Oltre i selfie e i pixel: perché eIDAS 2 cambia l’onboarding aziendale
I sistemi di identificazione a distanza basati sul semplice invio di un selfie o sulla foto del documento di identità stanno mostrando i loro limiti strutturali.
La diffusione dell’IA generativa e deepfake ha reso la verifica visiva un terreno vulnerabile. I criminali informatici oggi utilizzano tecniche come la camera injection (l’iniezione di flussi video sintetici direttamente nel browser utente durante la verifica) o il furto mirato di credenziali tramite smishing che simulano portali ufficiali per aggirare i controlli tradizionali.
L’AgID Academy ha di recente pubblicato un utile webinar sullo stato attuale sulle procedure di Identity Proofing e il Regolamento eIDAS aiutandoci a definire ciò che è necessario fare: superare la “fiducia nei pixel” per spostarsi verso una sicurezza radicata in standard tecnici condivisi.
Il motore di questa transizione è il regolamento eIDAS 2 (Regolamento UE 2024/1183), che introduce l’European Digital Identity Wallet (EUDI Wallet) con l’obbligo per gli Stati membri di renderlo disponibile entro dicembre 2026.
L’evoluzione porterà diversi punti di rottura con eIDAS 1, tra cui il principio di Sovranità e Privacy by Design che permetterà all’utente il pieno controllo su quali dati personali e attributi condividere e l’accesso a Firme Gratuite. Come previsto dall’Articolo 5 bis, le firme elettroniche qualificate saranno gratuite per tutti i cittadini per uso non professionale, all’interno del proprio Wallet.
La vulnerabilità dei processi di verifica visiva online
Immaginate se un impostore si presentasse a uno sportello fisico con una maschera di silicone iperrealistica, un impiegato attento potrebbe notare un battito delle palpebre strano, una rigidità dell’espressione o uno stacco di colore sul collo. Questo controllo visivo e ambientale, nel mondo online sparisce del tutto. Qui ci muoviamo in un vuoto digitale dove non esistono segnali fisici, ma solo sequenze di bit facilmente manipolabili.
Per anni abbiamo accettato un compromesso fragile: ci siamo fidati dei pixel. Abbiamo costruito i processi di onboarding aziendali chiedendo alle persone di caricare la foto di un documento, scattare un selfie e attendere un via libera automatico.
Questo modello è crollato. Non è più una questione di adeguamento burocratico: l’evoluzione normativa dal vecchio eIDAS 1 al nuovo eIDAS 2 è la risposta tecnica a un’infrastruttura della fiducia che non regge più l’urto di una realtà sempre più complessa.
Perché i codici MRZ e i selfie non bloccano i Camera Injection Attack
Molti sistemi di verifica si basano ancora sulla lettura dell’MRZ (Machine Readable Zone), la banda di caratteri e numeri in fondo ai documenti d’identità. Spesso si considera la correttezza di quel codice come una prova di autenticità, ma non lo è. L’MRZ è solo un checksum matematico e oggi qualunque malintenzionato può usare calcolatori online gratuiti per generare codici matematicamente perfetti da stampare su documenti falsi.
Il salto di qualità del crimine informatico si vede però nei Camera Injection Attack. Qui l’attacco avviene a livello di software e memoria RAM: il malintenzionato scavalca l’hardware della fotocamera e inietta un flusso video sintetico, un deepfake, direttamente nell’applicazione di riconoscimento. Questi flussi, generati in tempo reale, sono in grado di rispondere ai test di presenza fisica (Liveness Detection) come girare il capo o sorridere, superando i vecchi sbarramenti aziendali.
L’impatto economico del furto d’identità: le lezioni del caso NoiPA
Perché rubare un’identità? Perché è semplice monetizzarla per gli hacker. Pensiamo a quanto emerso nei casi di cronaca legati al portale NoiPA per i dipendenti pubblici.
I criminali tramite campagne di smishing mirate simulano portali INPS o Agid e convincono l’utente a registrare un video-selfie o a cedere le credenziali di accesso. Una volta dentro il portale, cambiano semplicemente l’IBAN per l’accredito dello stipendio. Quando la vittima si accorge del blocco, il denaro è già sparito verso conti correnti d’appoggio nel dark web, rendendo il recupero quasi impossibile.
