:

Riconoscere precocemente un furto d’identità riduce drasticamente i danni. Questi sono i segnali più comuni a cui prestare attenzione.

Notifiche di accesso da dispositivi o località che non riconosci. Email di conferma per registrazioni, acquisti o operazioni che non hai effettuato. Codici di autenticazione a due fattori ricevuti senza averli richiesti. Movimenti sospetti sul conto corrente o sulla carta. Messaggi dai tuoi contatti che ti chiedono se hai davvero scritto loro qualcosa di strano. Amici che ricevono richieste di amicizia da un profilo identico al tuo. Improvvisa impossibilità di accedere a un tuo account, con la password che “non funziona più”. Comparsa del tuo numero di telefono come “non più attivo” senza che tu abbia fatto nulla (campanello d’allarme di un possibile SIM swap). Richieste di pagamento, solleciti, comunicazioni da finanziarie o banche per contratti che non riconosci. Comparsa del tuo indirizzo email o numero di telefono nei principali servizi di monitoraggio breach (come Have I Been Pwned). Posta cartacea che smette improvvisamente di arrivare, segno che qualcuno potrebbe aver fatto richiesta di reindirizzamento a tuo nome.

Anche un solo segnale dovrebbe bastare per attivare un controllo immediato. La combinazione di due o più segnali è praticamente certezza di compromissione in corso.

Cosa dice la legge italiana sul furto di identità digitale:

Come anticipato, l’ordinamento italiano non conosce una fattispecie penale unitaria. La tutela passa attraverso un mosaico di norme che, applicate in concorso, coprono la gran parte delle condotte.

L’articolo 494 del Codice Penale (sostituzione di persona) punisce con la reclusione fino a un anno chiunque, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induce taluno in errore sostituendo illegittimamente la propria all’altrui persona o attribuendo a sé o ad altri un falso nome, un falso stato o una qualità a cui la legge attribuisce effetti giuridici. La giurisprudenza ha esteso da tempo l’applicazione dell’articolo ai casi consumati online: la creazione e l’utilizzo di un profilo social falso che riproduca le generalità o l’immagine di un altro soggetto integra pienamente il reato (Cass. Pen. n. 25774/2014; più di recente, Tribunale di Torre Annunziata, sent. 306/2025). Leggi articolo qua.

L’articolo 640-ter del Codice Penale (frode informatica) punisce con la reclusione da sei mesi a tre anni e una multa chi, alterando il funzionamento di un sistema informatico o intervenendo senza diritto su dati o programmi, procura a sé o ad altri un ingiusto profitto con altrui danno. Il D.L. 93/2014 (convertito dalla L. 119/2014) ha introdotto, al comma 3, una specifica circostanza aggravante quando il fatto è commesso con sostituzione dell’identità digitale in danno di uno o più soggetti: in questo caso la pena è della reclusione da due a sei anni e una multa fino a 3.000 euro. Leggi articolo qua.

L’articolo 493-ter del Codice Penale punisce l’indebito utilizzo e la falsificazione di carte di credito e di pagamento, con reclusione da uno a cinque anni e multa, fattispecie ricorrente quando al furto di identità si accompagna l’uso fraudolento di strumenti di pagamento. Leggi articolo qua.

L’articolo 615-ter del Codice Penale sanziona l’accesso abusivo a sistema informatico o telematico, applicabile quando il criminale entra in account o servizi violando le credenziali altrui. Leggi articolo qua.

Il Codice della Privacy (D.Lgs. 196/2003 come modificato in attuazione del GDPR) prevede inoltre, all’articolo 167, sanzioni penali per il trattamento illecito di dati personali, e apre la strada al risarcimento del danno civile per la vittima.

Il furto di identità digitale è dunque sempre un reato. Le pene possono cumularsi quando ricorrono più fattispecie, e la procedibilità è quasi sempre d’ufficio nei casi più gravi (frode informatica aggravata, accesso abusivo, indebito utilizzo di carte), mentre la sostituzione di persona è procedibile a querela di parte, da presentare entro tre mesi dalla conoscenza del fatto.

Cosa fare subito se sei vittima: la procedura passo-passo:

In caso di furto di identità digitale conta la rapidità. Ecco la sequenza operativa da seguire.

1. Cambia immediatamente le password degli account compromessi e di quelli che condividono la stessa password. Inizia da email principale, banca, SPID. Usa password lunghe, uniche, generate da un password manager.
2. Attiva l’autenticazione a due fattori ovunque possibile, preferibilmente con app dedicata (Google Authenticator, Authy) anziché SMS, per evitare il SIM swap.
3. Blocca le carte e i pagamenti contattando la banca o tramite app. Per le carte bancarie esiste la possibilità di chiedere il blocco e la sostituzione immediata.
4. Blocca lo SPID se compromesso, chiamando il proprio gestore (Aruba, Poste, InfoCert, TIM, Sielte, ecc.). Per la CIE compromessa, è possibile chiederne la revoca al Comune o tramite il portale dedicato del Ministero dell’Interno.
5. Raccogli e conserva tutte le prove: screenshot di profili clonati, header completi delle email sospette (non solo il testo), URL delle pagine fraudolente, log di accesso disponibili nei servizi compromessi, copie di SMS sospetti, comunicazioni con la banca. Questi elementi saranno fondamentali in sede di denuncia e per eventuale procedimento civile.
6. Sporgi denuncia alla Polizia Postale e per la Sicurezza Cibernetica. Puoi farlo presso un commissariato fisico oppure attraverso il portale online www.commissariatodips.it. La denuncia è gratuita ed è il presupposto per attivare le indagini ufficiali, per ottenere il blocco di profili fraudolenti dalle piattaforme e per far valere la tua estraneità in caso di reati commessi a tuo nome. Nel 2024 la Polizia Postale ha gestito oltre 9.300 casi e indagato 1.393 persone per reati informatici, fra cui il furto d’identità.
7. Segnala il profilo o l’attività fraudolenta direttamente alle piattaforme: Facebook, Instagram, LinkedIn, TikTok e i principali social hanno procedure dedicate per la segnalazione di profili che impersonano altri utenti. Allega la denuncia presentata, accelera il processo.
8. Monitora la tua posizione creditizia. Richiedi una visura presso CRIF, Experian e CTC per verificare l’esistenza di finanziamenti e contratti aperti a tuo nome. Se ne trovi di non riconosciuti, contesta formalmente con raccomandata e allegando la denuncia.
9. Comunica con i tuoi contatti se sai che il tuo profilo o la tua email sono stati usati per inviare messaggi truffaldini ai tuoi conoscenti. Avvisare per tempo evita ulteriori vittime e tutela la tua reputazione.
10. Valuta il supporto di professionisti specializzati. Un avvocato penalista può tutelarti nei procedimenti, un’agenzia investigativa può raccogliere prove tecnicamente valide e ricostruire l’attacco e identificare l’autore quando le indagini ordinarie risultano lente.

