Furto di identità sui social network: come difendersi davvero

Il furto di identità sui social network non comincia quasi mai con un attacco informatico. Comincia con un profilo pubblico, una foto profilo scaricabile in due secondi, una data di nascita negli auguri di compleanno e un elenco di contatti che nessuno ha mai pensato di nascondere. Poi qualcuno mette insieme i pezzi. Questo articolo non si limita a spiegarvi che il fenomeno esiste: vi mostra come lavora chi ruba un’identità, che cosa succede quando a essere clonata è un’azienda e, soprattutto, come si conserva una prova che regga quando la vicenda finisce davanti a un giudice. È il punto in cui quasi tutte le vittime sbagliano, ed è anche quello di cui nessuno parla.

Che cosa significa davvero furto di identità sui social network

Nel linguaggio comune “furto di identità” indica qualsiasi situazione in cui qualcuno si spaccia per noi. Sul piano tecnico e giuridico le cose sono più articolate, e distinguere fa la differenza quando bisogna decidere che cosa denunciare e a chi.

Esistono almeno tre scenari diversi, che le persone tendono a confondere e che richiedono risposte diverse:

• Profilo clone: qualcuno crea un account nuovo usando il vostro nome e le vostre foto. Il vostro account originale resta intatto e sotto il vostro controllo. È lo scenario più frequente e, paradossalmente, il meno grave sul piano tecnico.
• Account takeover: qualcuno entra nel vostro account reale, cambia password e recovery, e da quel momento parla al posto vostro alle persone che vi conoscono davvero. Qui il danno corre molto più veloce, perché il messaggio arriva da un profilo che i vostri contatti considerano autentico.
• Identità sintetica: i vostri dati vengono mescolati con dati di altre persone, o con dati inventati, per costruire un soggetto che non esiste ma che risulta credibile a una verifica automatica. È la forma più difficile da scoprire, perché nessun singolo controllo suona l’allarme.

La distinzione conta perché le procedure di segnalazione delle piattaforme sono progettate quasi esclusivamente per il primo caso. Quando siete vittima di un account takeover vi ritrovate a chiedere aiuto a un sistema che, per verificare che siate voi, vi chiede di accedere a un account a cui non avete più accesso. È una situazione circolare che chiunque l’abbia vissuta riconosce immediatamente.

Quanto è diffuso il fenomeno in Italia, senza allarmismi

Sui numeri conviene essere precisi, perché su questo tema circolano stime gonfiate che servono a vendere qualcosa. Partiamo da un dato di contesto: secondo l’indagine ISTAT sull’uso delle tecnologie, l’83,1% delle persone dai 6 anni in su ha usato Internet nei tre mesi precedenti la rilevazione, con una punta di oltre il 98% nella fascia 15-24 anni. Nella stessa rilevazione, però, solo il 54,3% delle persone tra 16 e 74 anni possiede competenze digitali almeno di base, un dato consultabile nel comunicato ISTAT su cittadini e ICT. Quasi tutti sono online, meno di due su tre sanno riconoscere un rischio elementare. Questo divario è il terreno di caccia.

Sul fronte delle violazioni, il Garante per la protezione dei dati personali ha ricevuto 2.415 notifiche di data breach nel 2025, in crescita di circa il 10% rispetto all’anno precedente, di cui 1.901 dal settore privato. Sono i numeri della relazione annuale sull’attività dell’Autorità. Ogni violazione notificata è un archivio di dati personali finito dove non doveva finire, e una parte di quei dati alimenta esattamente le tecniche descritte più avanti.

C’è però anche una notizia meno cupa. I dati Eurostat sul 2025 dicono che il 76,9% degli utenti Internet europei ha adottato almeno una misura per proteggere i propri dati, e che il 46,0% ha limitato l’accesso ai propri profili social e allo storage in cloud, in crescita di cinque punti rispetto al 2023. Il quadro completo è nella rilevazione Eurostat sulla protezione dei dati online. Vuol dire che meno della metà delle persone chiude i propri profili. Vuol dire anche che la percentuale sta salendo, e che le misure funzionano quando qualcuno le applica.

