Furto di firma digitale: come cautelarsi e cosa fare se accade

Il furto di firma digitale è una di quelle cose che sembrano remote finché non toccano qualcuno che conosci. Poi scopri il dettaglio che cambia tutto: se il tuo certificato viene usato per firmare un atto, la legge italiana parte dal presupposto che a firmare sia stato tu, e tocca a te dimostrare il contrario. Non è una sfumatura da avvocati. È la ragione per cui la prevenzione qui vale molto più della reazione, e per cui i primi due giorni dopo l’incidente decidono quasi tutto. Questa guida spiega come avviene il furto oggi, che cosa dice davvero la norma e quali comportamenti concreti riducono il rischio.

Che cosa significa davvero furto di firma digitale

Nel linguaggio comune si dice “mi hanno rubato la firma”. Tecnicamente non esiste un oggetto chiamato firma che qualcuno porta via. Quello che viene sottratto è la capacità di attivare la chiave privata associata al tuo certificato qualificato: un PIN, un token, una password, un codice usa e getta. Chi ottiene quella capacità non imita la tua firma, la produce. Il risultato è indistinguibile da un atto che hai firmato tu, perché matematicamente lo è.

AgID, l’Agenzia per l’Italia digitale che vigila sui prestatori di servizi fiduciari qualificati, descrive il meccanismo in modo essenziale: la firma si basa su una coppia di chiavi asimmetriche attribuite in maniera univoca a un soggetto, dove la chiave privata resta riservata al titolare e quella pubblica serve a verificarne l’autenticità. Le modalità operative sono due, locale e remota, e la differenza non è un dettaglio tecnico ma il fattore che determina il tuo profilo di rischio, come si legge nella pagina istituzionale su come ottenere la firma elettronica qualificata.

Firma locale su smart card o token

È la modalità storica. La chiave privata vive dentro un chip crittografico che hai fisicamente in tasca o nel cassetto, e per usarla serve il PIN. Per firmare a tuo nome un malintenzionato deve procurarsi due cose distinte: l’oggetto e il codice. Questo rende l’attacco remoto puro molto difficile e sposta il rischio su scenari fisici, sulla condivisione volontaria del dispositivo e sul malware che intercetta il PIN mentre lo digiti su una postazione compromessa.

Firma remota, il bersaglio di oggi

Nella firma remota la chiave privata non è in tasca tua. Sta dentro un HSM, un modulo hardware sicuro custodito dal prestatore, e tu la attivi con credenziali e un codice OTP che arriva via SMS o su un’app. Comodissimo: firmi dal telefono in aeroporto. Ed è esattamente qui che si è spostato il baricentro dell’attacco, perché il perimetro da violare non è più un oggetto fisico ma una combinazione di username, password e secondo fattore. Tutte cose che si possono estorcere a distanza, in pochi minuti, senza avvicinarsi a te.

Nella pratica quotidiana la firma remota non è meno sicura di per sé. Cambia però la superficie esposta, e cambia chi può attaccarti: non più qualcuno che ha accesso al tuo ufficio, ma chiunque nel mondo abbia il tuo numero di telefono e mezz’ora di tempo.

La regola che quasi nessuno ti spiega: la firma si presume tua

Arriviamo al punto che rende questo tema diverso da qualsiasi altra truffa online. L’articolo 21 del Codice dell’amministrazione digitale contiene una frase breve e pesantissima: l’utilizzo del dispositivo di firma elettronica qualificata o digitale si presume riconducibile al titolare, salvo che questi dia prova contraria. Il testo è consultabile nella raccolta ufficiale del Codice dell’amministrazione digitale.

Tradotto: nel momento in cui compare un documento firmato con il tuo certificato, il punto di partenza giuridico non è “vediamo se è stato lui”. È “è stato lui, a meno che non dimostri il contrario”. La presunzione è relativa, quindi superabile, ma l’onere di superarla sta interamente sulle tue spalle. Se ti clonano la carta di credito la banca ti chiede di provare l’estraneità e nella maggior parte dei casi rimborsa. Qui il meccanismo è ribaltato e la controparte, che sia una finanziaria, un fornitore o un socio, ha in mano un documento che il sistema considera valido finché non lo smonti tu.

