# Furto d'identità

Il furto d'identità è una condotta criminale perpetrata spacciandosi per un'altra persona e rivolta, in molti casi, a ottenere indebitamente denaro o vantaggi. Il termine costituisce un neologismo giuridico e non risulta essere del tutto corretto: difatti non è possibile "rubare" un'identità, bensì la si può soltanto "usare".
La persona vittima dello scambio può andare incontro a diverse conseguenze in caso venga ritenuta responsabile delle azioni criminose. In diverse nazioni esistono leggi specifiche che rendono illecito l'uso dell'altrui identità.
Oltre a essere adoperato per compiere truffe o ulteriori atti criminosi di natura analoga, il furto d'identità talvolta può essere considerato un tipico atto di cyberbullismo quando, attuato per via telematica (ad esempio tramite social network), ha come principale o unico scopo quello di screditare e mettere in cattiva luce la persona fisica reale per la quale ci si spaccia mediante un account fittizio, il quale può riportare una foto, il nome o altri dati personali della vittima. La creazione di un profilo fake può tuttavia avere anche altre finalità.

## Tipi

Fonti come il Centro risorse per il furto di identità senza scopo di lucro (Identity Theft Resource Center) suddividono il furto di identità in cinque categorie:
* Furto di identità criminale (fingendosi un'altra persona quando arrestato per un crimine)
* Furto di identità finanziaria (utilizzo dell'identità di un altro per ottenere credito, beni e servizi)
* Clonazione dell'identità (utilizzo delle informazioni di un altro per assumere la propria identità nella vita quotidiana)
* Furto di identità medica (utilizzo dell'identità di un altro per ottenere cure mediche o farmaci)
* Furto d'identità di minori.
Il furto di identità può essere utilizzato per facilitare o finanziare altri crimini tra cui l'immigrazione illegale, il terrorismo, il phishing e lo spionaggio. Esistono casi di clonazione dell'identità per attaccare i sistemi di pagamento, compresa l'elaborazione di carte di credito online e l'assicurazione medica.

### Clonazione e occultamento dell'identità

In questa situazione, il ladro di identità si spaccia per qualcun altro per nascondere la propria vera identità. Ne sono un esempio gli immigrati clandestini che nascondono il loro status illegale, le persone che si nascondono ai creditori o ad altri individui e coloro che vogliono semplicemente diventare "anonimi" per motivi personali. Un altro esempio sono i poser, un'etichetta data alle persone che utilizzano le foto e le informazioni di qualcun altro sui siti di social network. I poser creano per lo più storie credibili che coinvolgono amici della persona reale che stanno imitando. A differenza del furto d'identità utilizzato per ottenere credito, che di solito viene alla luce quando i debiti aumentano, l'occultamento può continuare indefinitamente senza essere scoperto, soprattutto se il ladro d'identità riesce a ottenere false credenziali per superare vari test di autenticazione nella vita di tutti i giorni.

### Furto di identità criminale

Quando un criminale si identifica fraudolentemente alla polizia come un altro individuo al momento dell'arresto, a volte viene definito "furto di identità criminale". In alcuni casi, i criminali hanno precedentemente ottenuto documenti di identità rilasciati dallo Stato utilizzando credenziali rubate ad altri, o hanno semplicemente presentato una carta d'identità falsa. A condizione che il sotterfugio funzioni, le accuse possono essere presentate sotto il nome della vittima, liberando il criminale dai guai. Le vittime potrebbero venire a conoscenza di tali incidenti solo per caso, ad esempio ricevendo una citazione in tribunale, scoprendo che la loro patente di guida è stata sospesa quando vengono fermate per violazioni minori del codice stradale o attraverso controlli dei precedenti eseguiti per motivi di lavoro.
Può essere difficile per la vittima di un furto di identità criminale cancellare la propria fedina penale. I passaggi necessari per cancellare i precedenti penali errati della vittima dipendono dalla giurisdizione in cui si è verificato il reato e dalla possibilità di determinare la vera identità del criminale. La vittima potrebbe aver bisogno di localizzare gli agenti che l'hanno arrestata e dimostrare la propria identità con alcuni mezzi affidabili come le impronte digitali o il test del DNA e potrebbe dover recarsi in un'udienza in tribunale per essere prosciolta dalle accuse. Potrebbe anche essere necessario ottenere la cancellazione degli atti giudiziari. Le autorità potrebbero mantenere permanentemente il nome della vittima come alias per la vera identità del criminale nei loro database dei casellari giudiziari. Un problema che potrebbero incontrare le vittime di furto di identità criminale è che vari aggregatori di dati potrebbero ancora avere precedenti penali errati nei loro database anche dopo la correzione dei precedenti giudiziari e di polizia. Pertanto un futuro controllo dei precedenti potrebbe restituire precedenti penali errati. Questo è solo un esempio del tipo di impatto che può continuare a colpire le vittime di furto di identità per alcuni mesi o addirittura anni dopo il crimine, a parte il trauma psicologico che l'essere "clonati" tipicamente genera.

