Sicurezza e privacy di IT-Wallet: crittografia, biometria e cosa fare in caso di furto dello smartphone

La digitalizzazione dei documenti d’identità rappresenta una comodità straordinaria, ma solleva interrogativi cruciali: quanto sono al sicuro la nostra patente, la tessera sanitaria o la carta d’identità salvate sullo smartphone? Se hai già consultato la nostra guida completa a IT-Wallet su App IO, sai già come attivarlo; in questo approfondimento analizzeremo nel dettaglio l’architettura crittografica, il trattamento dei dati biometrici e le azioni immediate da compiere nell’eventualità di smarrimento o furto del telefono.

Come IT-Wallet protegge i tuoi dati: crittografia e architettura locale

Uno dei timori più diffusi riguarda la centralizzazione dei dati personali. L’infrastruttura di IT-Wallet è stata progettata seguendo il paradigma europeo del Privacy by Design e le direttive del regolamento eIDAS 2.

  • Archiviazione protetta su Secure Enclave / TEE: I documenti digitali non risiedono semplicemente nella memoria flash dell’applicazione. Vengono cifrati e memorizzati all’interno dell’area hardware sicura dello smartphone (il Secure Element o Trusted Execution Environment), accessibile solo a fronte di autenticazione crittografica.
  • Crittografia asimmetrica a riposo e in transito: I dati scambiati tra App IO e i database ministeriali viaggiano attraverso canali TLS cifrati a standard elevati (AES-256) e non possono essere intercettati o decodificati da terze parti lungo il tragitto.
  • Minimizzazione e divulgazione selettiva: A differenza del documento cartaceo, che mostra tutti i dati anagrafici contemporaneamente, la tecnologia di IT-Wallet implementa controlli mirati: ad esempio, quando dovrai verificare la maggiore età, mostrerai solo un token attestante l’età senza rivelare indirizzo o data esatta di nascita.

Dati biometrici: dove finiscono impronte e scansioni del volto?

Per sbloccare IT-Wallet viene richiesto il riconoscimento facciale (Face ID) o l’impronta digitale (Touch ID / sensori biometrici Android). È bene chiarire un principio cardine:

Nota fondamentale sulla biometria: L’App IO e i server statali non ricevono né archiviano mai le tue impronte digitali o la scansione del tuo viso. La verifica biometrica avviene interamente a livello hardware sul tuo dispositivo. Lo smartphone si limita a confermare all’App IO se la scansione è andata a buon fine.

Pertanto, non esiste alcun archivio centralizzato di dati biometrici che possa essere violato o compromesso da hacker.

Cosa fare subito in caso di furto o smarrimento dello smartphone

Se perdi il telefono o subisci un furto, la priorità è impedire l’accesso al dispositivo prima ancora che all’App IO. Ecco la sequenza operativa da eseguire immediatamente:

1. Avviare il blocco da remoto dello smartphone

Accedi da un PC o da un altro dispositivo al servizio di localizzazione associato al tuo account:

  • Se usi Apple iPhone: Vai su iCloud.com/find, accedi con il tuo ID Apple e attiva la Modalità Smarrito, oppure seleziona Inizializza il dispositivo se ritieni che il furto sia definitivo.
  • Se usi uno smartphone Android: Vai su google.com/android/find, accedi con il tuo account Google e scegli Proteggi il dispositivo (che ne blocca l’accesso) oppure Cancella i dati del dispositivo.

2. Disattivare le sessioni attive su App IO e SPID/CIE

Anche se il dispositivo è protetto da codice, è opportuno invalidare l’accesso:

  1. Accedi al portale del tuo Identity Provider SPID (es. PosteID, Namirial, Aruba, Sielte) dal browser del computer.
  2. Entra nell’area di sicurezza o gestione dispositivi e revoca le sessioni o disassocia il dispositivo autorizzato all’autenticazione di Livello 2.
  3. Procedura analoga può essere effettuata se utilizzi le credenziali CIE (Carta d’Identità Elettronica) accedendo al portale cartaidentita.interno.gov.it.

3. Bloccare la scheda SIM (anti-SIM swapping)

Contatta tempestivamente il tuo gestore telefonico per richiedere il blocco della scheda SIM. Questo passaggio è cruciale per impedire ai malintenzionati di ricevere codici SMS transitori (OTP) e forzare reimpostazioni di password dei tuoi account digitali.

4. Serve fare denuncia per i documenti digitali?

Una copia digitale su IT-Wallet è un duplicato certificato, non l’originale cartaceo. In caso di furto del telefono, dovrai sporgere denuncia alle Forze dell’Ordine per il dispositivo, indicando il codice IMEI. Non è invece necessario denunciare lo smarrimento della patente o della tessera sanitaria fisica, a meno che non siano stati rubati contestualmente gli originali cartacei/plastificati.

Best practice quotidiane per blindare il tuo IT-Wallet

Per massimizzare il livello di protezione dei documenti su App IO:

  • Usa un codice di sblocco a 6 cifre alfanumerico: Evita PIN banali come 0000 o 1234, facilmente intercettabili tramite shoulder surfing (guardando sopra la tua spalla in luoghi pubblici).
  • Imposta un timeout breve per lo spegnimento schermo: Riduci il tempo di inattività a 30 secondi prima che il telefono si blocchi automaticamente.
  • Non abilitare il debug USB o procedure di root/jailbreak: I sistemi operativi modificati disattivano parte delle sandbox di sicurezza, rendendo vulnerabile il Secure Element.
  • Attiva l’autenticazione biometrica per ogni accesso su IO: Nelle impostazioni dell’App IO, assicurati che la richiesta del codice di sblocco o biometria sia sempre obbligatoria ad ogni apertura.

Articoli simili