Nell’esperienza di consulenza tecnica in ambito giudiziario questo è il momento in cui le persone capiscono di essere in un guaio serio. Arrivano convinte che basti dire “non sono stato io” e che l’onere di dimostrare la frode spetti a chi la contesta. Non funziona così. E la prova contraria non è una dichiarazione, è materiale tecnico: log di autenticazione del prestatore, indirizzi IP di attivazione, orari, dispositivi, marche temporali, tabulati del secondo fattore, evidenze del malware o del phishing subito. Materiale che ha una vita utile limitata e che, se non viene richiesto subito, semplicemente non c’è più quando serve.

Questo è il vero motivo per cui un articolo sul furto di firma digitale non può fermarsi ai consigli sul PIN. Il PIN è il capitolo facile. Il capitolo difficile è che stai custodendo uno strumento che, per legge, parla a tuo nome anche quando non sei tu a muoverlo.

Come avviene un furto di firma digitale oggi

Le tecniche sono cambiate parecchio rispetto agli anni in cui bastava rubare una smart card dalla scrivania. Vale la pena guardarle una per una, perché ognuna richiede una contromisura diversa.

Phishing mirato e cattura dell’OTP

È il vettore dominante. Ricevi un messaggio che sembra provenire dal tuo prestatore di firma, dalla banca, dall’Agenzia delle Entrate o da un ente pubblico, e ti porta su una pagina identica all’originale. Inserisci credenziali e codice OTP, la pagina li rilancia in tempo reale al sito vero, e l’attaccante entra mentre tu vedi un innocuo messaggio di errore. Il fenomeno in Italia ha numeri istituzionali precisi: nel 2025 il CERT-AGID ha analizzato 3.620 campagne malevole, di cui 1.922 di phishing, con 153 brand contraffatti, secondo il report riepilogativo delle campagne malevole del 2025.

Lo stesso report segnala un dato che riguarda da vicino chi usa la firma digitale per adempimenti societari: gli eventi legati alla PEC sono stati 103, con una crescita di circa l’80% rispetto all’anno precedente. PEC e firma digitale viaggiano insieme in quasi ogni pratica camerale, e chi controlla la prima ha un vantaggio enorme nell’attaccare la seconda. Se vuoi capire come si riconosce una campagna costruita bene, il meccanismo è lo stesso descritto in questa analisi di un tentativo di phishing reale.

Malware sulla postazione che usi per firmare

Un keylogger cattura il PIN mentre lo digiti. Un infostealer preleva le credenziali salvate nel browser. Un trojan bancario aspetta che tu apra il portale di firma e inietta campi aggiuntivi. Nessuna di queste cose richiede che l’attaccante sia bravissimo: sono strumenti che si comprano già pronti. Il punto debole non è la crittografia della firma, che regge benissimo, ma il computer da cui la usi. Se hai il dubbio che la tua macchina sia compromessa, i sintomi da cercare sono quelli descritti nella guida su come riconoscere se il proprio PC è infetto.

Il furto a monte: identificazione fraudolenta

Esiste uno scenario più insidioso, in cui non ti rubano nulla perché il certificato viene emesso da zero a tuo nome. Qualcuno si presenta al riconoscimento con documenti falsificati o con dati sottratti da una violazione, e ottiene un certificato di firma perfettamente valido intestato a te. In questo caso non c’è un PIN che avresti potuto proteggere meglio: la falla è nel processo di identificazione. Il legame con le violazioni di dati è diretto, e la scala del fenomeno non è teorica. Il Garante per la protezione dei dati personali ha ricevuto 2.415 notifiche di violazione nel 2025, in crescita del 10% sull’anno precedente, come riportato nella sintesi della relazione annuale sull’attività 2025. Ogni violazione è un archivio di dati identificativi che finisce in circolo.

La delega di comodo, la pratica di cui si parla poco

Qui tocca dire una cosa scomoda, perché è la causa più frequente di guai e nessuno la mette per iscritto. Moltissime aziende italiane consegnano token e PIN al commercialista, al consulente del lavoro, alla segreteria o al fornitore che gestisce le pratiche. Si fa per praticità, in buona fede, e nel novantanove per cento dei casi non succede nulla. Il problema è che in quel modo la firma smette di essere un atto personale e diventa una procedura d’ufficio, con il dispositivo in un cassetto condiviso e il PIN scritto su un post it dentro la custodia.