### Furto di identità sintetica

Una variante del furto di identità che recentemente è diventata più comune è il furto di identità sintetica, in cui le identità sono completamente o parzialmente fabbricate. La tecnica più comune prevede l'abbinamento di un vero numero di previdenza sociale con un nome e una data di nascita diversi da quelli semplicemente associati al numero. Il furto di identità sintetica è più difficile da monitorare in quanto non viene visualizzato direttamente sul rapporto di credito di nessuna delle persone, ma può apparire come un file completamente nuovo nell'ufficio di credito o come sottofile (ossia un gruppo di dati che viene letto o scritto in un file del dispositivo di visualizzazione) su uno dei rapporti di credito della vittima. Il furto di identità sintetica danneggia principalmente i creditori che involontariamente concedono credito ai truffatori. Le singole vittime possono essere colpite se i loro nomi vengono confusi con le identità sintetiche o se le informazioni negative nei loro file secondari incidono sui loro rating creditizi.

### Furto di identità medica

La ricercatrice nel campo della privacy Pam Dixon, fondatrice del World Privacy Forum, ha coniato il termine "furto di identità medica" e ha pubblicato il primo importante rapporto su questo problema nel 2006. Nel rapporto ha definito e inquadrato tale crimine per la prima volta e ha reso pubblica la difficile situazione delle vittime che si trovano ad affrontare questo problema. La definizione del reato contenuta nel rapporto afferma che il furto di identità medica avviene quando qualcuno cerca e chiede cure mediche sotto l'identità di un'altra persona. Anche il furto assicurativo è molto comune, infatti se un ladro ha i dati dell'assicurazione e/o della tessera assicurativa di qualcun altro, può rivolgersi a un medico fingendosi l'altra persona. Oltre ai rischi di danno finanziario comuni a tutte le forme di furto di identità, la storia medica del ladro può essere aggiunta alla cartella clinica della vittima. Le informazioni imprecise presenti nei dati della vittima sono difficili da correggere e possono compromettere l'assicurabilità futura o indurre i medici a fare affidamento su informazioni errate per fornire cure inadeguate. Dopo la pubblicazione del rapporto, che conteneva una raccomandazione affinché i consumatori ricevessero notifiche di casi di violazione di dati medici, la California ha approvato una legge che lo richiede, e infine l'HIPAA (Health Insurance Portability and Accountability Act of 1996, un atto promulgato dal 104°Congresso degli Stati Uniti e convertito in legge dal Presidente Bill Clinton) è stato ampliato per richiedere anche la notifica di violazione medica quando le violazioni colpiscono 500 o più persone. I dati raccolti e archiviati dagli ospedali e da altre organizzazioni, ad esempio i programmi di assistenza medica, sono fino a 10 volte più preziosi per i criminali informatici rispetto ai dati delle carte di credito.

