Che cos'è il furto di identità e come fermarlo?

Il furto d'identità si verifica quando qualcuno usa i tuoi dati personali per farsi passare per te: prendendo il controllo di un account, aprendo un prestito o una linea telefonica, o superando una verifica dell'identità con i tuoi dati. Spesso questi dati provengono da una fuga di informazioni presso un'azienda o un ente che li custodiva, il che significa che può succedere anche alle persone più prudenti.

La prima ora dopo averlo scoperto è la più importante: qui sotto trovi i passi da seguire e poi i canali ufficiali per Spagna, Messico, Colombia, Argentina, Cile, Stati Uniti e Regno Unito.

Cosa si intende per furto d'identità

L'agenzia messicana per la tutela dei consumatori in materia finanziaria CONDUSEF lo definisce così: una persona ottiene, trasferisce, usa o si appropria dei dati di un'altra persona senza autorizzazione, di solito per commettere una frode o un crimine. Questi dati includono nome, telefono, indirizzo, foto, impronte digitali, numeri di patente e di previdenza sociale, e registri finanziari o medici.

La Federal Trade Commission statunitense ha ricevuto più di 1,1 milioni di segnalazioni di furto d'identità nel 2024. Nel Regno Unito, i membri di Cifas hanno presentato più di 242.000 casi di frode d'identità nel 2025, il 54% di tutto ciò che è stato segnalato alla National Fraud Database. Il regolatore colombiano per i consumatori e i dati, la SIC, ha contato 40.316 denunce per furto d'identità dal 2020.

Come una violazione di dati si trasforma in furto di identità

Cosa contiene una violazione

Una violazione è una copia dei registri clienti di un'azienda finita nelle mani sbagliate. Alcune violazioni contengono indirizzi e-mail e password. Altre non contengono password ma molti dati identificativi. Quando l'azienda energetica spagnola Endesa ha notificato ai clienti un accesso non autorizzato a gennaio 2026, i dati esposti erano dati identificativi e di contatto di base, numeri di DNI e dati contrattuali, possibilmente IBAN, e nessuna password, secondo l'avviso di INCIBE, l'istituto spagnolo per la cybersicurezza.

Come le violazioni vengono combinate e vendute

Raramente una singola violazione fornisce a un criminale tutto ciò che serve. I dati vengono uniti ai dati di altre violazioni e a credenziali rubate da malware, poi venduti come liste. A giugno 2025 i ricercatori hanno trovato 30 set di dati esposti contenenti circa 16 miliardi di record di accesso. Si trattava di una compilazione, non di una nuova violazione: la maggior parte probabilmente proveniva da malware che rubano password, da violazioni più vecchie e da liste create per provare accessi in blocco.

I venditori esagerano anche, quindi una dichiarazione non è una violazione confermata. A inizio novembre 2026 un venditore su un forum di dati rubati ha dichiarato di avere foto, impronte digitali e dati identificativi di circa 41,4 milioni di colombiani, presumibilmente provenienti dai sistemi della Registraduría Nacional del Estado Civil. Nessuno ha verificato questa affermazione in modo indipendente. Il 5 novembre la Registraduría ha detto che la sua revisione dei log e delle tracce di accesso non ha trovato intrusioni o accessi non autorizzati. La stampa colombiana ha anche notato che la cifra quasi corrisponde alle liste elettorali e che non è dimostrato che i campioni provengano dalla Registraduría.