Quando poi qualcosa va storto, non necessariamente per dolo del professionista ma magari per un attacco al suo studio, ti trovi a dover dimostrare che non eri tu, sapendo di aver consegnato tu stesso gli strumenti a qualcun altro. Dal punto di vista della prova contraria è la posizione peggiore possibile. La firma digitale ha lo stesso valore della tua sottoscrizione autografa, un principio che vale anche per gli altri strumenti digitali con effetti giuridici, come spiegato nell’approfondimento sul valore legale di email e SMS.

Che cosa può fare chi ha in mano la tua firma

Capire la portata del danno aiuta a calibrare le contromisure. Con un certificato di firma qualificata attivo si possono compiere atti che incidono sul patrimonio, sulla governance societaria e sulla reputazione, e quasi tutti hanno effetto immediato senza passaggi intermedi che ti coinvolgano.

• Atti societari. Cessione di quote, cambio di amministratore, trasferimento di sede, modifica dell’oggetto sociale. Depositati al Registro Imprese, producono effetti verso i terzi prima ancora che tu ne sappia nulla.
• Contratti e finanziamenti. Sottoscrizione di forniture, leasing, cessioni del credito, richieste di credito a nome della società.
• Adempimenti fiscali e documenti contabili. Fatture, dichiarazioni, comunicazioni all’amministrazione finanziaria.
• Rapporti con la pubblica amministrazione. Istanze, autocertificazioni, partecipazioni a gare, accessi a portali riservati.

Il caso classico è quello dell’imprenditore che scopre di non essere più amministratore della propria società, oppure che l’azienda risulta ceduta a un soggetto mai visto. È interessante notare che il danno peggiore raramente è economico diretto: è il tempo. Rimettere a posto una catena di atti già efficaci verso terzi richiede mesi, avvocati e la collaborazione di controparti che nel frattempo hanno agito in buona fede.

I segnali che qualcosa non va

La maggior parte delle vittime scopre il problema troppo tardi, quando arriva una raccomandata o una telefonata di un fornitore. Eppure i segnali ci sono quasi sempre, e sono banali. Un OTP che ti arriva senza che tu abbia chiesto nulla è il più chiaro di tutti, e va trattato come un allarme, mai come un disturbo da ignorare.

Poi c’è la categoria delle email che spariscono. Se smetti improvvisamente di ricevere le comunicazioni del prestatore di firma o le notifiche PEC, la spiegazione più probabile non è un disservizio: è una regola di inoltro creata da qualcuno che è entrato nella tua casella e sta nascondendo le tracce. Un controllo periodico della salute della propria casella è una di quelle abitudini a costo zero che salvano situazioni, e il metodo è descritto nella guida su come verificare se la tua email è stata compromessa. Altri indizi utili: notifiche di accesso da località insolite, richieste di reset password mai avviate, un PIN che smette di funzionare senza motivo, comunicazioni di rinnovo o revoca del certificato che non hai richiesto.

Che cosa fare nelle prime 48 ore

Se il sospetto c’è, l’ordine delle operazioni conta più della velocità con cui le fai. Detto questo, il tempo lavora contro di te su un fronte molto specifico: i dati tecnici che serviranno a dimostrare la tua estraneità hanno tempi di conservazione limitati.

Primo: fermare l’emorragia

Contatta immediatamente il prestatore di servizi fiduciari che ha emesso il certificato e chiedi la sospensione o la revoca. La sospensione è reversibile e serve quando hai un sospetto da verificare, la revoca è definitiva e chiude il certificato per sempre. Ogni prestatore ha una procedura d’urgenza descritta nel proprio manuale operativo, spesso con un numero attivo ventiquattro ore. Nello stesso momento cambia le credenziali di accesso al portale di firma e alla casella PEC collegata, usando un dispositivo diverso da quello che sospetti compromesso.