### Furto d'identità di minori

Questo tipo di furto si verifica quando l'identità di un minore viene utilizzata da un'altra persona per il proprio guadagno personale. Quest'ultimo può essere un membro della famiglia, un amico o anche un estraneo che prende di mira i bambini. I numeri di previdenza sociale dei bambini sono apprezzati perché non hanno alcuna informazione ad essi associata. I ladri possono stabilire linee di credito, ottenere patenti di guida o persino acquistare una casa utilizzando l'identità di un bambino. Questa frode può rimanere inosservata per anni, poiché la maggior parte dei bambini scopre il problema solo anni dopo. Il furto di identità di minori è abbastanza comune e gli studi hanno dimostrato che il problema è in crescita. Il più grande studio sul furto d'identità di minori, come riportato da Richard Power della Carnegie Mellon Cylab con dati forniti da AllClear ID (un'azienda che si occupa di sicurezza in tema di furto d'identità), ha rilevato che su 40.000 bambini, il 10,2% sono stati vittime di furto d'identità nel 2016.
La Federal Trade Commission (FTC) stima che circa nove milioni di persone saranno vittime di furti di identità ogni anno negli Stati Uniti. È stato inoltre stimato che nel 2008 ben 630.000 persone sotto i 19 anni sono state vittime di furti. Ciò ha poi dato alle vittime un debito di circa 12.799 dollari.
Non solo i bambini in generale sono bersagli molto frequenti di furto di identità, ma quelli in affidamento sono obiettivi ancora più colpiti. Questo perché molto probabilmente vengono spostati abbastanza frequentemente e il loro SSN viene condiviso con più persone e agenzie. I bambini in affidamento sono ancora più vittime di furti di identità all'interno delle loro stesse famiglie e di altri parenti. I giovani in affidamento che sono vittime di questo crimine sono solitamente lasciati soli a combattere questo problema e capire come risolvere il loro cattivo credito rovinato da qualcun altro che ha rubato loro l'identità.

### Furto di identità finanziaria

Il tipo più comune di furto d’identità è legato alla finanza. Il furto di identità finanziaria include l'ottenimento di crediti, prestiti, beni e servizi fingendo di essere qualcun altro.

### Furto d'identità fiscale

Una delle principali categorie di furti d'identità è il furto d'identità legato alle tasse. Il metodo più comune consiste nell'utilizzare il nome, l'indirizzo e il numero di previdenza sociale autentici di una persona per presentare una dichiarazione dei redditi con informazioni false e depositare direttamente il rimborso risultante su un conto bancario controllato dal ladro. Egli in questo caso può anche provare a trovare un lavoro e poi il suo datore di lavoro riporterà il reddito del contribuente reale, il che si tradurrà in problemi con l'IRS per il contribuente.
Il modulo 14039 per l'IRS aiuterà a combattere il furto di identità fiscale. Questo modulo metterà in allerta l'IRS e a chi ritiene di essere stato vittima di un furto fiscale verrà assegnato un numero di identificazione personale per la protezione dell'identità (PIN IP), che è un codice a 6 cifre utilizzato in sostituzione di un SSN per la dichiarazione dei redditi.