Come lavora chi ruba un’identità: l’anatomia di un attacco

Nella mia pratica di analisi tecnica ho ricostruito parecchi di questi casi, e la struttura si ripete con una monotonia quasi noiosa. Chi ruba un’identità non improvvisa: segue tre fasi, e ognuna lascia tracce diverse. Capirle serve a due cose. Serve a riconoscere l’attacco mentre è in corso invece che a cose fatte, e serve a sapere che cosa cercare quando si raccolgono le prove.

Fase uno: la raccolta

Il primo passaggio non richiede alcuna competenza tecnica particolare. Si chiama OSINT, raccolta di informazioni da fonti aperte, ed è esattamente ciò che fa qualsiasi analista di sicurezza quando valuta la superficie esposta di un’organizzazione. La differenza sta solo nell’intenzione.

Da un profilo social medio si ricavano, senza forzare nulla: nome e cognome completi, città, datore di lavoro attuale e precedenti, nome del coniuge, nomi dei figli, nome dell’animale domestico, marca dell’auto, palestra frequentata, orari abituali, periodo delle vacanze. Aggiungete gli auguri di compleanno pubblicati sulla bacheca e avete anche la data di nascita. Aggiungete le foto dei documenti che qualcuno pubblica per festeggiare la patente nuova o il primo contratto e avete un numero di documento leggibile.

La domanda giusta non è “che cosa ho pubblicato”. È “che cosa emerge dall’unione di ciò che ho pubblicato io e di ciò che hanno pubblicato gli altri su di me”. Perché la seconda parte non la controllate. Se volete rendervi conto della mole di dati che una piattaforma raccoglie e correla per suo conto, il tema è affrontato in modo diretto nell’articolo su quello che Facebook sa di voi.

Fase due: la costruzione

Con il materiale raccolto si costruisce il vettore. Può essere un profilo clone, che replica foto e biografia e comincia a inviare richieste di amicizia ai vostri contatti reali. Può essere un messaggio mirato, credibile perché contiene dettagli che solo qualcuno vicino a voi dovrebbe conoscere. Può essere una risposta a una domanda di sicurezza, visto che il nome del primo animale domestico è ancora una delle domande più usate dai sistemi di recupero password.

Qui entra in gioco un elemento nuovo rispetto a cinque anni fa. La generazione sintetica di voce e video ha abbassato drasticamente il costo di una impersonificazione convincente. Un messaggio vocale di pochi secondi, con la vostra voce, che chiede a un collega di anticipare un bonifico, non è più fantascienza. È una cosa che si compra, e il salto di qualità degli ultimi due anni è stato netto.

Fase tre: la monetizzazione

L’identità rubata quasi mai viene usata contro la vittima diretta. Viene usata contro le persone che si fidano della vittima. È una distinzione che le persone faticano ad accettare, e che spiega perché tanti sottovalutano un profilo clone: “tanto io non ho niente da rubare”. Non serve che abbiate qualcosa. Serve che qualcuno vi creda.

Da lì si arriva a richieste di denaro ai contatti, ad aperture di utenze e contratti, a raccolte fondi false, a truffe sentimentali che usano le vostre foto con un’altra identità, fino ad arrivare a ricatti costruiti su materiale reale o generato. In alcuni casi l’account rubato serve solo come trampolino: viene usato per pochi giorni, per colpire un bersaglio più interessante nella vostra rete, e poi abbandonato.

Le tecniche più usate, spiegate per quello che sono

Il vecchio elenco di tecniche che si trova ovunque online è invecchiato male. Alcune voci sono ancora attualissime, altre sono reperti archeologici. Vale la pena separarle.

Phishing e smishing. Restano il primo vettore in assoluto. La versione via SMS, lo smishing, è oggi più efficace di quella via email, perché sul telefono l’URL è troncato e la fretta è maggiore. Le campagne che imitano corrieri, banche e piattaforme di pagamento sono continue e sempre più curate. Ho analizzato nel dettaglio la meccanica di una di queste campagne nell’approfondimento su come funziona il phishing che imita PayPal: la struttura è sempre la stessa, cambia solo il marchio imitato.

Credential stuffing. Questa è la tecnica che spiega la maggior parte degli account takeover, e quasi nessuno la nomina. Non c’è nessun hacker che indovina la vostra password. C’è un archivio di credenziali già rubate da un altro sito, e un programma che le prova automaticamente su decine di piattaforme. Se avete usato la stessa password su due servizi, la violazione del più debole apre il più forte. Verificare se il proprio indirizzo compare in una violazione nota è un’operazione di cinque minuti, e ho spiegato la procedura nella guida su come capire se la vostra email è stata compromessa.