Secondo: congelare le prove prima che evaporino

Questo è il passaggio che quasi nessuno compie e che, nella pratica peritale, fa la differenza tra un disconoscimento vinto e uno perso. Prima di formattare, disinstallare, ripulire o “sistemare” il computer, fermati. Il dispositivo compromesso è la scena del fatto e ogni intervento di bonifica cancella elementi che avrebbero potuto scagionarti.

In parallelo, chiedi formalmente per iscritto al prestatore la conservazione e l’estrazione dei log relativi al periodo sospetto: data e ora di ogni attivazione della chiave, indirizzi IP di provenienza, identificativi di sessione, eventuali cambi di credenziali, invii di OTP. Fai la stessa richiesta all’operatore telefonico per i messaggi ricevuti e al gestore PEC per gli accessi alla casella. Sono richieste ordinarie, ma vanno fatte subito e in forma scritta, perché nessuno conserva quei dati indefinitamente e nessuno te li darà a distanza di un anno solo perché li chiedi gentilmente.

Terzo: denuncia e contestazione formale

Presenta denuncia alla Polizia Postale, allegando tutto il materiale raccolto. In parallelo, se sono già comparsi atti a tuo nome, va avviata la contestazione nelle sedi competenti, che cambiano a seconda del tipo di atto: Registro Imprese per le pratiche societarie, controparte contrattuale per i contratti, autorità giudiziaria per il resto. Qui serve un avvocato, e serve subito, perché diversi rimedi hanno termini stretti.

Una precisazione doverosa: questo articolo descrive come funziona il meccanismo, non sostituisce il parere di un legale sul tuo caso specifico. Ogni situazione ha varianti che cambiano la strategia, e chi ti promette una soluzione standard non ti sta aiutando.

Quarto: mettere in sicurezza tutto il resto

Chi è arrivato alla tua firma quasi mai si è fermato lì. Verifica accessi bancari, home banking aziendale, portali fiscali, account cloud, gestionale. Se sono coinvolti dati personali di clienti o dipendenti, valuta con attenzione gli obblighi di notifica previsti dal regolamento europeo, perché i termini sono brevi e la mancata notifica è una violazione autonoma sanzionabile a prescindere dall’incidente che l’ha causata. Su questo fronte conviene avere già chiaro il quadro degli adempimenti in materia di GDPR e protezione dei dati prima che serva.

Come si dimostra che non sei stato tu

Poiché l’onere della prova contraria è tuo, vale la pena sapere in anticipo su che cosa si gioca la partita. Quando un documento firmato digitalmente finisce sotto esame tecnico, il perito non guarda la firma in sé, perché quella è valida per definizione. Guarda il contorno, cioè tutto ciò che circonda il momento dell’apposizione. È lì che la ricostruzione si regge o crolla.

Il primo elemento è la marca temporale, quando c’è. Fissa il momento esatto in cui il documento è stato firmato e lo rende opponibile ai terzi. Se quel momento coincide con un’ora in cui eri altrove, in volo, in ospedale, davanti a una telecamera, hai un appiglio concreto. Al contrario, in assenza di marca temporale la collocazione nel tempo diventa molto più discutibile, ed è uno dei motivi per cui apporre la marca sui documenti importanti conviene sempre, anche quando nessuno la richiede.

Il secondo elemento sono i log del prestatore. Nella firma remota ogni attivazione della chiave lascia una traccia: indirizzo IP di provenienza, identificativo di sessione, orario, esito, invio del codice OTP. Se le firme contestate provengono da un blocco di indirizzi mai usato prima, da un altro Paese o da un dispositivo diverso da quelli abituali, quel materiale racconta una storia che una dichiarazione non potrà mai raccontare. Lo stesso vale per i tabulati dell’operatore telefonico sui messaggi ricevuti e per i log di accesso alla casella PEC.

Il terzo elemento è il dispositivo. Un computer con tracce documentate di infostealer, un browser con credenziali esfiltrate, una cronologia che mostra la visita a un dominio di phishing poche ore prima della firma contestata: sono elementi che costruiscono un quadro coerente. Ed è esattamente il materiale che sparisce quando la prima reazione istintiva è formattare tutto per sicurezza. Nella pratica peritale capita spesso di ricevere una macchina già reinstallata, e a quel punto non c’è competenza tecnica che tenga.

