SIATEL, allerta phishing nei Comuni: le richieste a cui non dare seguito

lentepubblica.it

SIATEL 2.0 PuntoFisco: allerta phishing, cosa devono verificare i Comuni.

Chi può entrare nell’Anagrafe Tributaria, con quali credenziali e sotto il controllo di chi? Per i Comuni che utilizzano SIATEL 2.0 PuntoFisco, la sicurezza comincia da queste domande. Le recenti campagne di phishing rivolte agli utenti del servizio hanno riportato l’attenzione su un aspetto concreto del lavoro amministrativo: proteggere le informazioni significa anche organizzare correttamente le attività delle persone autorizzate a consultarle.

L’Agenzia delle Entrate ha chiesto ad ANCI di sensibilizzare gli enti locali sui rischi informatici e sulla necessità di rafforzare la prevenzione. IFEL ha rilanciato il richiamo con un’informativa del 7 settembre 2026, invitando i Comuni a diffondere le indicazioni tra gli addetti e a verificare le procedure interne.

Il punto, per le amministrazioni, riguarda tanto gli strumenti tecnologici quanto le abitudini quotidiane degli uffici. Una password condivisa per velocizzare una pratica, una richiesta di assistenza accettata senza verifiche o un’utenza non correttamente associata al suo titolare possono indebolire le protezioni disponibili. Il richiamo offre quindi l’occasione per controllare come funzionano, nella pratica, la gestione degli account e la segnalazione dei problemi.

La comunicazione dell’Agenzia delle Entrate pubblicata da IFEL indica anche la direzione dei prossimi interventi: un piano per sostituire le attuali credenziali con SPID e CIE, destinati all’identificazione personale degli utenti degli enti. Si tratta di un passaggio annunciato, per il quale la nota non specifica un calendario operativo.

Nell’attesa, gli uffici possono già intervenire sui comportamenti e sui controlli. Non occorre aspettare una nuova modalità di autenticazione per ricordare agli operatori che le credenziali sono personali, verificare le abilitazioni o chiarire a chi rivolgersi quando arriva una comunicazione sospetta. È qui che il tema della cybersicurezza incontra la gestione ordinaria del Comune: nelle responsabilità assegnate, nelle istruzioni comprensibili e nella capacità di riconoscere una richiesta fuori posto.

SIATEL 2.0 PuntoFisco: come riconoscere le richieste sospette

Il phishing cerca di convincere il destinatario a consegnare informazioni riservate o a eseguire operazioni utili a chi organizza la frode. Per riuscirci, sfrutta spesso l’apparenza di una comunicazione attendibile. Il riferimento a un servizio effettivamente utilizzato dall’ufficio può rendere il messaggio credibile, soprattutto quando suggerisce di agire rapidamente per risolvere un presunto problema.

Queste condotte rientrano nelle tecniche di social engineering, o ingegneria sociale: tentativi di manipolare il comportamento delle persone per superare le difese di un’organizzazione. Il bersaglio, dunque, può essere l’operatore che svolge una normale attività di servizio, senza che debba necessariamente esistere un guasto nel sistema informatico.

L’Agenzia fornisce un criterio preciso per valutare le richieste ricevute: non domanda agli utenti di comunicare le credenziali o il certificato di postazione e non chiede di avviare sessioni di assistenza remota sui terminali utilizzati per accedere ai servizi. Una sollecitazione di questo tipo, anche quando sembra provenire da un interlocutore autorevole, richiede quindi particolare attenzione.

Per gli uffici comunali, la conseguenza pratica è semplice: una richiesta inattesa non deve trasformarsi automaticamente in un’operazione da eseguire. Prima di fornire informazioni o consentire interventi sul computer, occorre verificarne l’autenticità attraverso riferimenti istituzionali già conosciuti. La nota precisa che, in caso di dubbio, i supervisori devono rivolgersi ai referenti dell’Agenzia tramite i contatti ufficiali oppure al call center Sogei.

Altrettanto importante è la custodia delle password. Le credenziali devono restare strettamente personali e adeguatamente protette. Passarle a un collega, anche per una necessità temporanea, rende più difficile ricostruire chi abbia effettivamente svolto un’operazione e compromette la corretta attribuzione delle attività.