App e permessi concessi. Il vecchio consiglio sui “giochini” che chiedono l’accesso alla bacheca conserva un fondo di verità, anche se le piattaforme hanno stretto molto le maglie. Il rischio si è spostato: oggi il problema principale sono le app di terze parti collegate all’account che nessuno ha mai revocato. Molte persone hanno decine di autorizzazioni attive concesse anni fa a servizi che non esistono più. Se il servizio è stato dismesso e il dominio è stato acquistato da qualcun altro, quell’autorizzazione è una porta aperta su un edificio che ha cambiato proprietario.

Skimming e bin raiding. La clonazione fisica delle carte e il recupero di documenti dalla spazzatura esistono ancora, ma incidono ormai poco sul furto di identità che nasce online. Continuano a comparire in ogni articolo sul tema per inerzia editoriale, non perché siano il rischio principale per chi usa i social. Meglio dirlo con chiarezza che riempire un paragrafo.

Malware e infostealer. Qui invece il rischio è cresciuto molto. Un infostealer installato sul computer o sul telefono non ruba una password: ruba l’intero contenuto del gestore password del browser, i cookie di sessione attivi e i token di accesso. Con un cookie di sessione valido si entra in un account saltando completamente l’autenticazione a due fattori. Se sospettate una compromissione del dispositivo, i segnali da controllare sono descritti nell’articolo su come riconoscere se il proprio computer è infetto.

Il capitolo che quasi nessuno tratta: quando a essere clonata è un’azienda

Tutti gli articoli su questo tema parlano di persone. Praticamente nessuno parla di imprese, e questo è il vuoto più grosso che ho trovato leggendo ciò che circola sull’argomento. Eppure per una piccola o media impresa il furto di identità sui social network è un problema operativo concreto, non teorico.

Gli scenari che ricorrono sono tre. Il primo è la clonazione della pagina aziendale: nasce un profilo identico, con lo stesso logo e le stesse foto, che risponde ai messaggi dei clienti reali. Chiede acconti, comunica un IBAN, annuncia promozioni che non esistono. I clienti scrivono all’azienda vera solo quando il bonifico è partito.

Il secondo è la clonazione del profilo personale del titolare o di un responsabile commerciale, usata per scrivere ai fornitori. Questa è la variante che fa più danni, perché il fornitore riceve un messaggio da qualcuno che conosce, su un canale informale dove le procedure di controllo aziendali non arrivano. È il cugino social della frode del CEO.

Il terzo, il più insidioso, è la falsa selezione del personale. Un profilo che si presenta come l’ufficio risorse umane dell’azienda raccoglie curriculum completi, documenti di identità e codici fiscali di decine di candidati. Nessuno sospetta nulla, perché inviare un documento a un potenziale datore di lavoro sembra normale.

Su quest’ultimo punto c’è una questione che come consulente privacy mi tocca sollevare, anche se è scomoda. Quando un clone raccoglie dati personali fingendosi la vostra azienda, il trattamento illecito non è il vostro, e l’azienda non è titolare di quel trattamento. Questo però non chiude la faccenda. Se venite a conoscenza della cosa, avete l’onere di attivarvi: segnalare, avvisare pubblicamente, documentare. Un’azienda che sapeva e non ha fatto nulla si trova in una posizione difficile da difendere, sia verso i soggetti coinvolti sia in un eventuale contenzioso. Il tema si intreccia con gli obblighi generali di sicurezza previsti dal Regolamento, che ho affrontato nella sezione dedicata alla consulenza GDPR. La valutazione del caso specifico va sempre fatta insieme al vostro legale: qui mi fermo alla dimensione tecnica e organizzativa, che è il mio terreno.

Che cosa dice la legge italiana, senza semplificazioni

Il riferimento che tutti citano è l’articolo 494 del codice penale, sostituzione di persona. Il testo punisce chi, per procurare a sé o ad altri un vantaggio o per arrecare ad altri un danno, induce qualcuno in errore sostituendo la propria all’altrui persona, o attribuendo a sé o ad altri un falso nome o un falso stato. La pena prevista è la reclusione fino a un anno, se il fatto non costituisce un altro delitto contro la fede pubblica.