Il quarto elemento, il più insidioso, è il comportamento del titolare prima dell’incidente. Chi ha condiviso il PIN, chi non ha mai attivato la revoca nonostante avesse notato anomalie, chi ha ignorato per settimane gli OTP non richiesti, si presenta in una posizione debole a prescindere da quanto sia genuina la sua estraneità. Questo significa che la difesa non comincia dopo il furto: comincia dal modo in cui hai gestito lo strumento nei mesi precedenti. Ed è, in fondo, il vero argomento a favore delle abitudini noiose descritte qui sotto.

Come cautelarsi davvero dal furto di firma digitale

La prevenzione qui non è una lista di buone intenzioni. Sono cinque scelte operative, ognuna delle quali toglie all’attaccante una strada precisa.

Separa i dispositivi, sempre

Se firmi da smartphone e l’OTP arriva sullo stesso smartphone, hai concentrato entrambi i fattori su un unico oggetto. Basta un malware su quel telefono e il secondo fattore smette di essere un secondo fattore. La regola è semplice: il canale su cui autorizzi non deve essere lo stesso su cui operi. Se possibile, preferisci un’app di autenticazione o una notifica push con conferma esplicita rispetto all’SMS, che resta il canale più esposto in assoluto.

Tratta ogni OTP non richiesto come un allarme rosso

Un codice ricevuto senza averlo chiesto significa una cosa sola: qualcuno ha già la tua password e sta provando il passo successivo. Non è un errore di sistema, non è una prova del provider. Cambia immediatamente le credenziali e avvisa il prestatore. Questo singolo riflesso, se lo hai, blocca la maggior parte degli attacchi al punto in cui sono ancora innocui.

Riprenditi il controllo del dispositivo di firma

Se oggi il tuo token è nel cassetto di qualcun altro, riprendilo. Dove la delega serve davvero, si formalizza per iscritto con perimetro definito, si usano procure e deleghe previste dall’ordinamento invece della consegna materiale del PIN, e si tiene traccia di ogni utilizzo. Al contrario, la consegna informale non lascia traccia e ti mette nella posizione più difficile possibile qualora tu debba dimostrare che non eri tu.

Attiva il monitoraggio del Registro Imprese

Questo è il consiglio più sottovalutato e uno dei pochi che offre un vero preallarme. Il sistema camerale mette a disposizione un servizio di monitoraggio che verifica periodicamente, di norma ogni settimana, le variazioni depositate su un’impresa e le notifica automaticamente: cambi di carica, trasferimenti di quote, modifiche di sede, procedure concorsuali. L’attivazione è gratuita e si può tenere sotto controllo la propria società, come descritto nella pagina ufficiale dei monitoraggi d’impresa. Scoprire una cessione di quote fasulla dopo sette giorni invece che dopo sette mesi cambia radicalmente lo scenario di recupero.

Costruisci una governance minima della firma in azienda

Nelle organizzazioni con più di una persona la firma va gestita come un asset, non come un accessorio. Serve sapere chi ha un certificato attivo, con quale scadenza, per quali atti, su quali dispositivi. Serve una procedura di revoca immediata quando una persona esce dall’azienda o cambia ruolo. Serve una regola su quali documenti richiedono un doppio controllo prima della firma. Non è burocrazia: è la differenza tra scoprire un uso anomalo in un giorno e scoprirlo in un trimestre. Questi controlli fanno parte di un impianto più ampio di sicurezza informatica aziendale, dove la firma è solo uno dei punti di esposizione.

Quello che la prevenzione non può fare

Onestà intellettuale: nessuna di queste misure porta il rischio a zero, e chi lo afferma sta vendendo qualcosa. Contro l’emissione fraudolenta di un certificato a tuo nome, per esempio, la tua igiene digitale non può nulla, perché il punto di rottura è nel processo di identificazione di un terzo. Contro un attacco mirato a uno studio professionale che detiene i tuoi strumenti, la tua diligenza personale è irrilevante.