Le strade dai dati trapelati a qualcuno che si spaccia per te

• Furto di account tramite password riutilizzate. Una coppia e-mail e password trapelata viene provata automaticamente su altri servizi. Se hai riutilizzato la password, anche quegli account si aprono. Cifas ha registrato più di 78.000 casi di furto di account nel Regno Unito nel 2025, di cui circa il 90% su prodotti di telefonia mobile, commercio online e carte di credito personali.
• Phishing che usa i tuoi dati reali. Un messaggio che cita il tuo vero numero di documento, indirizzo o contratto sembra autentico. La SIC avverte che il fatto che uno sconosciuto conosca il tuo nome, numero di documento o indirizzo non lo rende legittimo.
• Nuovi crediti o linee telefoniche a tuo nome. Con un nome, un numero di documento e un indirizzo, un criminale può richiedere un prestito o un contratto mobile. Su 13.983 segnalazioni di furto di identità presentate tramite la piattaforma della SIC dal 2022 a maggio 2026, l'81% riguardava le telecomunicazioni.
• SIM swap. Qualcuno convince il tuo operatore a emettere una SIM duplicata usando i tuoi dati personali, poi riceve le tue chiamate e i codici che la tua banca invia via SMS. L'agenzia spagnola per la protezione dei dati ha sanzionato operatori per questo, tra cui una multa di 70.000 euro a Digi. La Guardia Civil ha avvertito che una improvvisa perdita di segnale mobile può essere il primo segnale.
• Documenti falsi da foto dei documenti. Le foto di documenti d'identità e volti vengono usate per superare i controlli di identità online. Cifas dice che gli strumenti di AI ora aiutano i criminali a produrre "impersonazioni convincenti, documenti falsi e identità sintetiche rapidamente e su larga scala". Una foto di un documento, un'impronta digitale o un volto trapelati sono peggio di una password trapelata, perché una password puoi sostituirla, mentre le tue impronte digitali o il tuo viso no.

Come verificare se la tua e-mail o password è comparsa in una violazione

Questi controlli gratuiti riguardano le password salvate in un solo password manager oppure un singolo indirizzo e-mail.

• Google Password Checkup (in Google Password Manager e Chrome) confronta le password salvate con credenziali compromesse note e segnala quelle deboli e riutilizzate. Google l'ha progettato in modo che non venga a conoscenza delle tue password. Controlla solo le password salvate in Google Password Manager.
• Apple Passwords verifica le password salvate in AutoFill rispetto a un elenco di password trapelate. Il controllo è progettato in modo che le tue password non vengano inviate ad Apple. Riguarda solo ciò che è memorizzato lì.
• Microsoft Edge Password Monitor verifica le password salvate in Edge rispetto a un database di credenziali trapelate. È attivo automaticamente se accedi e sincronizzi. In caso contrario, attiva "Mostra avvisi quando le password vengono trovate in una fuga online". Microsoft dichiara che le fughe molto recenti potrebbero non essere ancora nel database.
• Mozilla Monitor funziona per indirizzo e-mail, non per password: invia avvisi gratuiti quando il tuo indirizzo compare in una violazione nota. Il suo livello a pagamento per la rimozione dei dati ha chiuso a dicembre 2025, ma gli avvisi gratuiti restano.

Le guide più datate potrebbero indirizzarti al report dark web di Google. Google l'ha chiuso il 16 febbraio 2026 e ora rimanda le persone a Password Checkup e alle passkey.

Tutti questi controlli condividono gli stessi limiti:

• Un risultato pulito non è prova di sicurezza, perché gli elenchi restano indietro rispetto alle nuove fughe.
• I controlli delle password riguardano solo le password memorizzate in quel gestore.
• Un avviso di violazione via e-mail ti dice in quale violazione è comparso il tuo indirizzo, non se qualcuno ha usato i tuoi dati.
• Nessuno di questi mostra il tuo numero di documento, i dati biometrici o i dati bancari in circolazione, o un prestito aperto a tuo nome. Per questo serve la tua storia creditizia, trattata nelle sezioni per paese qui sotto.

Non pagare nessuno per controllare o ripulire la tua storia creditizia. L'accesso alla propria storia creditizia è un diritto legale gratuito in Spagna, Messico, Colombia, Stati Uniti e Regno Unito.

Come fare il controllo con lo Scanner di violazioni di Le VPN su iPhone e Android

Se usi Le VPN, l'app include uno Scanner di violazioni. È compreso in ogni servizio Le VPN attivo senza costi aggiuntivi. Controlla l'indirizzo e-mail del tuo account Le VPN rispetto alle violazioni di dati note una volta al giorno. Le violazioni elencate sono fughe avvenute presso altre aziende, mai presso Le VPN.

