Articolo di Annamaria Niccoli

1 luglio 2026

Cedere documenti d’identità (carta d’identità, codice fiscale, atti di nascita) a sconosciuti conosciuti online è una pratica “estremamente pericolosa”. Anche se la persona dall’altra parte dello schermo sembra affidabile, le informazioni che stai condividendo sono la chiave d’accesso alla tua identità digitale e fisica.

1. Facciamo un esempio: Un tuo amico virtuale conosciuto su di un social, ti chiede i tuoi documenti personali, come carta d’identità, atto di nascita, codice fiscale. Nel tempo scopri che questo tuo amico virtuale potrebbe agire nel Dark Web. Quali sono i rischi?

Immaginate di ricevere una richiesta apparentemente innocua. Un profilo su social media accattivante, conversazioni che diventano quotidiane, una fiducia che cresce nel tempo. Poi, la domanda: “Mi servirebbe una foto del tuo documento per una pratica, mi fido solo di te”. Sembra un favore tra amici, ma nel 2026, quello che ti stanno chiedendo non è un aiuto, è il passe-partout per la tua rovina.
Dietro lo schermo di uno smartphone, la distanza geografica si annulla, ma lo stesso accade con i freni inibitori.
Quando una persona conosciuta sui social inizia a chiedere documenti sensibili (carta d’identità, codice fiscale, atti di nascita), non stai più parlando con un amico. Stai offrendo le chiavi di casa a uno sconosciuto che, nel peggiore dei casi, opera nell’ombra del Dark Web.
Una volta che i tuoi documenti sono finiti nelle mani sbagliate, la tua identità smette di appartenerti. Nel sottobosco del Dark Web, i tuoi dati diventano dei “pacchetti” di informazioni venduti all’asta. Per un criminale, il tuo documento non è solo un foglio di carta, è un asset (risorsa). Possono aprire conti correnti, richiedere finanziamenti a tuo nome o utilizzare i tuoi dati per il riciclaggio di denaro sporco.
Il risultato? Ti svegli una mattina e scopri di avere debiti che non hai mai contratto, o peggio, di essere indagato per truffe che non hai mai commesso. La legge italiana ti considera responsabile se la tua identità è stata usata per un reato, a meno che tu non riesca a provare la tua totale estraneità.
Non è solo una questione di soldi. Il possesso dei tuoi documenti è un’arma psicologica devastante. La minaccia di pubblicare i tuoi dati privati online, è il metodo preferito per instaurare un legame di dipendenza forzata. Il truffatore diventa il tuo “carceriere digitale”: ti ricatta, ti minaccia, ti costringe a fare cose che non vorresti, sapendo che non hai il coraggio di chiudere i ponti per paura delle ripercussioni.
La manipolazione è il loro punto di forza; la vostra unica difesa è l’assenza.
Ma non basta. La denuncia presso la Polizia Postale non è un’opzione, è un dovere verso voi stessi. È l’unico documento legale che, in futuro, potrà dimostrare davanti a un giudice che i conti aperti a vostro nome, i debiti contratti o i contratti stipulati non sono farina del vostro sacco.
Monitorate la vostra situazione creditizia tramite i portali dedicati  e mettete in sicurezza ogni accesso digitale con l’autenticazione a due fattori.

