Spoofing telefonico: come funziona davvero

Lo spoofing telefonico è la falsificazione del numero che compare sul display di chi riceve la chiamata. Vedi un numero che sembra autentico, magari italiano e simile al tuo, oppure quello di una banca o di un ufficio noto, ma chi sta chiamando è qualcun altro. È questo trucco a rendere credibili moltissime telefonate truffa: prima ancora che qualcuno parli, il numero ha già fatto metà del lavoro.

Una premessa di equità. Il teleselling e il telemarketing sono attività legittime, regolate dalla legge, e svolte ogni giorno da operatori che rispettano le regole. Qui non parliamo di loro. Descriviamo un raggiro tecnico usato da chi vuole ingannarti, senza fare il nome di alcuna azienda.

Come si falsifica un numero

Per capire lo spoofing serve sapere come viaggiano oggi le chiamate. Buona parte del traffico non passa più dai vecchi cavi del telefono, ma da internet, attraverso la tecnologia VoIP (Voice over IP). La voce viene spezzata in pacchetti di dati e instradata in rete, esattamente come un'email o un video.

Durante questo viaggio entra in gioco un protocollo tecnico chiamato SIP, che gestisce l'apertura e la chiusura delle chiamate. Tra le informazioni che il SIP trasporta c'è anche il CLI, cioè l'identificativo del numero chiamante: il dato che il tuo telefono legge e mostra sul display. Il problema è che questo campo si può scrivere a mano. Chi configura la chiamata può inserire un numero qualsiasi al posto di quello reale, e il sistema che riceve la chiamata, nella maggior parte dei casi, non verifica se quel numero sia autentico. Lo accetta e lo mostra.

Pensa a una busta spedita per posta. Sul fronte c'è l'indirizzo del destinatario, sul retro quello del mittente. Ma nessuno controlla che il mittente scritto sul retro sia davvero chi ha imbucato la busta. Puoi scriverci il nome che vuoi. Lo spoofing del numero funziona allo stesso modo: il mittente sulla busta è falso, e tu lo leggi credendolo vero.

Perché nessuno blocca tutto alla radice

La domanda viene naturale: se è così semplice falsificare il numero, perché la rete non lo impedisce? La risposta sta nella storia della telefonia. Le reti telefoniche sono nate decenni fa basandosi sulla fiducia reciproca tra operatori, in un'epoca in cui chiamare costava e i nodi della rete erano pochi e conosciuti. La verifica dell'identità non era prevista, perché non serviva. Oggi, con miliardi di chiamate VoIP che attraversano confini e fornitori diversi, quella fiducia di base viene sfruttata. Aggiungere controlli a posteriori è possibile, e si sta facendo, ma è un lavoro lungo che coinvolge tutti gli operatori del mondo.

Perché le chiamate sembrano vere

Il numero mostrato non è scelto a caso. Chi truffa lo seleziona per ottenere una cosa precisa: la tua fiducia, nel mezzo secondo in cui guardi lo schermo e decidi se rispondere.

Ci sono due strategie ricorrenti. La prima è il self-spoofing, o spoofing di prossimità: ti compare un numero molto simile al tuo, con lo stesso prefisso e le prime cifre uguali. Il cervello legge "numero di zona" e abbassa la guardia, perché istintivamente associamo i numeri vicini al nostro a persone o attività della stessa area. La seconda strategia, più diffusa, è l'impersonazione: sul display appare il numero di un ente che conosci e di cui ti fidi, come una banca, un operatore telefonico o un ufficio pubblico. In alcuni casi il numero falsificato coincide davvero con quello ufficiale che troveresti scritto sul sito di quell'ente.

A questo punto entra la voce. Un copione costruito bene aggiunge urgenza ("è stato rilevato un accesso sospetto", "deve confermare subito i suoi dati") e sfrutta il fatto che il numero ha già rassicurato la vittima. Il numero apre la porta, le parole completano l'inganno. È un meccanismo psicologico che abbiamo raccontato nel dettaglio nella pagina su come funziona la truffa.