1. Aggiorna l'app. Ti serve la versione 3.7.0 o successiva su iPhone e iPad, e la versione 3.9.0 o successiva su smartphone e tablet Android da Google Play.
2. Apri il menu. Tocca il pulsante in alto a sinistra della schermata principale, poi "Scanner di violazioni", subito dopo "Impostazioni VPN". La riga sotto il nome mostra già il risultato, ad esempio "Presente in 3 violazioni" o "Nessuna violazione trovata". Su iPhone, un pallino rosso sul pulsante del menu indica che è stata trovata una violazione che non hai ancora rivisto.

3. Leggi la schermata principale. Un anello mostra il numero di violazioni da rivedere. Sotto ci sono l'indirizzo monitorato, "Ultimo controllo" e "Prossimo", e un pulsante "Controlla ora" utilizzabile una volta all'ora. Se non è stato trovato nulla, la schermata dice: "Buone notizie: il tuo indirizzo non compare in nessuna violazione di dati nota. Continuiamo a controllare."

4. Apri una violazione. "Prossima da rivedere" mostra il nome della violazione, il mese e il numero di account. Tocca "Dettagli" per la scheda completa: data della violazione, account coinvolti, quando è stata trovata per il tuo indirizzo, cosa è successo, ed etichette come "Nuova", "Violazione sensibile" o "Non verificata".
5. Agisci su "Cosa è stato esposto" e "Cosa fare". Il primo elenca i tipi di dati, come password o nomi. Il secondo indica i passaggi: cambia la password su quel servizio e ovunque l'hai riutilizzata, controlla gli estratti conto bancari, aspettati chiamate e messaggi truffa, non comunicare mai a un chiamante un codice ricevuto via SMS, e attiva la verifica in due passaggi.

6. Segna come rivista. "Segna come rivista" serve solo per il tuo tracciamento personale. I controlli continuano.
7. Configura gli avvisi. "Controlli automatici" esegue il controllo ogni giorno, e l'impostazione è condivisa con le-vpn.com e con ogni app Le VPN. "Avvisi via e-mail" ti invia un'e-mail quando il tuo indirizzo compare in una nuova violazione. Un controllo manuale non invia nessuna e-mail.

Lo scanner controlla solo l'indirizzo e-mail del tuo account Le VPN. Non controlla altri indirizzi e-mail, numeri di telefono o password, quindi usalo insieme al controllo del tuo gestore di password. La stessa schermata è presente nelle app Windows, Mac e Linux e nell'area clienti del sito web.

La prima ora dopo la scoperta

Segui questo elenco in ordine. I primi due punti sono i più importanti.

1. Metti in sicurezza il tuo account e-mail. È lì che arrivano i link per reimpostare le password di tutto il resto. Imposta una password mai usata prima, attiva la verifica in due passaggi, disconnetti tutte le altre sessioni e controlla che non siano state aggiunte regole di inoltro o indirizzi di recupero.
2. Chiama la tua banca. Usa il numero sulla tua carta o nell'app ufficiale, mai uno presente in un messaggio. Blocca le carte e contesta qualsiasi addebito che non riconosci. Chiedi un numero di riferimento.
3. Cambia la password esposta ovunque l'hai riutilizzata. Inizia con gli account che contengono una carta o possono spendere denaro.
4. Attiva la verifica in due passaggi per l'home banking, l'account del tuo operatore telefonico, le app di messaggistica e gli account social.
5. Chiama il tuo operatore telefonico se hai perso il segnale. Usa un altro telefono e chiedi se è stata emessa una SIM duplicata.
6. Conserva le prove. Salva screenshot, messaggi, date e numeri di riferimento. Ti serviranno per la segnalazione.
7. Avvisa le persone a te vicine se un account che può inviare loro messaggi è stato compromesso.

I primi giorni: i canali ufficiali per paese

Nei giorni successivi, presenta una denuncia formale, controlla la tua storia creditizia per scoprire conti che non hai aperto, e sostituisci i documenti persi o rubati. La denuncia ufficiale è ciò che aziende e centrali rischi ti chiedono, quindi presentala prima di avviare le contestazioni.