2. Per essere più chiari su questo punto:

Nel mondo digitale, una volta che premi il tasto “Invia”, la realtà cambia. Quell’immagine del tuo documento, inviata con leggerezza a un “amico” conosciuto sui social, non è più un semplice file: è un pezzo della tua identità che ha preso il volo. Molti mi chiedono: “Posso annullare l’invio? Posso fare in modo che quel documento diventi inutile?”. La risposta è NO. Una volta che un file digitale lascia il tuo dispositivo, ne perdi il controllo totale. È una copia che può essere salvata, moltiplicata e archiviata su server che non saprai mai nemmeno dove si trovano.
Ma non lasciatevi prendere dal panico. Sebbene non si possa “cancellare il passato”, esistono strategie concrete per costruire uno scudo legale e bloccare, o quantomeno limitare, l’impatto di un uso illecito.
Molti esitano a denunciare perché pensano che le autorità non possano “cancellare” il file. È un errore di prospettiva. La denuncia alla Polizia Postale o ai Carabinieri non è un’operazione di pulizia digitale, ma la creazione di una prova ufficiale di estraneità. In caso di truffa o furto d’identità, il tempo è tutto. La denuncia fornisce quella che in diritto chiamiamo “data certa”: prova che, da quel momento in poi, qualsiasi operazione fatta a tuo nome non è opera tua. Senza questo documento, rischi di passare da vittima a complice agli occhi di chi indaga. Portate con voi tutto: screenshot delle conversazioni, nomi utente, date e, se possibile, una copia di ciò che avete incautamente inviato.
Che il vostro nome venga usato per richiedere prestiti o aprire linee di credito. È qui che entra in gioco il Credit Monitoring. Servizi come quelli gestiti dai Sistemi di Informazioni Creditizie (SIC), ad esempio il portale MisterCredit di CRIF, fungono da allarme precoce. Monitorando la vostra posizione creditizia, potete scoprire in tempo reale se qualcuno ha tentato (o è riuscito) ad aprire un finanziamento a vostro nome, permettendovi di bloccare la deriva prima che diventi un disastro finanziario.
Se il rischio è concreto, giocate d’anticipo sulla burocrazia. Richiedere una nuova carta d’identità al Comune, dichiarando lo smarrimento o la sottrazione del precedente supporto, è una mossa tattica. Il vecchio documento, pur continuando a circolare, risulterà “non valido” o “sostituito” nei database ufficiali. Questo non ferma una truffa online amatoriale, ma rende il documento inutile per tutte le procedure che richiedono una verifica di validità in tempo reale.
Oggi, con SPID e CIE, la nostra vita è connessa in rete. Se una foto del vostro documento è online, il prossimo passo dei criminali sarà cercare di elevare il livello di attacco, provando a creare un’identità digitale a vostro nome.
Entrate periodicamente nei portali della Pubblica Amministrazione e controllate che tutto sia regolare.
Se il truffatore ha la vostra identità, ma non il vostro smartphone per confermare l’accesso, ha già perso la metà della battaglia.
Tenete a mente questa distinzione: il codice fiscale, pur sensibile, è un dato matematico facilmente ricostruibile. È la “foto della carta d’identità” il vero “oro” per i cybercriminali. È ciò che permette loro di superare i controlli Know Your Customer (KYC) delle piattaforme fintech, aprendo conti correnti in pochi minuti.
Non si può tornare indietro e impedire quell’invio, ma si può  decidere che, la vostra sicurezza non è più negoziabile.

3. Quali sono tutti i reati dal codice penale e del codice di procedura penale che potrebbero configurarsi?

Nel vasto mare del web, il confine tra un’amicizia digitale e un reato è spesso invisibile, ma le conseguenze sono reali e feroci.
Il Codice Penale italiano parla chiaro: è come la scacchiera del reato. Quando i vostri dati vengono sottratti oppure vengono chesti amichevolmente per essere usati o venduti nel Dark Web, non c’è un solo reato a essere consumato, ma una catena di violazioni che si intrecciano:
(Art. 494 c.p. – Sostituzione di persona): È il pilastro di queste truffe. Chi si spaccia per voi, o usa i vostri dati per ottenere un vantaggio o recarvi danno, sta commettendo un reato contro la fede pubblica. Non serve che vi abbiano rubato il portafoglio fisico; basta che abbiano preso la vostra “identità” digitale per indurre terzi in errore.
(Art. 640-ter c.p. – Frode informatica): Se quel documento serve a svuotare il vostro conto o ad aprire un finanziamento a vostro nome, entriamo nel campo della frode informatica. La legge è severa: esiste un’aggravante specifica per l’uso indebito dell’identità digitale, che trasforma il gesto in una ferita diretta al vostro patrimonio.
(Art. 615-quater c.p. – Diffusione di codici): Chi vende i vostri dati nel Dark Web sta, tecnicamente, distribuendo chiavi d’accesso a sistemi protetti. È una condotta che va ben oltre il semplice spionaggio: è commercio illecito.
(Art. 167 Codice Privacy): Anche il trattamento dei dati personali, se finalizzato al profitto o al danno, diventa una questione penale. Non siamo più nell’ambito della sanzione amministrativa, ma del reato a tutti gli effetti.
Molti temono che per avviare un’indagine serva una “querela di parte” , sia complicata. In realtà, la gravità di queste condotte fa sì che gran parte di questi reati siano perseguibili d’ufficio. Cosa significa? Che una volta che le autorità vengono messe al corrente, tramite la vostra denuncia, l’indagine non è più una vostra scelta, ma un atto dovuto dello Stato.
La Cassazione, inoltre, è chiara: la sostituzione di persona e la frode non si annullano a vicenda. Chi agisce contro di voi risponde di tutto: ogni singolo passaggio, dalla menzogna iniziale al profitto finale, è un tassello che aggiunge anni di potenziale condanna al fascicolo del colpevole.
Se decidete di fare il passo corretto e rivolgervi alla Polizia Postale, si aprirà la fase delle indagini preliminari. Gli inquirenti inizieranno a tracciare i log di connessione, gli indirizzi IP e i flussi finanziari.
Non cercate di rintracciare il truffatore nel Dark Web, non provate a infiltrarvi nelle sue cerchie. Sono ambienti pericolosi, dominati da professionisti del crimine informatico. Inoltre, una vostra “indagine privata” rischia di inquinare le prove digitali di cui la Procura avrà bisogno per costruire il caso. Lasciate che sia la tecnologia della Polizia Postale a parlare: loro hanno le chiavi per decifrare l’oscurità del Dark Web, voi avete il compito di fornire loro la base su cui costruire l’inchiesta.
La denuncia non è solo un atto burocratico: è l’unico modo per cristallizzare la prova che voi, in questa storia, siete le vittime.

