Vishing: riconoscere una truffa telefonica e fermarla

Una voce sicura, il numero apparentemente corretto e qualche informazione personale possono far sembrare autentica una chiamata. Nel vishing, però, proprio questi elementi vengono usati per conquistare fiducia e spingere la persona a fare qualcosa che normalmente eviterebbe.

Che cos’è il vishing

Vishing significa voice phishing: è una forma di ingegneria sociale condotta attraverso una telefonata o un messaggio vocale. Il CERT-AGID lo descrive come una frode in cui l’attaccante induce la vittima a rivelare dati sensibili, codici di sicurezza o a effettuare pagamenti.

La chiamata non deve necessariamente iniziare dal nulla. Può essere preceduta da un SMS, un’email o una pagina falsa. Il truffatore può presentarsi come operatore della banca, tecnico informatico, corriere, collega, ufficio pubblico o forza dell’ordine. Lo scopo non è “hackerare la voce”: è convincere la persona a collaborare.

Uno scenario semplice

Ricevi una chiamata che sembra provenire dalla tua banca. L’operatore conosce il tuo nome e parla di un pagamento sospetto. Dice che occorre intervenire subito e ti chiede il codice appena arrivato via SMS per “annullare l’operazione”.

Il racconto è credibile, ma il codice potrebbe autorizzare proprio l’accesso o il pagamento che il criminale sta tentando. La Polizia di Stato documenta questo schema: messaggio o pagina falsa per ottenere le credenziali, seguito dalla telefonata del falso operatore che chiede il codice monouso.

Le leve usate durante la chiamata

Le storie cambiano, ma molte chiamate cercano di attivare le stesse reazioni:

• Urgenza: “deve agire entro pochi minuti”. Riduce il tempo disponibile per verificare.
• Paura: un conto bloccato, una multa, un’indagine o un familiare in difficoltà.
• Autorità: il chiamante dichiara un ruolo che rende difficile contraddirlo.
• Fiducia: conosce nome, indirizzo o altre informazioni reperite altrove.
• Segretezza: chiede di non chiudere la chiamata e di non parlarne con nessuno.

Nessuno di questi segnali, preso da solo, dimostra una frode. La loro combinazione indica però che devi fermarti e verificare attraverso un canale indipendente.

Perché il numero sul display non basta

Il nome o il numero mostrato dal telefono può essere falsificato tramite caller ID spoofing. La guida del Garante per la protezione dei dati personali ricorda che anche una numerazione apparentemente ordinaria non garantisce la sicurezza della chiamata. La FTC fornisce la stessa indicazione: il caller ID non deve essere usato come prova dell’identità.

Anche una voce familiare non è una verifica sufficiente. Registrazioni, imitazioni e audio generato possono aumentare la credibilità. Un avviso dell’FBI segnala campagne che hanno impiegato messaggi vocali generati con AI per impersonare persone conosciute. Non è necessario saper riconoscere tecnicamente una voce sintetica: serve una procedura che funzioni anche quando la voce sembra vera.

La procedura sicura in cinque passi

1. Interrompi la pressione. Non seguire istruzioni mentre resti in linea. Riaggancia senza discutere.
2. Non condividere segreti. Non comunicare password, PIN, OTP, numeri completi delle carte o codici di recupero. Non installare applicazioni e non autorizzare accessi remoti.
3. Trova tu il contatto. Usa l’app ufficiale, il sito digitato manualmente, il numero sul retro della carta o un documento già in tuo possesso. Non richiamare il numero suggerito dall’interlocutore o contenuto nel messaggio sospetto.
4. Verifica la storia. Chiedi all’organizzazione se esiste davvero il problema. Per una richiesta attribuita a una persona conosciuta, usa un altro contatto già noto o una domanda concordata.
5. Conserva e segnala. Annota data, ora, numero visualizzato e richiesta ricevuta. Segnala all’organizzazione impersonata e, se necessario, alla Polizia Postale.

Se hai già fornito informazioni

Agisci rapidamente, senza vergogna e senza continuare il contatto con chi ha chiamato. Se sono coinvolti denaro o dati bancari, contatta subito la banca attraverso il canale ufficiale e chiedi il blocco delle operazioni o degli strumenti interessati. Cambia le credenziali dal sito o dall’app autentica, iniziando dall’email se può essere usata per recuperare gli altri account.

Se hai comunicato un codice OTP, approvato una notifica o installato un programma di controllo remoto, dichiaralo esplicitamente all’assistenza: è un’informazione utile per valutare sessioni, dispositivi e pagamenti. Conserva SMS, messaggi vocali e ricevute senza inoltrare contenuti pericolosi ad altre persone.

Glossario essenziale

Ingegneria sociale

Tecniche che sfruttano fiducia, emozioni e abitudini per indurre una persona a compiere un’azione.

Phishing

Tentativo di ottenere dati o azioni fingendo di essere un soggetto affidabile.

Vishing

Phishing condotto tramite voce o telefonata.

Smishing

Phishing tramite SMS o altri messaggi brevi.

OTP

Password valida una sola volta. È comunque un segreto e può autorizzare operazioni reali.

Spoofing

Falsificazione di un’informazione identificativa, come il numero mostrato dal telefono.

Riepilogo

Non devi diventare esperto di telecomunicazioni o riconoscere una voce artificiale. Devi sottrarre alla chiamata il controllo della verifica: riaggancia, scegli autonomamente un contatto ufficiale e non condividere mai codici o credenziali. Il numero visualizzato, la voce e le informazioni personali conosciute dal chiamante sono elementi della storia, non prove della sua identità.

Fonti e verifica

Fonti istituzionali consultate il 9 ottobre 2026. Gli esempi sono scenari didattici e non descrivono una singola campagna o un incidente specifico.

• CERT-AGID — campagne che combinano phishing e vishing
• Garante Privacy — Vishing
• Polizia di Stato — sicurezza informatica e frodi telefoniche
• FTC — falsificazione del caller ID
• FBI — messaggi vocali e impersonificazione