Osservatorio TruffeCaller ID spoofing: come ti falsificano il numero
Il caller ID spoofing fa comparire sul tuo display un numero che non è quello di chi chiama. Ecco dove vive il numero falso dentro il segnale SIP, perché è così facile e cosa lo blocca in Italia.
Il caller ID spoofing fa apparire sul tuo telefono un numero diverso da quello reale di chi chiama. Il display mostra un fisso italiano, magari quasi identico al tuo, mentre la chiamata nasce da un centralino dall'altra parte del mondo. Funziona per un motivo preciso: nelle reti telefoniche moderne il numero del chiamante non è un'impronta, è un'etichetta che si scrive a mano. E chi gestisce il sistema di partenza scrive quello che gli serve.
Dove abita il numero falso
Una chiamata VoIP viene avviata da un messaggio del protocollo SIP, una specie di lettera con varie righe di intestazione. In quella lettera ci sono i campi che dicono «chi sta chiamando». Il più visibile è il campo From, che contiene il numero mostrato. Esiste anche un campo pensato per essere più affidabile, il P-Asserted-Identity, che dovrebbe essere riempito dall'operatore in base all'utenza reale. Il problema nasce quando un fornitore di trunk SIP poco scrupoloso lascia che sia il cliente a decidere cosa scriverci. A quel punto il numero diventa testo libero, e l'inganno è servito.
Questa libertà non è un bug inventato dai truffatori. Serve a usi legittimi, per esempio a far comparire l'unico numero del centralino aziendale al posto del singolo interno che chiama. La stessa flessibilità, in mani sbagliate, diventa l'arnese del raggiro.
Perché un blocco vero è difficile
Negli Stati Uniti e in Francia si è adottato STIR/SHAKEN, un sistema che firma digitalmente il numero alla partenza e lo verifica all'arrivo, assegnando un livello di attendibilità. In Italia l'adozione è complicata, perché la rete è ancora un mosaico di VoIP e vecchi circuiti TDM, e una firma end-to-end ha senso solo se la usano tutti, esteri compresi. Per questo AGCOM ha imboccato un'altra strada.
Cosa lo sta arginando qui
Il filtro anti-spoofing di AGCOM blocca le chiamate che entrano dall'estero esibendo un numero italiano senza averne titolo. La logica è di buon senso: se una telefonata arriva dalla frontiera internazionale ma mostra un fisso o un mobile italiano, quel numero non può essere autentico. La misura è partita in due fasi, dal 19 agosto 2025 per le numerazioni fisse e dal 19 novembre 2025 per quelle mobili, ed è regolata dalla delibera 271/25/CONS. Nelle prime settimane sui mobili ha intercettato decine di milioni di chiamate, il che dice quanto il trucco fosse abusato.
Resta la difesa che non scade mai: il numero sul display non è un documento d'identità. Se ti chiamano «dal tuo fornitore», chiudi e richiama tu il numero ufficiale stampato in bolletta. Il meccanismo completo è nella guida spoofing telefonico, come funziona davvero; per le contromisure pratiche vedi come difendersi dalle truffe telefoniche.
Fonti
- AGCOM, Delibera 271/25/CONS
- Fondazione Ugo Bordoni, Telemarketing e CLI spoofing: tecnologie, normative e soluzioni
Domande frequenti
Se richiamo il numero che vedo, parlo con il truffatore?
Quasi mai. Il numero mostrato è falsificato e spesso appartiene a un ignaro terzo, che a sua volta riceve le chiamate di chi tenta di richiamare.
Dove sta scritto il numero che vedo?
Nei campi di intestazione del messaggio SIP che avvia la chiamata, in particolare il campo From. È un dato che il sistema chiamante compila, non un'impronta verificata.
Perché in Italia non si usa STIR/SHAKEN come negli USA?
Perché la rete italiana è ancora mista tra VoIP e circuiti tradizionali, e una firma digitale del numero richiederebbe l'adesione di tutti gli operatori, anche esteri. AGCOM ha scelto un blocco a livello di rete.
Torna alla guida: Tecnica