Spagna

• Consigli: la linea di assistenza 017 di INCIBE è gratuita e riservata, aperta dalle 8:00 alle 23:00 tutti i giorni dell'anno, anche su WhatsApp (900 116 117) e Telegram (@INCIBE017). Nel 2025, il 14% delle sue 142.767 richieste riguardava la sostituzione di persona digitale.
• Denuncia: rivolgiti alla Policía Nacional (in un commissariato o allo 091) o alla Guardia Civil. La sede online della Guardia Civil accetta denunce complete per alcuni reati, inclusi gli addebiti fraudolenti su carta fino a 10.000 €, se hai un certificato digitale.
• DNI perso o rubato: denuncialo, avvisa la tua banca e conserva la denuncia. Ti protegge se qualcuno apre prodotti a tuo nome.
• Carte: il Banco de España afferma che dopo aver avvisato la banca non sei responsabile per l'uso non autorizzato, e prima di allora la tua responsabilità è limitata a 50 €, salvo negligenza. Se la banca rifiuta, rivolgiti al suo servizio clienti e poi al Servicio de Reclamaciones del Banco de España.
• Registri dei morosi: ASNEF è gestito da Equifax e BADEXCUG da Experian. Chiedi al titolare della storia creditizia quali dati su di te possiede. È gratuito e devono rispondere entro un mese. Per un debito nato da una frode, segnala alla polizia un "presunto fraude en la contratación", poi chiedi la cancellazione. Se non ricevi risposta, presenta reclamo all'AEPD.
• La legge: la suplantación de identidad viene di solito perseguita come estafa, falsedad o ai sensi dell'articolo 401 del Código Penal.

Messico

• Report creditizio: per legge puoi richiedere gratuitamente un Reporte de Crédito Especial ogni dodici mesi da Buró de Crédito e da Círculo de Crédito. Cerca prestiti che non riconosci.
• Contestazione: contatta il prestatore, dichiara che si tratta di robo de identidad e ottieni un numero di folio. Quindi presenta una reclamación alla centrale rischi, che contrassegna la voce come "Registro Impugnado" mentre viene esaminata.
• CONDUSEF: per i crediti finanziari, la CONDUSEF richiede insieme a te il tuo report creditizio speciale e, se ci sono prestiti che non riconosci, chiede un blocco delle consultazioni della tua storia creditizia e avvia il reclamo formale. Per i crediti commerciali, rivolgiti a Profeco.
• Denuncia: presentala al Ministerio Público o alla Fiscalía del tuo stato.
• Attenzione a: nessuno può cancellare o modificare il tuo report del Buró in cambio di denaro. Le banche non chiedono password o codici di accesso per telefono, SMS o app di messaggistica.

Colombia

• Denuncia: presenta una denuncia online su ADenunciar (adenunciar.policia.gov.co), gestito dalla Fiscalía e dalla Policía Nacional. Un funzionario la convalida entro 24 ore e ti invia via e-mail un número de noticia criminal.
• Incidenti: segnala chiamate fraudolente, messaggi e siti falsi alla CAI Virtual (caivirtual.policia.gov.co). Non è la stessa cosa di una denuncia.
• Report creditizio negativo: reclama prima presso l'azienda che ti ha segnalato o presso la centrale rischi. Hanno 15 giorni di tempo per rispondere. Se rifiutano o tacciono, rivolgiti alla Delegatura de Protección de Datos della SIC con la prova di falsedad personal e una copia della tua denuncia.
• Storia creditizia: DataCrédito (midatacredito.com) offre un controllo gratuito della storia creditizia e un avviso gratuito via e-mail quando compare una nuova obbligazione. Anche TransUnion offre una verifica gratuita.
• Nuova legge: la Ley 2573 de 2026 entra in vigore a novembre 2026, sei mesi dopo la sua promulgazione avvenuta il 19 maggio. Una volta che notifichi l'azienda con le prove, questa deve sospendere immediatamente la riscossione, interessi inclusi. Hai 20 giorni lavorativi da quella notifica per presentare la denuncia penale. Un'etichetta "Víctima de Falsedad Personal" non può essere considerata un report negativo.

