Alessandro FerrariDal 3 agosto 2026, il sistema IT Wallet è ufficialmente operativo per la Pubblica Amministrazione italiana. Il decreto pubblicato in Gazzetta Ufficiale obbliga enti e PA ad adeguare progressivamente i propri sistemi al portafoglio digitale nazionale, mentre privati e imprese possono già connettersi su base volontaria. Ma concentrare patente, tessera sanitaria e carta d'identità in un'unica infrastruttura digitale crea un bersaglio di alto valore per i cybercriminali: una trasformazione che i professionisti della sicurezza informatica stanno già monitorando con attenzione.
Cosa prevede il decreto IT Wallet del 3 agosto 2026
Il decreto del 17 giugno 2026 — che ha approvato le Linee guida del Sistema IT-Wallet elaborate da AgID — ha fissato una roadmap precisa per la digitalizzazione dei documenti italiani. Dal 3 agosto 2026 gli uffici ANPR (Anagrafe Nazionale della Popolazione Residente) devono essere già operativi nella nuova infrastruttura. I Comuni e gli altri enti pubblici avranno tempo fino al 3 agosto 2027 per registrarsi come "fonti autentiche" e rendere disponibili i propri dati in formato di attestati elettronici verificabili. Entro il 3 febbraio 2028, l'Istituto Poligrafico e Zecca dello Stato (IPZS) sarà autorizzato a rilasciare certificati verificando l'identità dell'utente tramite CIE o SPID.
Per i cittadini, nulla cambia in termini di obblighi: l'utilizzo del portafoglio digitale rimane facoltativo. Per le imprese private, la connessione al sistema è anch'essa su base volontaria, ma i servizi base saranno gratuiti, mentre le funzionalità aggiuntive — come la verifica di attestati per finalità commerciali — saranno a pagamento, con tariffe che saranno definite da un futuro decreto del Presidente del Consiglio dei Ministri.
Secondo il Sistema IT-Wallet del governo italiano, il progetto è allineato al regolamento europeo eIDAS 2.0, che impone a ogni Paese UE di offrire almeno un portafoglio digitale conforme entro la fine del 2026. L'Italia è tra i primi Paesi ad aver tradotto questo obbligo normativo in un decreto operativo con scadenze vincolanti per la PA.
Il rischio informatico che PA e imprese non vedono ancora
Quando documenti d'identità, patenti e tessere sanitarie di milioni di italiani convergono in un unico ecosistema digitale, il profilo di rischio si trasforma radicalmente. Non si tratta più di proteggere un singolo documento fisico, ma l'intera identità digitale di una persona — con tutte le implicazioni che questo comporta in termini di frode, furto d'identità e accesso non autorizzato a servizi.
Gli esperti di sicurezza informatica identificano almeno tre vettori di attacco emergenti legati al nuovo sistema IT Wallet:
Phishing a tema IT Wallet. Nei mesi di luglio-agosto 2026, sono già state segnalate campagne di email fraudolente che imitano comunicazioni di AgID o del Dipartimento per la Trasformazione Digitale. I messaggi chiedono di "verificare le credenziali" su portali clone che replicano l'interfaccia dell'app IO. Chi inserisce le proprie credenziali SPID o CIE consegna di fatto l'accesso all'intero portafoglio digitale.
Vulnerabilità nelle integrazioni della PA locale. I Comuni hanno tempo fino ad agosto 2027 per adeguarsi, ma molti stanno già avviando integrazioni con sistemi informatici legacy — spesso costruiti decenni fa — che non sono stati progettati per esporre API di identità digitale. Una configurazione errata in queste integrazioni può esporre i dati anagrafici di migliaia di residenti a soggetti non autorizzati.
Compromissione delle credenziali SPID e CIE. Poiché l'accesso al wallet avviene esclusivamente tramite SPID o CIE, sottrarre queste credenziali equivale a ottenere le chiavi dell'intera identità digitale dell'utente. Il rischio non si limita ai documenti archiviati nel wallet: chi ha accesso alle credenziali può potenzialmente accedere anche ad altri servizi pubblici collegati allo stesso SPID.
Questa combinazione di fattori — un ecosistema nuovo, PA con sistemi eterogenei e milioni di utenti che iniziano a caricare i propri documenti sull'app IO — crea una finestra di vulnerabilità critica. È esattamente il tipo di transizione in cui un esperto informatico offre il maggior valore: identificare le falle prima che vengano sfruttate.
Il caso concreto: cosa succede se il tuo IT Wallet viene compromesso
Per capire concretamente cosa è in gioco, consideriamo il caso di Marco V., 41 anni, titolare di una PMI emiliana che fornisce servizi amministrativi a enti locali. A partire da settembre 2026, la sua azienda decide di connettersi volontariamente al sistema IT Wallet come soggetto verificatore di attestati digitali, per semplificare i processi con gli sportelli digitali dei Comuni clienti.