4. L’ipotetico truffatore ha il codice IP poggiato su provider stranieri, con esempio in Brasile. Come agisce la legislazione italiana?

Nel mondo della criminalità informatica, le frontiere sono diventate concetti astratti. Un truffatore può sedere a migliaia di chilometri di distanza, protetto dall’anonimato di un server in Brasile o di una rete che rimbalza tra, ad esempio, Germania e Romania, mentre voi siete comodamente seduti nel salotto di casa vostra in Italia. Ma la distanza geografica può davvero mettere al sicuro un criminale dalla portata della giustizia italiana? La risposta breve è no.
Molti pensano che se un server si trova oltreoceano, la Polizia Postale sia impotente. È un falso mito. Il nostro Codice Penale, all’articolo 6, è chiarissimo e si basa sul “principio di ubiquità”.
In termini semplici: per la legge italiana, il reato si considera commesso ovunque si verifichi l’azione o l’evento dannoso. Se il truffatore “spinge il tasto” in Brasile, ma voi subite il furto di identità o la truffa qui in Italia, per lo Stato italiano il reato è avvenuto a casa vostra. La competenza giurisdizionale è piena, totale e indiscutibile. Lo scudo della legge non si ferma ai confini nazionali; esso insegue il crimine ovunque colpisca un cittadino italiano.
Quando un’indagine punta a un server estero, scatta la macchina della cooperazione giudiziaria internazionale. Non significa che la Polizia Postale possa “fare irruzione” in un data center in Sud America. Significa invece attivare una procedura formale: la “rogatoria internazionale”.
Il Pubblico Ministero italiano inoltra una richiesta ufficiale all’autorità giudiziaria del paese estero affinché vengano acquisiti i log di connessione, le tracce del traffico dati, le identità reali dietro quel segnale. È una procedura che può passare per i canali dell’Interpol o di Europol, accelerando lo scambio di informazioni.
Se il paese è nell’Unione Europea, grazie all’Ordine Europeo di Indagine (OEI), i tempi si accorciano sensibilmente. Se siamo fuori dall’UE, entriamo in un terreno dove la burocrazia può trasformare le indagini in una maratona che dura mesi, a volte anni.
Il criminale moderno non è sprovveduto. Usa VPN (Virtual Private Network), Proxy e la rete Tor, creando strati di crittografia che fanno apparire la connessione in un punto per poi farla sparire in un altro. È una vera e propria caccia al tesoro dove ogni indizio potrebbe essere falso.
Per essere onesti: le forze dell’ordine hanno risorse limitate. I reati che vedono il coinvolgimento dell’incolumità fisica o danni finanziari milionari scalano inevitabilmente le priorità investigative.