## Tecniche per ottenere e sfruttare le informazioni personali

I ladri di identità in genere ottengono e sfruttano informazioni di identificazione personale sugli individui o varie credenziali che utilizzano per autenticarsi e impersonificarli. Esempi includono:
* Frugare nella spazzatura alla ricerca di informazioni personali (immersione nel cassonetto)
* Recupero di dati personali da apparecchiature IT e supporti di archiviazione ridondanti, inclusi PC, server, PDA, telefoni cellulari, chiavette USB e dischi rigidi che sono stati smaltiti con noncuranza in discariche pubbliche, ceduti o venduti senza essere stati adeguatamente distrutti
* Utilizzo di registri pubblici relativi a singoli cittadini, pubblicati in registri ufficiali come le liste elettorali
* Rubare carte bancarie o di credito, carte d'identità, passaporti, token di autenticazione e così via, in genere tramite borseggio, violazione di domicilio o furto di posta
* Recupero delle risposte alle domande comuni per la verifica dell'account, come "Qual è il nome da nubile di tua madre?", "Qual era il tuo primo modello di auto?" o "Qual era il nome del tuo primo animale domestico?". Se il criminale conosce ad esempio il nome della madre della vittima, egli potrà bypassare il suo account rispondendo correttamente alla domanda di sicurezza corrispondente
* Skimming di informazioni da carte bancarie o di credito utilizzando lettori di carte compromessi o portatili e creazione di carte clonateUnità di plastica verde su un bancomat, destinata a impedire ai ladri di installare un dispositivo skimmer sulla macchina
* Utilizzo di lettori di carte di credito "contactless" per acquisire dati in modalità wireless da passaporti abilitati RFID
* Lo shoulder surfing coinvolge un individuo che osserva o ascolta con discrezione gli altri che forniscono preziose informazioni personali. Ciò avviene soprattutto in luoghi affollati perché è relativamente facile osservare qualcuno mentre compila moduli, inserisce PIN sui bancomat o addirittura digita password sugli smartphone
* Rubare informazioni personali dai computer sfruttando violazioni della sicurezza del browser o malware come programmi di registrazione delle sequenze di tasti (trojan) o altre forme di spyware
* Hacking di reti, sistemi e database di computer per ottenere dati personali, spesso in grandi quantità
* Sfruttare violazioni che comportano la pubblicazione o una divulgazione più limitata di informazioni personali quali nomi, indirizzi, numero di previdenza sociale o numeri di carta di credito
* Pubblicazione di offerte di lavoro fasulle per accumulare curriculum e domande che in genere rivelano nomi, indirizzi di casa e di posta elettronica dei candidati, numeri di telefono e talvolta i loro dettagli bancari
* Sfruttare l'accesso privilegiato e abusare dei diritti degli utenti IT privilegiati di accedere ai dati personali sui sistemi dei loro datori di lavoro
* Organizzazioni infiltrate che archiviano ed elaborano grandi quantità o informazioni personali particolarmente preziose
* Impersonare organizzazioni fidate in e-mail, messaggi di testo SMS, telefonate o altre forme di comunicazione per indurre le vittime a rivelare le proprie informazioni personali o credenziali di accesso, in genere su un sito Web aziendale o un modulo di raccolta dati falsi (phishing)
* Attaccare con il Brute Force Attack le password deboli e utilizzare congetture ispirate per compromettere le domande di reimpostazione delle password deboli
* Ottenere calchi di dita per falsificare l'identificazione delle impronte digitali.
* Navigando nei siti web di social network alla ricerca dei dettagli personali pubblicati dagli utenti, spesso utilizzando queste informazioni per apparire più credibili nelle successive attività di ingegneria sociale
* Deviare e-mail o posta delle vittime per ottenere informazioni personali e credenziali come carte di credito, fatture ed estratti conto bancari/carte di credito o per ritardare la scoperta di nuovi conti e contratti di credito aperti dai ladri di identità a nome delle vittime
* Utilizzo di falsi pretesti per ingannare individui, rappresentanti del servizio clienti e operatori dell'help desk per divulgare informazioni personali e dettagli di accesso o modificare le password/diritti di accesso degli utenti (pretexting)
* Rubare assegni per acquisire informazioni bancarie, inclusi numeri di conto e codici bancari
* Indovinare i numeri di previdenza sociale utilizzando le informazioni trovate sui social network come Twitter e Facebook
* Bassa sicurezza/protezione della privacy su foto facilmente selezionabili e scaricabili sui siti di social networking.
* Fare amicizia con sconosciuti sui social network e sfruttare la loro fiducia fino a quando non vengono fornite informazioni private. (Ingegneria sociale)

