Perché continuo a ricevere telefonate dopo aver cambiato fornitore dell'energia elettrica e del gas?

Ogni volta che un utente cambia fornitore di energia elettrica o gas, sa di dover affrontare una certa dose di burocrazia. Ciò che non si aspetta è di essere subissato, nei giorni e settimane successive, da un'ondata di telefonate commerciali. Operatori che sanno nome e cognome, comune di residenza, e spesso anche il fatto che è appena stato effettuato un passaggio di fornitura. Sanno chi è l'operatore da cui proveniamo e quello verso cui ci stiamo spostando, tra molti altri dati personali. Tutto legale? Difficile crederlo. Ma la realtà è più sfumata — e parte da un nome che quasi nessun consumatore conosce: il Sistema Informativo Integrato (SII) (qui il sito).

Istituito nel 2010 e gestito da Acquirente Unico S.p.A., società controllata dal GSE e quindi dal Ministero dell'Economia, il SII è una banca dati centrale che raccoglie le informazioni tecniche e anagrafiche di tutte le utenze italiane di energia elettrica e gas. Doveva essere un presidio a tutela dell'utente, con lo scopo di garantire trasparenza e correttezza nei processi di switching tra fornitori. "Il Sistema Informativo Integrato (SII) è stato istituito presso Acquirente Unico dalla legge n.129 del 13 agosto 2010 con la finalità di gestire i flussi informativi relativi ai mercati dell'energia elettrica e del gas. Il SII è basato su una banca dati dei punti di prelievo e dei dati identificativi dei clienti finali (Registro Centrale Ufficiale)" si legge sul sito ufficiale. Ma secondo molte voci, proprio il SII oggi è la principale vulnerabilità del sistema.

Il SII contiene dati come codice POD o PDR, cronologia dei contratti, codice fiscale, indirizzo del punto di prelievo e numero di telefono. L'accesso a questa preziosissima mole di dati è teoricamente riservato a fornitori, distributori, ARERA e altri soggetti accreditati. Nessun call center non autorizzato dovrebbe potervi mettere mano. Ma la realtà è più inquietante.

Secondo un esposto presentato nel 2023 da numerose associazioni (tra cui Consumerismo, OIC, Assium, Assocall e ARTE) ad AGCM, AGCOM, ARERA e al Garante della Privacy, il SII potrebbe essere la vera fonte delle fughe di dati utilizzate nei fenomeni di telemarketing selvaggio. Le associazioni denunciano che i dati vengono sottratti da soggetti compiacenti o tramite accessi poco sicuri, per poi finire in mani di operatori senza scrupoli che li usano per chiamate aggressive o fraudolente.

Il sistema è protetto da semplici credenziali username/password, senza autenticazione a due fattori o SPID. E questo potenzialmente può permettere l'accesso a soggetti non espressamente autorizzati, che si ritrovano quindi nella condizione di condividere in maniera non tracciabile le anagrafiche sottratte.

Il momento più rischioso è la cosiddetta fase di switching, quella finestra temporale in cui si passa da un fornitore all'altro. È in questo momento che i dati vengono condivisi tra più soggetti: vecchio e nuovo fornitore, distributore locale, SII. E proprio in questa fase, i truffatori sembrano agire con chirurgica precisione: chiamano gli utenti che hanno effettuato il passaggio fingendosi tecnici, enti pubblici o il vecchio gestore, approfittando del fatto che il consumatore si aspetta telefonate in merito al cambio. E che è, quindi, più vulnerabile.

Le tecniche sono ormai ben rodate: si spacciano per ARERA o per il "servizio di verifica del Mercato Libero", prospettano problemi urgenti, insinuano penali da evitare o disservizi imminenti. L'obiettivo è estorcere un nuovo contratto, magari con la semplice registrazione della parola "sì". Spesso lasciano intendere che il cambio di fornitore non sia andato a buon fine, o che uno dei due protagonisti della transazione abbia avuto delle difficoltà tecniche, a cui loro possono porre rimedio.

Ovviamente si tratta di truffe, di cui le stesse aziende fornitrici dell'energia elettrica e del gas sono al corrente. Infatti, subito dopo aver sottoscritto il nuovo contratto avvertono l'utente che si potrebbero ricevere chiamate da call center truffaldini che si spacciano per loro. Evidentemente, c'è un meccanismo ben collaudato a cui non viene posto rimedio, chissà per quali motivi.

In realtà, la gestione delle informazioni durante lo switching coinvolge così tanti attori da rendere le fughe non solo possibili, ma sistemiche. Dipendenti infedeli, broker senza scrupoli, rivendite di dati: è un ecosistema grigio e difficilmente tracciabile.

Il Registro Pubblico delle Opposizioni non basta. Anche se un utente è iscritto, può comunque ricevere chiamate se ha dato in passato il consenso a soggetti terzi — magari durante la sottoscrizione di un contratto online o tramite un comparatore. E spesso, la rimozione da tutte le banche dati è di fatto impossibile.

Le autorità? Assenti. Il Garante per la Privacy interviene solo su segnalazione. ARERA monitora, ma non può indagare su fughe di dati. AGCM punisce la pubblicità ingannevole, ma non gestisce la sicurezza informatica. E il risultato è che nessuno sembra in grado di fermare un sistema che continua a generare molestie sistematiche ai danni dei cittadini.

O, perlomeno, intervengono nella maniera sbagliata. Invece di concentrarsi sul SII pensano a soluzioni più fantasiose, che difficilmente risolveranno il problema. Se la prendono, ad esempio, con lo spoofing, ovvero le tecniche per far apparire credibili e provenienti dall'Italia chiamate che, in realtà, partono da un altro continente. Contrastare lo spoofing, come sarà fatto dal 19 agosto con le conseguenze della nuova delibera dell'AGCM (dettagli al link precedente), potrà rendere il tutto un po' più tracciabile, ma non risolverà il problema alla radice.

Che, ormai è sempre più certo, è il SII. Il vero paradosso è questo: il SII non è pensato per essere accessibile a call center. Nessuna legge autorizza la diffusione di quei dati. Eppure, le telefonate arrivano. In massa. Puntuali. Aggressive.

Chi gestisce davvero la sicurezza del Sistema Informativo Integrato? Come è possibile che nel 2025, un sistema informativo così delicato non sia protetto da autenticazione forte e logging affidabile? Le domande si moltiplicano, ma le risposte — quando arrivano — sono parziali o reticenti. Basta dare un rapido sguardo al sito, del resto, per rendersi subito conto che la piattaforma è obsoleta, facendo pensare che i suoi sistemi di sicurezza siano (volutamente?) inadeguati.

Per ora, la miglior difesa resta il sospetto. Non fornire mai dati sensibili al telefono. Non fidarsi di chi chiede azioni rapide. Non dire mai "sì" se non si conosce il chiamante. E soprattutto, non credere che una telefonata sia legittima solo perché il mittente conosce i tuoi dati. In questo sistema, chi dovrebbe proteggerli non riesce più a farlo.