5. Ipotizziamo che la VPN è in Germania o Romania. Come agisce la legislazione italiana?

Siamo abituati a pensare che, una volta che un truffatore si rifugia dietro la barriera tecnologica di una VPN con sede in Germania o in Romania, diventi un fantasma invisibile per la giustizia italiana. La verità è che il web non è un territorio senza legge, ma è un terreno di scontro burocratico dove la velocità è l’unica vera arma. Se il criminale crede che spostare il suo “ufficio” dal Brasile all’Europa lo metta al sicuro, si sbaglia di grosso. Ma per capire come funziona questa partita a scacchi, dobbiamo guardare oltre il monitor.
Se nel caso di paesi extra-UE la giustizia deve affrontare la lenta e farraginosa macchina delle rogatorie internazionali, all’interno dei confini dell’Unione Europea lo scenario cambia radicalmente. Qui, le autorità italiane non bussano alla porta di un paese straniero come richiedenti, ma come partner. Lo strumento chiave è l’Ordine Europeo di Indagine (OEI).
È una procedura snella, standardizzata, che impone ai magistrati tedeschi o rumeni un obbligo di collaborazione. Non serve più negoziare trattati bilaterali ad hoc: l’OEI è una lingua comune che le polizie europee parlano fluentemente. In casi complessi, entra in gioco Eurojust, l’agenzia che funge da “torre di controllo” per coordinare le indagini che corrono su più binari nazionali contemporaneamente.
Peroò, anche con il mandato più solido del mondo, c’è un ostacolo che nessuna legge può abbattere facilmente: la politica di “VPN no-log” (servizio che protegge la tua privacy online non registrando né conservando i dati delle tue attività).
Molti provider VPN, proprio perché operano in giurisdizioni come la Germania o la Romania (spesso scelte per il rispetto della privacy), dichiarano solennemente di non tenere alcun registro delle attività dei propri utenti.
Quando l’autorità italiana ordina la consegna dei dati, il provider risponde con un cortese ma fermo: “Non abbiamo nulla da darvi”. È il muro di gomma. Senza log, la traccia digitale si dissolve nel nulla. La caccia si sposta allora sui “punti di uscita” o su altre briciole digitali, come: pagamenti effettuati, accessi social, comunicazioni email, che potrebbero, con estrema pazienza, rivelare l’identità dell’ombra dietro la tastiera.
L’efficienza di questa cooperazione varia a seconda del Paese. La Germania è una macchina rodata: la sua giustizia è rapida, ma le sue leggi sul GDPR sono tra le più rigide al mondo. Un provider tedesco non consegnerà un solo byte di dati senza un mandato giudiziario impeccabile e dettagliato. La Romania, d’altro canto, è passata in pochi anni da “terra di frontiera” tecnologica a nodo centrale dell’integrazione europea. Grazie ai sistemi di informazione Schengen, lo scambio di dati è oggi rapido quasi quanto un click.
“Purtroppo il tempo è un predatore”.
I dati di connessione non restano lì per sempre. I provider li cancellano per legge, spesso dopo pochi mesi o addirittura dopo pochi giorni.
Ecco perché la vostra denuncia è la chiave di volta: non serve solo a raccontare il fatto, ma a inviare al provider una “data retention request” , [Richiesta di conservazione dei dati (o di accesso/cancellazione)] d’urgenza. Questo atto blocca la cancellazione automatica dei log, “congelando” la prova digitale mentre la burocrazia dell’OEI fa il suo corso.
La barriera tecnologica della VPN è reale, ed è un ostacolo che richiede competenza e pazienza, ma non è insormontabile. La vera differenza tra un’indagine chiusa con successo e un fascicolo destinato all’archiviazione è la tempestività. Il criminale punta sulla vostra esitazione, sulla vostra convinzione che tanto “non serva a nulla”. La Polizia Postale, invece, punta sulla vostra collaborazione.

Fonte:

– Polizia Postale e delle Comunicazioni (Italia)
– Garante per la Protezione dei Dati Personali (Privacy)
– Ministero dell’Interno: Dati statistici sui reati di frode informatica e sostituzione di persona.
– Articolo 494 c.p. (Sostituzione di persona)
– Articolo 640 c.p. (Truffa) e 640-ter c.p. (Frode informatica)
– Giurisprudenza della Corte di Cassazione
– CRIF (Centrale Rischi Finanziari) – Osservatorio Cyber
– Clusit (Associazione Italiana per la Sicurezza Informatica)
– Agenzie Internazionali (Europol ed ENISA)

-Sole 24 Ore: “Cybercrime e furto di identità, l’allarme degli esperti: i dati rubati sul Dark Web aumentano in gravità”.

– Ansa.it / Economia & Finanza: “Frodi creditizie in aumento in Italia: oltre 18mila casi. Nel mirino soprattutto gli under 30”.

– TechFromTheNet / Cybersecurity Toda: “Furto di identità digitale: la minaccia principale”, (febbraio 2026)

– Corriere della Sera / Tecnologia: “La truffa dei documenti sui social: la trappola invisibile che trasforma le vittime in complici dei boss del web”

– La Repubblica / Green & Blue – Cyber-risk: “Identità sintetiche nel mercato nero del Dark Web: quanto vale la nostra vita digitale?”. Articolo investigativo che analizza i prezzi dei “Fullz”

– Mister Credit Blog (CRIF Publications): “Furti di dati nel Dark Web: sempre più numerosi e gravi”, (marzo 2026).

#FurtoDIdentità, #DarkWeb, #Cybercrime, #TruffeOnline, #IdentitàDigitale, #SocialMediaTricks, #IngegneriaSociale,
#SicurezzaInRete, #Phishing, #PrivacyOnline, #Inchiesta,  #GiornalismoInvestigativo, #DatiPersonali, #PoliziaPostale,