Come prevenire il furto di identità digitale: dieci buone pratiche:

La prevenzione è sempre più efficace ed economica della gestione del danno. Le pratiche che seguono coprono il 90% dei rischi quotidiani.

• Usa un password manager per generare e custodire password uniche per ogni servizio. Soluzioni come Bitwarden, 1Password e Proton Pass offrono opzioni gratuite o economiche per uso personale.
• Attiva l’autenticazione a due fattori su tutti gli account che la supportano. Preferisci app TOTP o chiavi hardware FIDO2 (Yubikey) rispetto agli SMS.
• Tieni sistemi e applicazioni aggiornati. Buona parte degli attacchi sfrutta vulnerabilità note per cui esiste già una patch.
• Diffida dei messaggi urgenti. Nessuna banca, ente pubblico o piattaforma chiede mai credenziali via email o SMS. La fretta e la paura sono leve classiche del social engineering: rallenta, verifica chiamando il numero ufficiale.
• Riduci la tua impronta digitale pubblica. Limita le informazioni personali sui social, rivedi le impostazioni di privacy, evita di pubblicare documenti, biglietti, ricevute con dati identificativi.
• Controlla periodicamente se le tue email sono compromesse su servizi come Have I Been Pwned. Se trovi un breach, cambia immediatamente la password di quel servizio e di ogni altro che condivida la stessa.
• Separa gli account. Usa un’email diversa per i servizi critici (banca, SPID) rispetto a quella usata per registrazioni a newsletter, app e siti meno importanti.
• Proteggi la SIM. La maggior parte degli operatori telefonici permette di richiedere un PIN o una conferma rafforzata per il cambio SIM. Attivalo.
• Usa una rete sicura per le operazioni sensibili. Evita home banking e accessi a SPID da reti Wi-Fi pubbliche; quando necessario, usa una VPN affidabile.
• Forma anche chi ti circonda. Familiari anziani e bambini sono spesso il punto debole della catena. Una breve conversazione su come riconoscere phishing e truffe vale più di qualsiasi soluzione tecnica.

Quando rivolgersi a un’agenzia investigativa:

La denuncia alla Polizia Postale è il punto di partenza obbligatorio, ma non sempre risolutivo. I tempi di indagine ufficiali possono essere lunghi, le risorse limitate, e in molti casi — soprattutto quando l’autore è un soggetto vicino alla vittima o quando occorre raccogliere prove tecnicamente solide per un’azione civile di risarcimento — il supporto di un’agenzia investigativa specializzata in informatica forense può fare la differenza.

L’investigatore privato può ricostruire la dinamica dell’attacco analizzando dispositivi, log e tracce digitali, identificare l’autore con tecniche di OSINT e SOCMINT, raccogliere prove utilizzabili in sede giudiziaria attraverso perizie di parte e consulenze tecniche, supportare la quantificazione del danno per eventuali richieste risarcitorie. È un lavoro che integra e completa quello degli organi pubblici, particolarmente utile nei casi di stalking digitale, contenziosi di lavoro o famiglia, frodi su impresa familiare, profili clonati con finalità diffamatorie persistenti.

Più nel dettaglio, le attività che un’agenzia investigativa specializzata può svolgere in caso di furto di identità digitale sono quattro:

• Cristallizzazione delle prove digitali con valore in giudizio: acquisizione tecnica e certificata di screenshot, log, metadati, header e contenuti web tramite strumenti di informatica forense, in modo che la prova mantenga integrità e ammissibilità in sede processuale.
• Indagini per risalire agli autori: ricostruzione tecnica dell’attacco e attività di OSINT e SOCMINT per identificare i responsabili, con particolare efficacia nei casi in cui l’autore è una persona dell’ambiente del cliente.
• Tutela preventiva: implementazione di sistemi di sicurezza e analisi continua dell’esposizione del cliente sul web e sui social, per individuare in anticipo profili clonati, dati esposti o tentativi di profilazione a fini illeciti.
• Indagini reputazionali: valutazione approfondita della reputazione online del cliente, monitoraggio di contenuti diffamatori o lesivi, analisi del sentiment e raccolta di prove utili per eventuali azioni di rimozione o risarcimento.

Agenzia Investigativa delle Alpi opera dal 1992 nel settore delle indagini private e dispone di un team dedicato all’investigazione digitale e alla raccolta di prove informatiche. Per una valutazione gratuita del tuo caso, è possibile richiedere un primo contatto riservato. Leggi le Investigazioni che svolgiamo.

Domande frequenti: