Identità digitale, gli hacker etici di Mobisec al lavoro per testare la sicurezza delle app wallet europee

A partire dal 2026, ogni stato membro dovrà mettere a disposizione di cittadini e aziende almeno un’app wallet certificata. In Italia, il percorso è già tracciato, con l’evoluzione dell’app IO in una superapp per i servizi pubblici digitali, che rappresenta la base su cui si innesterà la nuova identità digitale.

Il Portafoglio Digitale Europeo (European Digital Identity Wallet) è uno dei pilastri della trasformazione digitale dell’UE. Si tratta di uno strumento che offrirà a ogni persona e ad ogni azienda europea un’applicazione ufficiale con cui gestire in sicurezza la propria identità digitale, custodire documenti come la patente, la tessera sanitaria o lo SPID, firmare digitalmente contratti e accedere a servizi in tutti i Paesi membri. Ora, il wallet europeo nasce per offrire una soluzione capillare e interoperabile, ma la sua implementazione richiede attenzione tecnica, verifica indipendente e test continui per garantire che i requisiti di sicurezza e privacy si traducano in realtà concreta.

E proprio per verificare il rispetto di questi requisiti, Mobisec ha avviato una collaborazione con Forkbomb, realtà che mette a disposizione delle istituzioni nazionali europee, un wallet open source per effettuare su quest’ultimo strumento una serie di verifiche di sicurezza. L’obiettivo è duplice: da un lato si tratta di contribuire al miglioramento dei progetti in fase di sviluppo, dall’altro di stimolare una riflessione collettiva sull’importanza della cybersecurity nell’ambito dell’identità digitale. Le analisi sono state condotte sulla base dei protocolli pubblicati dalle istituzioni europee, valutando la corretta implementazione delle funzionalità di protezione dei dati, autenticazione, segregazione delle informazioni e gestione del consenso.

Nonostante esista un Regolamento europeo sull’identità digitale (EUDI), manca infatti un set di linee guida tecniche di basso livello che riduca errori nell’integrazione applicativa, lasciando scoperti requisiti consolidati nel mondo della sicurezza mobile come certificate pinning e certificate transparency. Questa assenza rischia di generare implementazioni frammentate, in cui app con le stesse funzioni presentano livelli di sicurezza molto diversi tra loro. La sicurezza non può rimanere un’opzione, ma deve essere garantita da indicazioni tecniche chiare per proteggere utenti e favorire un’adozione sicura dell’identità digitale europea.

Il wallet è un passo verso le cosiddette superapp, applicazioni che abilitano funzioni diverse (pagamenti, identità, prenotazioni, accessi) in un’unica interfaccia. Un modello che riguarda non solo i servizi pubblici, ma anche il mondo aziendale. Sempre più imprese offrono infatti app con cui i clienti effettuano operazioni sensibili: dall’e-commerce alla firma di contratti, fino al caricamento di dati identificativi. In questo scenario, garantire la sicurezza dell’identità digitale diventa una responsabilità condivisa tra enti pubblici e privati. Tutto questo vale per gli enti pubblici che offrono servizi ai cittadini, tanto quanto per le aziende che forniscono un’app ai propri utenti per effettuare acquisti, gestire profili e abilitare servizi a valore.

«Abbiamo messo in campo la nostra esperienza per rafforzare uno strumento che riguarderà milioni di persone», afferma Riccardo Poffo, Head of Operations di Mobisec. «L’identità digitale richiede standard elevati, test indipendenti e collaborazione tra attori diversi. Per noi, questa è la direzione giusta».

«I portafogli UDI (eIDAS 2.0) sono destinati a sostituire gradualmente le attuali soluzioni di identità digitale degli Stati membri dell’UE, come lo SPiD italiano, il MitID danese (eIDAS 1.0) o l’olandese DigiID», spiega Andrea D’Intino, co-founder di Forkbomb. «Si tratta di soluzioni progettate per offrire servizi più ampi e interoperabilità tra Paesi diversi, diventando così parte della nostra vita quotidiana. Pertanto, la sicurezza e la privacy devono essere la pietra angolare dell’intero processo, dalla progettazione del software all’implementazione: questi principi definiscono la collaborazione tra Forkbomb e Mobisec».

MOBISEC è un’azienda nata nel 2015 specializzata nella sicurezza delle app per dispositivi mobili. Ha collaborato con realtà come Tim, Generali, UniCredit, ING, BNL e, durante la pandemia di Covid-19, ha lavorato alla sicurezza dell’app Immuni, creata per tracciare i contatti a rischio di contagio. Oltre alla sicurezza delle applicazioni mobili, l’azienda si occupa anche di applicazioni web, oltre che di servizi di data intelligence.