Quello che la prevenzione fa davvero è due cose. Riduce drasticamente la probabilità degli scenari più comuni, che sono anche i più banali. E soprattutto ti mette nella condizione di accorgerti presto e di avere materiale probatorio in mano quando serve. Dato che la legge ti chiede la prova contraria, la vera domanda non è “posso essere attaccato” ma “se succede, ho gli elementi per dimostrare che non ero io”. Quella è una domanda a cui puoi rispondere sì, ma solo lavorandoci prima.

Riferimenti utili da tenere a portata di mano

Vale la pena costruirsi un piccolo dossier prima che serva. Dentro dovrebbero stare: il manuale operativo del tuo prestatore di firma con il numero per la revoca d’urgenza, il codice fiscale delle società da monitorare al Registro Imprese, i contatti della Polizia Postale, e l’elenco aggiornato dei dispositivi da cui firmi. Cinque minuti oggi, quando non serve, valgono un’intera giornata guadagnata nel momento in cui serve. Per il quadro normativo di riferimento restano le fonti istituzionali di AgID sui servizi fiduciari qualificati e il testo del Codice dell’amministrazione digitale.

Riepilogo dei punti chiave

Il furto di firma digitale non consiste nel copiare una firma, ma nell’ottenere la capacità di attivare la chiave privata associata a un certificato qualificato: PIN, credenziali, codice OTP. L’articolo 21 del Codice dell’amministrazione digitale stabilisce che l’utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo prova contraria: l’onere di dimostrare l’estraneità ricade quindi sulla vittima, non su chi esibisce il documento. I vettori più diffusi oggi sono il phishing con cattura dell’OTP, il malware sulla postazione di firma, l’emissione fraudolenta del certificato tramite documenti falsi e la condivisione informale di token e PIN con terzi. Chi ottiene la firma può compiere atti societari, contrattuali e fiscali con effetto immediato verso terzi. Le contromisure efficaci sono la separazione dei dispositivi di firma e di autorizzazione, la reazione immediata a ogni OTP non richiesto, la fine delle deleghe informali, il monitoraggio settimanale del Registro Imprese e una governance interna dei certificati. In caso di sospetto: revoca o sospensione immediata del certificato, congelamento delle prove tecniche prima di qualsiasi bonifica, richiesta scritta dei log al prestatore, denuncia alla Polizia Postale e contestazione formale degli atti.

Domande frequenti su furto di firma digitale

Cosa fare subito se ti rubano la firma digitale?

Contatta immediatamente il prestatore di servizi fiduciari che ha emesso il certificato e chiedi la sospensione o la revoca, usando la procedura d’urgenza indicata nel manuale operativo. Poi cambia le credenziali del portale di firma e della PEC collegata da un dispositivo diverso da quello sospetto. Prima di formattare o ripulire il computer compromesso, fermati: quel dispositivo contiene le prove che serviranno a dimostrare la tua estraneità. Richiedi per iscritto al prestatore i log di attivazione del periodo sospetto, presenta denuncia alla Polizia Postale e contatta un avvocato per contestare formalmente gli atti eventualmente già prodotti.

La firma digitale può essere falsificata o clonata?

La crittografia asimmetrica su cui si basa la firma digitale non è oggi falsificabile con mezzi ragionevoli: non si imita una firma digitale come si imita una firma autografa. Quello che viene attaccato è il contorno, cioè il modo in cui il titolare attiva la propria chiave privata. Rubare PIN, password e codici OTP, oppure infettare la postazione da cui si firma, permette di produrre firme autentiche a nome di un altro. Il risultato per la vittima è identico a una falsificazione, ma il punto di rottura è umano e procedurale, non matematico.

Chi risponde di un contratto firmato con una firma digitale rubata?

Il punto di partenza normativo è sfavorevole al titolare: l’articolo 21 del Codice dell’amministrazione digitale stabilisce che l’uso del dispositivo di firma si presume riconducibile al titolare, salvo prova contraria. Questo significa che, finché il titolare non dimostra l’estraneità con elementi concreti, il documento è trattato come proveniente da lui. La presunzione è relativa e può essere superata, ma richiede materiale tecnico e non semplici dichiarazioni. È anche il motivo per cui la condivisione informale del dispositivo con terzi indebolisce enormemente la posizione della vittima. Ogni caso concreto va valutato con un legale.