Vale la pena leggere quella norma con attenzione, perché contiene due elementi che vengono regolarmente ignorati. Il primo è il dolo specifico: non basta aver aperto un profilo con il nome di un altro, serve la finalità di trarne un vantaggio o di arrecare un danno. Il secondo è la clausola di sussidiarietà finale, quel “se il fatto non costituisce un altro delitto”. Nella pratica il profilo falso raramente resta un fatto isolato: si accompagna a frode informatica, a trattamento illecito di dati personali, a diffamazione. Le qualificazioni si sommano, e cambia sia il quadro sanzionatorio sia il percorso processuale.

Quando il profilo clone viene usato per pubblicare contenuti offensivi a nome vostro si apre un secondo fronte, con dinamiche e tempi propri, che ho trattato separatamente nell’analisi sulla diffamazione su Facebook. E quando la vittima è un minore, il quadro si complica ulteriormente e si intreccia con dinamiche di gruppo che meritano una lettura a parte, come quelle descritte nell’approfondimento su chi sono i cyberbulli.

Una precisazione che faccio sempre e che qualcuno trova antipatica: aprire un account con il nome di un amico “per scherzo” rientra nella stessa norma. Il fatto che l’intenzione sia goliardica non elimina il reato, sposta al massimo la valutazione sul dolo. Non è un consiglio prudenziale, è come funziona.

Come si conserva una prova che regge davvero

Questa è la parte che nella mia esperienza fa la differenza tra una vicenda che si chiude e una che si trascina per anni, e non l’ho trovata trattata seriamente in nessuno degli articoli che circolano sull’argomento. Nell’attività di consulenza tecnica ho visto ricostruzioni cadere non perché il fatto non fosse avvenuto, ma perché il materiale portato dalla parte era inutilizzabile.

Perché lo screenshot da solo è fragile

Uno screenshot è un’immagine. Un’immagine si modifica con qualsiasi strumento gratuito, in trenta secondi, senza lasciare tracce evidenti a occhio nudo. Non porta con sé alcuna informazione verificabile su quando è stato acquisito, da quale indirizzo, con quale account, né su che cosa ci fosse realmente sullo schermo in quel momento. Se nessuno lo contesta può bastare. Se qualcuno lo contesta, e chi ha interesse a contestarlo di solito lo fa, il valore che gli si può attribuire si riduce parecchio.

Non sto dicendo di non fare screenshot. Fateli, subito, prima che il profilo sparisca. Sto dicendo che lo screenshot è il primo strato, non l’unico, e che chi si ferma lì rischia di ritrovarsi a mani vuote proprio nel momento in cui gli serve.

Che cosa raccogliere, e in che ordine

La sequenza che consiglio, e che ha il pregio di essere alla portata di chiunque senza strumenti particolari, è questa:

1. URL completo e identificativo numerico del profilo, non solo il nome utente. Il nome utente si cambia in un istante, l’identificativo interno della piattaforma no. È il dato che rende il profilo rintracciabile anche dopo che è stato rinominato.
2. Salvataggio della pagina, non solo dello schermo. Il browser permette di salvare la pagina completa o di stamparla in PDF: il file che ne risulta conserva il codice sorgente e i riferimenti, mentre l’immagine conserva solo l’aspetto.
3. Marcatura temporale. Esistono servizi di validazione temporale certificata e strumenti di archiviazione pubblica delle pagine web che assegnano una data verificabile da terzi. Cinque minuti di lavoro che spostano il baricentro della discussione.
4. Ricevute delle segnalazioni alla piattaforma, con numero di riferimento e data. Servono a dimostrare due cose: che vi siete attivati, e quando. Sono anche l’unica traccia che resta se poi la piattaforma rimuove il contenuto.
5. Conservazione dei messaggi originali nel loro contesto, esportati dove la piattaforma lo consente, senza cancellare la conversazione. Cancellare per “ripulire” è l’errore più comune e il più irreparabile.

Un’avvertenza che vale più di tutto l’elenco: fate questo lavoro prima di segnalare, non dopo. Una segnalazione andata a buon fine fa sparire il profilo, e con lui sparisce il materiale che avreste dovuto raccogliere. È un paradosso crudele, e ho visto persone rimanere senza nulla in mano esattamente per questo motivo. La stessa logica vale, con dettagli tecnici propri, per le compromissioni che riguardano strumenti a valore legale, un tema che ho affrontato nell’articolo sul furto di firma digitale.