Per un’azienda che gestisce dati sensibili, contratti o aperture di servizi, subire una violazione simile significa andare incontro a responsabilità legali pesanti e a un danno di reputazione difficile da sanare.
La risposta di eIDAS 2: il Wallet Europeo e la crittografia come scudi digitali
La risposta europea a queste vulnerabilità è l’European Digital Identity Wallet (EUDI), che in Italia si tradurrà nell’IT Wallet all’interno dell’App IO, con una scadenza di implementazione fissata per dicembre 2026. Sarà una vera rivoluzione che richiederà interventi su più livelli:
- Livello di garanzia elevato: i controlli procedurali e tecnici vengono portati al massimo livello per ridurre a zero lo spazio di manovra delle frodi.
- Binding crittografico isolato: la sicurezza si sposta dall’analisi visiva delle immagini a un legame matematico. Questo processo associa l’identità verificata dell’utente al suo dispositivo fisico (smartphone o tablet) attraverso la generazione di chiavi crittografiche isolate dal sistema operativo, sbloccabili solo tramite biometria locale dell’utente (come Face ID o Touch ID).
- Interrogazione delle fonti autentiche: l’onboarding non prevederà più l’acquisizione della foto della carta d’identità. Il Wallet interrogherà direttamente i database statali (come l’Anagrafe Nazionale) per verificare gli attributi e la validità dei documenti alla fonte.
- Formazione e monitoraggio continuo: aggiornamento dei team interni per riconoscere le truffe basate su IA e adozione di registri di audit costanti (logging) per l’analisi forense in caso di frode.
Questo scenario introduce anche un problema di sovranità tecnologica. Per intercettare i deepfake, molte aziende utilizzano modelli di IA protetti da brevetti oltreoceano. Questo significa esportare i dati biometrici dei cittadini europei fuori dai nostri confini. La sfida industriale di eIDAS 2 è anche quella di sviluppare difese e standard (come le specifiche ETSI) interamente europei.
Come riorganizzare i flussi senza riscrivere il codice: integrazione hardware e API
Per chi gestisce le infrastrutture informatiche di un’impresa, l’introduzione di questi standard rischia di trasformarsi in un incubo di integrazione software. C’è il rischio latente del Reverse Engineering: se un utente utilizza un dispositivo compromesso (con jailbreak o root), un attaccante esperto può tentare di violare la memoria RAM per bypassare i controlli dell’applicazione.
L’architettura dei sistemi di identificazione deve quindi prevedere controlli rigorosi sullo stato dell’hardware del cliente prima di avviare l’identificazione o autorizzare qualsiasi transazione.
Sviluppare queste connessioni internamente, modificando i gestionali aziendali a ogni aggiornamento dei regolamenti di esecuzione europei (come i recenti 2025/1566 e 2025/1569), richiede un dispendio di tempo e risorse che poche aziende possono permettersi.
In TocToc abbiamo scelto di affrontare questa complessità eliminando il carico di lavoro dai reparti IT dei nostri clienti. La nostra piattaforma utilizza un’architettura a microservizi pensata per assorbire le evoluzioni dell’Identity Proofing. Gestiamo noi l’ingegnerizzazione e il collegamento dei flussi: dall’OCR evoluto all’integrazione di SPID, CIE e futuri Wallet europei, fino alla stipula dei contratti online con valore legale, senza costringere i team IT a scrivere codice o a configurare flussi complessi.
L’intera infrastruttura si adatta ai software informatici aziendali già in uso tramite API dedicate. Questo garantisce la conformità normativa e la sicurezza dei flussi in modo automatico, facendo sì che ogni sistema dialoghi senza frizioni operative.
La tecnologia deve ugualmente fare i conti con la realtà dei comportamenti delle persone. I tentativi di smishing e di ingegneria sociale continueranno a colpire gli utenti finali con tecniche sempre più aggressive. Per un’azienda questo significa che l’architettura di onboarding deve essere progettata per essere “a prova di errore”, bloccando i tentativi di frode prima che colpiscano i sistemi interni.
Smettere di fidarsi dei pixel significa proteggere i margini operativi, ridurre i furti d’identità e azzerare i costi di sviluppo per i continui adeguamenti normativi.
I vostri sistemi di onboarding sono pronti a respingere un attacco di camera injection e a reggere l’impatto di eIDAS 2 o dovrete ridisegnare i flussi nei prossimi mesi?