Il numero sul display non è chi ti sta chiamando: come funziona lo spoofing, e cosa lo sta arginando

Il display è un'opinione

C'è una cosa che quasi tutti danno per vera senza averla mai messa in discussione: che il numero che compare sul telefono quando squilla corrisponda a chi sta chiamando. È un'assunzione ragionevole, si porta dietro trent'anni di abitudine, ed è tecnicamente falsa.

Il numero che vedete si chiama CLI — Calling Line Identification — ed è un'informazione che viaggia insieme alla chiamata. Non è una prova di identità: è un campo. Lo spoofing consiste nella manipolazione di quel campo, con l'obiettivo di rendere il chiamante irriconoscibile e non richiamabile. AGCOM lo descrive così, ed evidenzia il punto che rende il fenomeno difficile da perseguire: ostacola l'identificazione dei responsabili delle chiamate moleste.

La conseguenza pratica è quella con cui hanno a che fare le persone: il numero sul display può essere quello vero della vostra banca. Non uno simile: quello. Ed è il motivo per cui il consiglio "controlla il numero" non ha mai funzionato bene come sembrava.

Cosa ha fatto AGCOM

1. Delibera 106/25/CONS
   Il filtro anti-spoofing

   AGCOM introduce misure tecniche per bloccare le chiamate dall'estero con CLI italiano alterato.

2. 19 agosto 2025
   Prima fase

   Entra in vigore il blocco per le chiamate con CLI di rete fissa.

3. 6 novembre 2025
   Delibera 271/25/CONS

   Disposizioni attuative che ampliano e precisano l'intervento.

4. 19 novembre 2025
   Seconda fase

   Il blocco si estende alle chiamate con CLI di rete mobile.

Il meccanismo non ha niente di esotico e non usa intelligenza artificiale: è un controllo di coerenza. Le chiamate che arrivano dall'estero mostrando un numero italiano vengono confrontate con l'origine di rete effettiva della chiamata. Se il numero mostrato è italiano ma la chiamata non può provenire da quell'utenza, la chiamata viene bloccata prima di raggiungere il destinatario.

Il presupposto è statistico e AGCOM lo dichiara: le chiamate originate all'estero costituiscono la porzione di gran lunga predominante del fenomeno. Sulle chiamate di spoofing originate in Italia, l'Autorità osserva che le norme vigenti sull'uso della numerazione permettono già di individuare e perseguire gli operatori responsabili — e che quel lavoro diventa più semplice proprio quando il rumore proveniente dall'estero viene tolto di mezzo.

La delibera di novembre ha aggiunto un dettaglio che vale la pena conoscere perché mostra quanto sia dettagliato l'intervento: sono state incluse tutte le tipologie di numerazione mobile, compresi i servizi satellitari e le numerazioni dedicate alla comunicazione fra dispositivi (machine-to-machine), ed è stata introdotta una procedura semplificata per il blocco preventivo delle chiamate da operatori mobili che non generano chiamate vocali dall'estero.

I numeri, che raccontano una discesa

Questa sequenza — 8,82%, poi 3,84%, poi 1,37% — è la parte più interessante del monitoraggio, e va letta per quello che dice: non che le truffe siano finite, ma che i tentativi di instradare in Italia chiamate con numerazione fissa italiana falsificata si sono progressivamente ridotti. Quando una strada si chiude, chi la usava smette di provarci. È una misura di efficacia rara da vedere così esplicita in materia di sicurezza.

Quello che il filtro non fa

E qui serve la parte scomoda, perché un articolo che si fermasse ai numeri farebbe un cattivo servizio.

Il filtro riguarda le chiamate provenienti dall'estero con numerazione italiana falsificata. Non copre tutto il perimetro della frode telefonica. Restano fuori le chiamate da numeri esteri mostrati come tali, le chiamate da numerazioni italiane realmente assegnate a chi chiama, e — soprattutto — tutta la parte che non passa dalla voce: gli SMS.

È il territorio dello smishing, su cui la Polizia Postale mantiene avvisi ricorrenti. Lo schema segnalato dalle forze dell'ordine è costante: un messaggio che sembra della propria banca, che parla di dispositivi non autorizzati collegati al conto o di operazioni sospette, e che invita a chiamare un numero per bloccarle. Chi chiama trova qualcuno di calmo, competente e collaborativo. La truffa non sta nel messaggio: sta nella telefonata che segue.

1. 01
   Il messaggio crea l'allarme

   un accesso sospetto, un pagamento che non riconoscete
2. 02
   Il numero da chiamare è nel messaggio

   ed è l'unico elemento davvero controllato dall'attaccante
3. 03
   La conversazione fa il resto

   urgenza, competenza apparente, richiesta di confermare qualcosa

La regola che vale sempre

C'è una sola regola di comportamento che sopravvive a tutte le varianti tecniche, ed è meno intuitiva di quanto sembri: non fidatevi del canale in cui vi trovate, cambiatelo voi.

Se ricevete una chiamata o un messaggio che vi chiede di fare qualcosa con urgenza — bloccare un'operazione, confermare dati, spostare denaro su un "conto sicuro" — riattaccate e richiamate voi, sul numero stampato sulla carta o presente nell'app ufficiale. Non sul numero che vi hanno dato, non richiamando l'ultima chiamata ricevuta. È l'unico gesto che l'attaccante non può falsificare, perché la telefonata la iniziate voi.

E vale la pena ricordare il principio che la Polizia Postale ripete da anni, perché è l'unica cosa che non cambia mai: nessun istituto finanziario chiede dati personali o bancari via SMS, email o telefono. Nemmeno per proteggervi. Nemmeno se il numero sul display è il loro.

Una precisazione sui dati: le percentuali riportate provengono dal monitoraggio AGCOM relativo alla prima fase della misura e riguardano il periodo luglio-settembre 2025. Un quadro complessivo che includa anche il blocco sulle numerazioni mobili sarà disponibile nelle rilevazioni successive all'entrata in vigore della seconda fase.