Cosa fare nelle prime quarantotto ore

La finestra utile è stretta, e l’ordine delle operazioni conta più di quanto sembri. Se scoprite un profilo clone o un accesso non autorizzato, questa è la sequenza che ha più probabilità di limitare il danno.

1. Documentate, seguendo i cinque punti della sezione precedente. Prima di ogni altra cosa.
2. Mettete in sicurezza gli account collegati, partendo dalla casella email di recupero. È la chiave di volta: chi controlla l’email controlla il reset di tutto il resto. Cambiate la password, revocate le sessioni attive, attivate un secondo fattore che non sia l’SMS.
3. Avvisate la vostra rete, sui canali che il clone non controlla. Un messaggio breve e chiaro ai contatti, e un post pubblico se avete visibilità professionale. Le truffe che partono da un clone si fermano quasi sempre così, molto prima di qualsiasi intervento della piattaforma.
4. Segnalate alla piattaforma usando la procedura specifica per l’impersonificazione, non la segnalazione generica. Sono percorsi diversi con esiti diversi.
5. Sporgete denuncia alla Polizia Postale o ai Carabinieri, portando il materiale raccolto su supporto digitale oltre che stampato. Se ci sono di mezzo movimenti di denaro, la denuncia non è una formalità: è il presupposto di qualsiasi tentativo di recupero.
6. Se siete un’azienda, aggiungete una comunicazione ai clienti e ai fornitori, e valutate con il vostro consulente privacy se ricorrono i presupposti di una notifica. Meglio una valutazione fatta e archiviata che una domanda evitata.

Sulla tempistica delle piattaforme conviene essere onesti invece che rassicuranti. La rimozione di un profilo clone può richiedere giorni, a volte settimane, e in molti casi la prima segnalazione viene respinta da un sistema automatico. Insistere funziona, ma nel frattempo l’unica difesa reale che avete è la vostra rete avvisata.

Come ridurre il rischio prima che accada

La prevenzione su questo tema è meno faticosa di quanto si creda, perché poche misure coprono la grande maggioranza dei casi. Il problema non è la difficoltà, è che nessuno le applica finché non succede qualcosa.

La prima e la più importante riguarda le password. Una password diversa per ogni servizio, generata e conservata da un gestore, elimina in un colpo solo l’intera categoria del credential stuffing. È la misura con il miglior rapporto tra fatica richiesta e rischio eliminato, e continua a essere quella che le persone rimandano più a lungo. Subito dopo viene l’autenticazione a due fattori, preferibilmente con app di generazione codici o chiave fisica invece che via SMS, dato che il numero di telefono si può dirottare.

Poi c’è la parte che riguarda ciò che pubblicate. Non serve sparire dai social, e chi lo consiglia sta dando un consiglio che nessuno seguirà. Serve ridurre la superficie: profilo con visibilità limitata ai contatti reali, lista amici non pubblica, nessuna foto di documenti, nessun dettaglio che coincida con le risposte alle domande di sicurezza. Una revisione periodica delle app di terze parti collegate all’account, magari due volte l’anno, chiude porte che avete dimenticato di aver aperto. Se volete un quadro più ampio delle misure applicabili in ambito domestico e su più dispositivi, l’ho descritto nella guida su come migliorare la sicurezza informatica in casa.

Per le aziende si aggiunge un livello che riguarda le persone più che la tecnologia: una procedura scritta che imponga la verifica su un canale diverso per qualsiasi richiesta di pagamento o variazione di IBAN arrivata via messaggio, chiunque sembri averla mandata. Costa poco, è noiosa da rispettare, e ferma la quasi totalità delle frodi basate su impersonificazione. Il monitoraggio periodico del proprio nome e del proprio marchio sulle piattaforme completa il quadro: scoprire un clone dopo tre mesi è molto diverso dallo scoprirlo dopo tre giorni.

Risorse per approfondire

Il furto di identità sui social network è un pezzo di un problema più ampio, che tocca la sicurezza dei dispositivi, la gestione degli accessi e gli obblighi normativi di chi tratta dati altrui. Chi vuole affrontare la questione in modo strutturato, e non solo reattivo, trova un quadro d’insieme nella pagina dedicata alla consulenza in sicurezza informatica, dove il tema viene affrontato dal punto di vista di chi deve proteggere un’organizzazione e non solo un profilo personale.