Argentina

• DNI perso o rubato: dopo la denuncia alla polizia, registralo nel Registro de Documentos de Identidad Cuestionados, poi richiedi una nuova copia a RENAPER tramite l'app Mi Argentina o un centro di documentazione.
• Frode: reclama prima presso la banca o l'emittente della carta e ottieni un numero di reclamo. La BCRA è il secondo passo. Per i reati informatici, contatta la UFECI (mpf.gob.ar/ufeci).
• Registri creditizi: per correggere una voce errata nella Central de Deudores, vai al prestatore che l'ha segnalata, poi usa il modulo di rettifica della BCRA. Per Veraz e Nosis, reclama direttamente presso di loro.

Cile

• Denuncia: presentala al Ministerio Público, ai Carabineros o alla PDI, e consegna alla tua banca la denuncia.
• Reclamo bancario: ai sensi della Ley 20.009, presenta il reclamo formale entro 30 giorni lavorativi dall'avviso alla banca. Per importi fino a 35 UF, la banca deve rimborsare o annullare gli addebiti entro 5 giorni lavorativi. SERNAC spiega i passaggi.
• Se la banca non adempie: reclama alla CMF.

Stati Uniti

• Denuncia e piano: IdentityTheft.gov (in spagnolo, RobodeIdentidad.gov) crea un FTC Identity Theft Report e un piano di recupero con lettere precompilate. Senza un account, stampa subito il report, perché non potrai recuperarlo in seguito. Per telefono: 877-438-4338.
• Blocco creditizio: gratuito da attivare e da rimuovere, e va impostato separatamente presso Equifax, Experian e TransUnion.
• Avviso antifrode: gratuito, dura un anno, e un ufficio avvisa gli altri due. Con un report FTC o una denuncia alla polizia puoi ottenere un avviso prolungato della durata di sette anni.

Regno Unito

• Denuncia: Report Fraud ha sostituito Action Fraud il 4 dicembre 2025. Usa reportfraud.police.uk o chiama lo 0300 123 2040.
• Storia creditizia: hai il diritto legale di ottenere una copia gratuita della tua storia creditizia da Equifax, Experian e TransUnion.
• Controlli aggiuntivi: il Cifas Protective Registration costa 30 £ per due anni e fa sì che le aziende membri eseguano controlli aggiuntivi sulle richieste presentate a tuo nome. Non è un'assicurazione, e Cifas non ti ricorda la scadenza.

Abitudini che riducono il rischio

• Una password per account, conservata in un password manager. Così una password compromessa apre un solo account e nient'altro.
• Verifica in due passaggi o passkey su e-mail, banca e account del tuo operatore telefonico. Una passkey non può essere digitata in una pagina falsa e una password rubata da sola non basta più ad aprire l'account.
• Blocchi e avvisi dove esistono. Usa il congelamento del credito negli Stati Uniti, la Protective Registration nel Regno Unito, l'avviso sulle nuove obbligazioni in Colombia e il report annuale gratuito in Messico.
• Meno dati personali in pubblico. INCIBE consiglia di cercare il tuo nome per vedere cosa circola online. Non pubblicare foto di documenti d'identità, carte d'imbarco o carte.
• Attenzione a chiamate e messaggi dopo una violazione. Riattacca e chiama tu il numero ufficiale. Chi ti chiama conoscendo il tuo numero di documento o il tuo indirizzo potrebbe averlo letto in una fuga di dati. Non comunicare mai a nessuno un codice ricevuto via SMS.

Una VPN ha un compito più ristretto. Cifra il tuo traffico su reti pubbliche o non affidabili e nasconde il tuo indirizzo IP ai siti che visiti e alla rete a cui sei connesso. Puoi controllare cosa espone la tua connessione con il test dell'indirizzo IP di Le VPN. Una VPN non impedisce a un'azienda di far trapelare i tuoi dati e non ti impedisce di digitare una password in una pagina falsa.

Cosa fare oggi

Tre passi da compiere oggi rendono meno preziosa per un criminale un'eventuale futura fuga dei tuoi dati. Esegui il controllo delle password nel tuo browser o telefono, assegna al tuo account e-mail una password unica e la verifica in due passaggi, e salva il numero di telefono ufficiale della tua banca nella rubrica dei contatti.