Una breve istruzione interna, facilmente reperibile, può aiutare più di un avviso generico: quali richieste devono insospettire, chi contattare per verificarle e come segnalare l’accaduto. Sul piano organizzativo, rendere questi passaggi chiari riduce il rischio che ogni dipendente debba decidere da solo come comportarsi sotto pressione.

Abilitazioni e controlli: gli strumenti già disponibili ai Comuni

La protezione degli accessi a SIATEL 2.0 PuntoFisco non si esaurisce nella prudenza del singolo addetto. Gli enti dispongono già di strumenti che permettono di gestire le autorizzazioni e verificare le attività svolte. Il loro valore dipende anche dall’inserimento in procedure effettivamente utilizzate dagli uffici.

Il cruscotto Vitruvio serve alla gestione delle abilitazioni. Il sistema Monade consente invece di consultare i log, ossia le registrazioni delle interrogazioni effettuate nell’ultimo anno. A questi strumenti si aggiunge un sistema di allerta per gli accessi potenzialmente anomali. Le funzioni sono diverse e complementari: amministrare le utenze, ricostruire le consultazioni e richiamare l’attenzione su attività da approfondire.

Un avviso di anomalia, da solo, non equivale alla conferma di un abuso. Richiede una verifica. Analogamente, disporre delle registrazioni non significa aver già svolto un controllo: occorre individuare chi le esamina e come gestire gli eventuali elementi sospetti. Come criterio organizzativo, è utile evitare che le segnalazioni rimangano senza un referente incaricato di valutarle.

Un altro elemento riguarda gli indirizzi di posta elettronica associati agli account. Per le figure responsabili e, ordinariamente, per gli operatori, l’Agenzia richiede caselle personali nominative sul dominio istituzionale dell’ente. L’indirizzo deve quindi contribuire a identificare una persona precisa all’interno dell’amministrazione.

La comunicazione contempla ancora, per gli operatori, un’accettazione temporanea e residuale delle caselle funzionali, purché appartenenti al dominio istituzionale. Questa possibilità accompagna la gradualità delle misure e non modifica l’indicazione generale verso utenze riconducibili ai singoli addetti.

Per un Comune, la verifica può partire dal confronto tra gli account presenti e l’organizzazione attuale degli uffici. Cambi di mansione, trasferimenti e nuove assegnazioni rendono opportuno controllare che le abilitazioni corrispondano alle attività effettivamente affidate al personale. Si tratta di tradurre la gestione delle utenze in un’attività continuativa, collegata ai cambiamenti dell’ente, anziché considerarla conclusa al momento della prima registrazione.

SPID e CIE: preparare gli uffici al futuro degli accessi

Il passaggio annunciato a SPID e CIE per l’identificazione personale si inserisce nel rafforzamento delle modalità di accesso alle banche dati dell’Agenzia da parte degli enti esterni. La distinzione temporale resta essenziale: la comunicazione descrive un piano di sostituzione delle credenziali attuali, senza attestare che la migrazione sia già completata.

Le amministrazioni dovranno quindi seguire le successive indicazioni operative. Nel frattempo, possono preparare il terreno verificando la corretta associazione tra operatori, account e recapiti istituzionali, oltre a diffondere le informazioni sulla protezione degli strumenti di autenticazione.

Il cambiamento tecnologico si affianca a una responsabilità che rimane quotidiana: assicurare che ogni consultazione avvenga nel contesto delle attività dell’ufficio e che un problema trovi rapidamente il percorso corretto di segnalazione. Da qui l’invito di ANCI e IFEL a far circolare le indicazioni tra tutto il personale autorizzato e a riesaminare le procedure di gestione e controllo.

Per gli enti locali, la priorità è rendere queste verifiche parte del lavoro ordinario. Sapere chi accede, riconoscere una richiesta fraudolenta e individuare tempestivamente un’anomalia sono aspetti della stessa esigenza: proteggere i dati dei cittadini attraverso un’organizzazione consapevole degli strumenti che utilizza.

The post SIATEL, allerta phishing nei Comuni: le richieste a cui non dare seguito appeared first on lentepubblica.it.