Riepilogo dei punti chiave

Il furto di identità sui social network assume tre forme distinte, che richiedono risposte diverse: il profilo clone, l’account takeover e l’identità sintetica. L’attacco segue quasi sempre tre fasi: raccolta di informazioni da fonti aperte, costruzione del vettore e monetizzazione, che nella grande maggioranza dei casi colpisce non la vittima diretta ma le persone che si fidano di lei. Le tecniche oggi più rilevanti sono lo smishing, il credential stuffing e gli infostealer capaci di rubare cookie di sessione e aggirare l’autenticazione a due fattori, mentre skimming e bin raiding hanno perso peso. Per le imprese il rischio concreto è la clonazione della pagina aziendale, del profilo del titolare o di un finto ufficio risorse umane che raccoglie documenti dai candidati. Sul piano normativo il riferimento è l’articolo 494 del codice penale, che richiede però il dolo specifico e cede il passo quando il fatto integra reati più gravi. Il punto decisivo, e il più trascurato, riguarda le prove: uno screenshot da solo è fragile, e vanno raccolti URL e identificativo numerico del profilo, salvataggio della pagina completa, marcatura temporale e ricevute delle segnalazioni, sempre prima di segnalare e mai dopo. Nelle prime quarantotto ore la sequenza corretta è documentare, mettere in sicurezza l’email di recupero, avvisare la propria rete, segnalare alla piattaforma e sporgere denuncia.

Domande frequenti sul furto di identità sui social network

Cosa fare se ti rubano l’identità su Instagram?

Per prima cosa documentate il profilo falso raccogliendo URL completo, nome utente, screenshot e salvataggio della pagina in PDF, prima di segnalare: una segnalazione accolta fa sparire il profilo e con lui le prove. Poi usate la procedura specifica di Instagram per l’impersonificazione, che è distinta dalla segnalazione generica e richiede un documento di identità. Nel frattempo avvisate i vostri contatti tramite storie e messaggi diretti, perché la difesa più efficace nell’immediato è che nessuno creda al clone. Se invece avete perso l’accesso al vostro account reale, partite dal recupero della casella email collegata, che è la chiave di tutto il resto, e conservate ogni ricevuta delle richieste inviate.

È reato usare una falsa identità sui social media?

Sì, quando ricorrono i presupposti dell’articolo 494 del codice penale, che punisce la sostituzione di persona con la reclusione fino a un anno. La norma richiede però un dolo specifico: bisogna aver agito per procurare a sé o ad altri un vantaggio, oppure per arrecare un danno. Non è quindi automaticamente reato ogni pseudonimo, ma lo diventa quando si assume l’identità di una persona reale per indurre altri in errore. Vale anche per gli account aperti a scopo goliardico con il nome di un amico. La stessa norma prevede inoltre che, se il fatto integra un reato più grave contro la fede pubblica, si applichi quest’ultimo, e nella pratica la sostituzione di persona si accompagna spesso a frode informatica o trattamento illecito di dati.

Cosa fare se ti rubano l’identità su Facebook?

La procedura ricalca quella di Instagram, con una differenza rilevante: su Facebook il profilo clone tende a inviare richieste di amicizia alla vostra rete reale, quindi il danno si propaga più in fretta. Documentate il profilo falso salvando URL e identificativo numerico, poi pubblicate subito un avviso pubblico dal vostro account autentico e scrivete direttamente ai contatti più esposti. Segnalate usando il percorso dedicato all’impersonificazione. Se il clone ha già chiesto denaro a qualcuno, quella persona deve sporgere denuncia in proprio, perché è la parte offesa della truffa. Conservate ogni conversazione senza cancellarla.

Come si scopre un furto di identità?

I segnali più frequenti sono indiretti: un contatto vi chiede perché gli avete scritto quando non lo avete fatto, ricevete notifiche di accesso da dispositivi o città che non riconoscete, oppure arrivano email di conferma per servizi a cui non vi siete mai iscritti. Sul fronte finanziario contano le comunicazioni relative a contratti o utenze mai attivati. Ricerche periodiche del vostro nome e delle vostre foto sulle piattaforme aiutano a intercettare i cloni prima che agiscano. Infine, controllare se il vostro indirizzo email compare in violazioni di dati note è un’operazione rapida che spesso anticipa il problema di settimane.