## Risultati potenziali

In uno studio del 2018, è stato riferito che 60 milioni di identità americane erano state acquisite in modo illegittimo. In risposta, su consiglio dell'Identity Theft Resource Center, sono state implementate alcune nuove leggi per migliorare la sicurezza, come la richiesta di firme elettroniche e la verifica della previdenza sociale.
Per raccogliere informazioni vengono utilizzati diversi tipi di furto di identità, uno dei tipi più comuni si verifica quando i consumatori effettuano acquisti online. È stato condotto uno studio su 190 persone per determinare la relazione tra i costrutti della paura di perdite finanziarie e danni alla reputazione. Le conclusioni di questo studio hanno rivelato che il furto di identità aveva una correlazione con i danni gravi. La relazione tra rischio percepito e intenzione di acquisto online era negativa. L'importanza di questo studio rivela che le aziende online sono più consapevoli del potenziale danno che può essere arrecato ai propri consumatori, pertanto sono alla ricerca di modi per ridurre il rischio percepito dai consumatori e non perdere affari.
Le vittime di furto di identità possono dover affrontare anni di sforzi per dimostrare al sistema legale di essere la vera persona, con conseguente tensione emotiva e perdite finanziarie. La maggior parte dei furti di identità viene perpetrata da un membro della famiglia della vittima e alcuni potrebbero non essere in grado di ottenere nuove carte di credito o aprire nuovi conti bancari o prestiti.

## Protezione dell'identità da parte delle organizzazioni

Nella sua testimonianza del maggio 1998 davanti al Senato degli Stati Uniti, la Federal Trade Commission (FTC) ha discusso la vendita di numeri di previdenza sociale e altri identificatori personali da parte di valutatori del credito e minatori di dati. La FTC ha accettato i principi di autoregolamentazione del settore che limitano l'accesso alle informazioni sui rapporti di credito. A seconda del settore, le restrizioni variano a seconda della categoria di clienti. Le agenzie di segnalazione del credito raccolgono e divulgano informazioni personali e di credito a un'ampia base di clienti aziendali.
Una cattiva gestione dei dati personali da parte delle organizzazioni, con conseguente accesso non autorizzato ai dati sensibili, può esporre gli individui al rischio di furto di identità. La Privacy Rights Clearinghouse ha documentato oltre 900 violazioni di dati individuali da parte di aziende e agenzie governative statunitensi dal gennaio 2005, che insieme hanno coinvolto oltre 200 milioni di record totali contenenti informazioni personali sensibili, molte contenenti numeri di previdenza sociale. Gli scarsi standard di diligenza aziendale che possono comportare violazioni dei dati includono:
* inadempienza nel distruggere informazioni riservate prima di gettarle nei cassonetti
* inadempienza nel garantire un’adeguata sicurezza della rete
* numeri di carte di credito rubati dagli agenti dei call center e da persone con accesso alle registrazioni delle chiamate
* il furto di computer portatili o supporti portatili trasportati fuori sede contenenti grandi quantità di informazioni personali. L'uso di una crittografia avanzata su questi dispositivi può ridurre la possibilità che i dati vengano utilizzati in modo improprio nel caso in cui un criminale li ottenga
* l'intermediazione di informazioni personali ad altre aziende senza garantire che l'acquirente mantenga adeguati controlli di sicurezza
* incapacità dei governi, al momento della registrazione di imprese individuali, società di persone e società, di determinare se i funzionari elencati nello Statuto sono chi dicono di essere. Ciò consente potenzialmente ai criminali di accedere alle informazioni personali attraverso servizi di rating del credito e data mining.
L'incapacità delle organizzazioni aziendali o governative di proteggere la privacy dei consumatori, la riservatezza dei clienti e la privacy politica è stata criticata per aver facilitato l'acquisizione di identificatori personali da parte dei criminali.
L'utilizzo di vari tipi di informazioni biometriche, come le impronte digitali, per l'identificazione e l'autenticazione è stato citato come un modo per contrastare i ladri di identità, tuttavia, esistono anche limitazioni tecnologiche e problemi di privacy associati a questi metodi.

## Mercato

Esiste un mercato attivo per l'acquisto e la vendita di informazioni personali rubate, che avviene principalmente nei mercati della darknet ma anche in altri mercati neri. Le persone aumentano il valore dei dati rubati aggregandoli con dati disponibili al pubblico e li rivendono a scopo di lucro, aumentando il danno che può essere arrecato alle persone i cui dati sono stati rubati.