La firma remota è meno sicura della smart card?

Non è meno sicura in assoluto: la chiave privata risiede in un HSM certificato presso il prestatore, un ambiente in genere più protetto di un computer d’ufficio. Cambia però la superficie di attacco. Con la smart card servono un oggetto fisico e un PIN, quindi un attaccante remoto puro ha vita difficile. Con la firma remota bastano credenziali e secondo fattore, entrambi ottenibili a distanza tramite phishing o malware sul telefono. La firma remota richiede quindi disciplina maggiore su password, canale OTP e separazione dei dispositivi.

Come ci si accorge che qualcuno sta usando la propria firma digitale?

Il segnale più netto è la ricezione di un codice OTP che non hai richiesto: significa che qualcuno possiede già la password e sta tentando il secondo fattore. Altri indizi frequenti sono la scomparsa improvvisa delle email del prestatore o delle notifiche PEC, spesso dovuta a regole di inoltro create da un intruso, notifiche di accesso da località insolite, richieste di reset password mai avviate e comunicazioni di rinnovo o revoca del certificato mai richieste. Per le società, il preallarme più efficace resta il servizio di monitoraggio delle variazioni al Registro Imprese.

Posso dare token e PIN al commercialista?

È una pratica diffusissima e sconsigliabile. Il dispositivo di firma è personale e la sua consegna a terzi, anche in piena fiducia e per sole ragioni pratiche, sposta il rischio su un perimetro che non controlli e indebolisce gravemente la tua posizione se un giorno devi dimostrare di non aver firmato. Un attacco allo studio del professionista diventa automaticamente un attacco a te. Dove la delega è realmente necessaria, va gestita con gli strumenti giuridici previsti, cioè procure e deleghe formalizzate, tracciando ogni utilizzo invece di cedere materialmente PIN e token.

A chi si denuncia il furto di firma digitale?

La denuncia va presentata alla Polizia Postale, competente per i reati informatici, allegando tutta la documentazione raccolta: comunicazione di revoca al prestatore, log ottenuti, messaggi di phishing, evidenze del dispositivo compromesso, copia degli atti contestati. In parallelo alla denuncia penale servono le azioni civili e amministrative, che variano a seconda dell’atto: contestazione al Registro Imprese per le pratiche societarie, comunicazione formale alla controparte per i contratti. I due binari sono distinti e vanno percorsi insieme, perché alcuni rimedi hanno termini brevi.

Che differenza c’è tra sospendere e revocare il certificato di firma?

La sospensione è una misura temporanea e reversibile: blocca l’efficacia del certificato mentre verifichi il sospetto, e può essere annullata se l’allarme si rivela infondato. La revoca è definitiva e chiude il certificato in modo irreversibile, rendendo necessaria l’emissione di uno nuovo. In caso di sospetto concreto di compromissione conviene agire subito con la sospensione, che è immediata e non comporta la perdita del certificato, per poi passare alla revoca quando il furto è confermato. Entrambe le procedure sono descritte nel manuale operativo del prestatore.

Il punto in cui conviene agire

Se questa guida lascia una cosa sola, che sia questa: la firma digitale è l’unico strumento aziendale in cui la legge parte dal presupposto che l’abbia usato tu. Tutto il resto discende da lì. Ha senso investire dieci minuti nel separare i dispositivi, riprendersi il token dal cassetto sbagliato, attivare il monitoraggio camerale e stabilire chi in azienda ha diritto di firmare che cosa. Sono azioni gratuite o quasi, e sono tutte più economiche di un contenzioso.

Nelle organizzazioni un po’ strutturate, però, il tema raramente resta isolato. La firma è un tassello di un impianto che comprende gestione delle credenziali, sicurezza delle postazioni, PEC, adempimenti sui dati personali e continuità operativa, e ha senso guardarlo per intero invece che a pezzi. Se vuoi capire dove è esposta oggi la tua azienda e in che ordine intervenire, il modo più rapido è partire da una valutazione ragionata della situazione reale.

Prenota una consulenza strategica: fissiamo mezz’ora per fare il punto sull’esposizione della tua azienda.