A chi bisogna rivolgersi e dove si presenta la denuncia?

La denuncia si può presentare presso qualsiasi ufficio di polizia o stazione dei Carabinieri, ma per i reati informatici il riferimento specializzato è la Polizia Postale, che dispone anche di un portale online per segnalazioni e informazioni. Portate con voi il materiale raccolto sia stampato sia su supporto digitale, con URL, date e ricevute delle segnalazioni alle piattaforme. Se ci sono di mezzo movimenti di denaro, avvisate parallelamente la banca o l’emittente della carta il prima possibile. Nei casi che coinvolgono il trattamento illecito dei vostri dati personali potete valutare anche un reclamo al Garante per la protezione dei dati personali, che segue un percorso distinto da quello penale.

Uno screenshot basta come prova in caso di furto di identità?

Da solo è una base fragile. Uno screenshot è un’immagine modificabile che non porta con sé informazioni verificabili su data, ora e origine dell’acquisizione, e se la controparte lo contesta il valore che gli si può attribuire si riduce sensibilmente. Va fatto comunque, subito, ma affiancato da altri elementi: URL completo e identificativo numerico del profilo, salvataggio della pagina intera in PDF o come archivio web, una marcatura temporale certificata o un’archiviazione pubblica della pagina, e le ricevute delle segnalazioni inviate alla piattaforma. L’ordine conta: raccogliete tutto prima di segnalare, perché la rimozione del profilo cancella anche il materiale che vi serve.

Quali sono le conseguenze concrete di un furto di identità?

Le conseguenze si distribuiscono su tre piani. Sul piano economico ci sono le somme sottratte direttamente e quelle sottratte alle persone della vostra rete, che spesso superano le prime. Sul piano reputazionale ci sono i contenuti pubblicati a vostro nome, che possono richiedere mesi per essere rimossi e che nel frattempo restano indicizzati. Sul piano amministrativo ci sono contratti, utenze o posizioni creditizie aperte a vostro nome, la cui contestazione richiede tempo e documentazione. Per un’impresa si aggiunge il danno commerciale: clienti che hanno pagato un clone difficilmente distinguono tra la vostra responsabilità e quella dell’autore della truffa.

L’autenticazione a due fattori protegge sempre dal furto dell’account?

Riduce moltissimo il rischio, ma non lo azzera, e conviene saperlo. Un malware di tipo infostealer installato sul dispositivo può sottrarre i cookie di sessione già autenticati: chi li possiede entra nell’account senza dover superare alcun secondo fattore, perché il sistema lo considera già autenticato. Inoltre il secondo fattore via SMS è il più debole, perché il numero di telefono può essere dirottato con una portabilità fraudolenta. Le configurazioni più solide usano un’app di generazione codici o una chiave fisica, abbinate a un dispositivo mantenuto pulito e aggiornato.

Il punto, detto in poche righe

Il furto di identità sui social network non è un problema tecnologico: è un problema di informazioni che rendiamo disponibili e di fiducia che altri ripongono in noi. Le contromisure che funzionano sono poche e note, e il vero ostacolo è che quasi nessuno le mette in pratica prima di averne bisogno. Se dovessi indicare una cosa sola da fare dopo aver letto questo articolo, direi due: password diverse per ogni servizio con un gestore, e un secondo fattore che non passi dagli SMS. Il resto viene dopo.

Se invece il problema si è già presentato, la priorità è raccogliere il materiale nel modo giusto prima di segnalare. È l’unico passaggio che non si può recuperare a posteriori, ed è quello che nella mia esperienza fa la differenza tra una vicenda ricostruibile e una parola contro un’altra.

Per le aziende il discorso cambia scala. Un profilo clone che parla ai vostri clienti o ai vostri fornitori non è un fastidio reputazionale, è un canale di frode aperto sul vostro nome, e va affrontato con procedure scritte e monitoraggio, non con l’improvvisazione del momento. Prenota una consulenza strategica se volete valutare insieme l’esposizione della vostra organizzazione e definire le misure che hanno senso nel vostro contesto. Se preferite partire da un quadro tecnico dello stato attuale, potete richiedere una analisi preliminare del sito e della presenza online.