Qualche settimana dopo, Marco riceve un'email apparentemente inviata da AgID con oggetto: "Aggiornamento obbligatorio delle credenziali IT Wallet — azione richiesta entro 48 ore". Il messaggio replica fedelmente la grafica istituzionale e rimanda a un sito che imita il portale del governo. Marco inserisce le credenziali SPID aziendali.
Ecco la sequenza realistica di eventi che può seguire:
- Entro 24 ore: i dati contenuti nel wallet — codice fiscale, partita IVA, patente di guida, tessera sanitaria — vengono estratti. Secondo il Rapporto Clusit 2025, un profilo di identità digitale completo viene venduto sul dark web a un prezzo compreso tra 50 e 300 euro, con picchi superiori per profili aziendali con partita IVA attiva.
- Entro 48 ore: un terzo malintenzionato usa quei dati per richiedere un microcredito su una piattaforma fintech. Con dati di identità completi e verificabili, alcune piattaforme approvano finanziamenti fino a 5.000 euro senza verifica fisica del richiedente.
- Entro 72 ore: il danno finanziario è avvenuto. Marco ha tuttavia il diritto — garantito dal GDPR — di segnalare la violazione al Garante della Privacy entro 72 ore dalla scoperta e di richiedere il risarcimento al titolare del trattamento dei dati.
Se invece Marco avesse consultato un esperto informatico prima di integrare l'azienda nel sistema IT Wallet, avrebbe adottato l'autenticazione a due fattori rafforzata per lo SPID professionale, configurato alert automatici su accessi insoliti e formato i collaboratori a riconoscere le tecniche di phishing legate ai nuovi servizi digitali governativi. Il costo di una consulenza preventiva di sicurezza informatica si misura in poche ore di lavoro; il danno da un incidente di questo tipo si misura in settimane di contenzioso e migliaia di euro.
Puoi consultare un esperto di sicurezza informatica qualificato direttamente su ExpertZoom per una valutazione personalizzata del tuo sistema, seguendo anche gli approfondimenti già pubblicati sul quantum computing e la sicurezza dei dati aziendali in Italia.
Cinque passi per proteggere la tua identità nel sistema IT Wallet
Che tu sia un cittadino che vuole attivare il wallet sull'app IO o un'impresa che valuta l'integrazione con la nuova infrastruttura governativa, questi sono i passi che gli esperti di sicurezza informatica raccomandano di seguire fin da subito:
1. Attiva il 2FA rafforzato sul tuo SPID. Usa un'app authenticator dedicata — non gli SMS, che sono vulnerabili agli attacchi SIM swap — come secondo fattore. Questa misura riduce drasticamente il rischio di compromissione anche in caso di phishing andato a segno.
2. Distingui le credenziali SPID personali da quelle professionali. Il regolamento AgID prevede uno SPID ad uso professionale per le imprese. Usarlo separatamente dalle credenziali personali limita i danni in caso di incidente e facilita la tracciabilità degli accessi aziendali al sistema IT Wallet.
3. Non aprire mai link nelle email legate a IT Wallet. Qualsiasi email che chiede di aggiornare credenziali o accedere al portafoglio digitale tramite link è quasi certamente phishing. Le comunicazioni ufficiali di AgID e del governo arrivano esclusivamente da domini .gov.it e non chiedono mai di inserire credenziali tramite email.
4. Fai un security assessment prima di connetterti come impresa. Se la tua azienda vuole integrarsi con l'IT Wallet come soggetto verificatore, commissiona una verifica tecnica preliminare delle API, dei flussi dati e delle politiche di accesso. I rischi di configurazione errata in questa fase sono elevati.
5. Monitora la presenza dei tuoi dati nei database compromessi. Servizi come HaveIBeenPwned.com avvisano gratuitamente quando le tue credenziali compaiono in un data breach noto. Per le imprese esistono soluzioni di monitoraggio continuo del dark web, che segnalano in tempo reale la comparsa di dati aziendali.
L'IT Wallet rappresenta un passo avanti reale nella digitalizzazione dei servizi pubblici italiani. Ma ogni infrastruttura nuova introduce nuove superfici d'attacco. Affidarsi a un consulente informatico qualificato in questa fase di transizione non è un costo — è una misura di prevenzione che può evitare perdite molto più significative.
Disclaimer: Le informazioni contenute in questo articolo hanno carattere puramente informativo e giornalistico. Non costituiscono consulenza legale, informatica o finanziaria. Per una valutazione personalizzata del proprio sistema di sicurezza, si raccomanda di consultare un professionista qualificato.