Vale la pena smontare un mito qui. Vedere il numero "giusto" sul display non prova nulla. Non è una garanzia di identità, perché quel numero può essere scritto da chiunque. L'unica certezza che ti dà è che qualcuno ha deciso quale numero farti vedere.

Self-spoofing e impersonazione: due facce dello stesso trucco

Conviene distinguerle bene, perché si difendono allo stesso modo ma giocano su leve diverse.

Nel self-spoofing la leva è la familiarità. Il numero somiglia al tuo o a quello di un contatto di zona, e punta a farti rispondere per pura curiosità o abitudine. Se ti chiedi "chi sarà, ha un numero quasi identico al mio?", il trucco ha già funzionato in parte.

Nell'impersonazione la leva è l'autorità. Il numero indossa i panni di un'istituzione, e ti spinge ad agire in fretta perché l'ente che credi ti stia chiamando ha il potere di bloccarti un conto, sospendere una linea o aprire un procedimento. La paura accelera, e la fretta è l'ambiente in cui le truffe prosperano.

In entrambi i casi il punto fermo è lo stesso: nessun ente serio ti chiederà mai, al telefono, password, codici usa e getta, PIN o di spostare denaro "per metterlo al sicuro". Se succede, la chiamata è una truffa, qualunque numero mostri il display.

Cosa sta facendo l'Italia

La buona notizia è che il problema è stato preso di petto a livello di rete. AGCOM, l'autorità per le comunicazioni, ha introdotto un filtro anti-spoofing che agisce direttamente sulle chiamate in ingresso, attivato in due fasi. Dal 19 agosto 2025 vengono bloccate le chiamate provenienti dall'estero che mostrano un numero di rete fissa italiana falsificato: se la chiamata arriva da fuori ma finge di essere un fisso italiano, viene fermata. Dal 19 novembre 2025 lo stesso blocco è stato esteso anche ai numeri di rete mobile italiana falsificati. Con la delibera 271/25/CONS l'autorità ha poi rafforzato l'impianto delle misure (fonte AGCOM).

Tradotto: una fetta consistente delle chiamate truffa, quelle costruite all'estero ma camuffate da numero italiano, oggi non arriva nemmeno al tuo telefono. Non è una soluzione totale, perché i metodi cambiano e una parte del traffico sfugge ancora, ma è un argine concreto che prima non c'era. I riferimenti normativi e i tuoi strumenti di tutela li trovi raccolti nella guida ai diritti contro il telemarketing.

Come bloccare le chiamate spoofing

Sul fronte tecnico, qualche accorgimento riduce molto il rumore.

• Attiva i filtri integrati del telefono. Su iPhone esiste l'opzione per silenziare i numeri sconosciuti; su Android le app telefono di serie offrono filtri anti-spam e segnalazione automatica. Sono gratuiti e già presenti nel dispositivo.
• Valuta un'app dedicata di riconoscimento e blocco chiamate, che incrocia database di numeri segnalati. Utile come secondo livello, mai come unica difesa.
• Non richiamare il numero sospetto. Spesso appartiene a una persona ignara, e richiamare non porta a chi ti ha contattato.
• Segnala. Annotare numero e orario e inoltrare la segnalazione aiuta gli operatori e l'autorità a mappare le campagne in corso.

Ma la regola di fondo resta quella che nessun filtro potrà mai sostituire. A un numero sconosciuto che mette fretta e chiede dati, codici o conferme, non si risponde con informazioni. Si riaggancia, si cerca il numero ufficiale dell'ente in modo autonomo, e si richiama da lì. Il display può mentire; il tuo metodo no. Per il quadro completo dei comportamenti che fanno la differenza, leggi la guida su come difendersi dalle truffe telefoniche.

Domande frequenti

Posso sapere chi mi ha chiamato davvero?

Di norma no. Il numero che vedi sul display è falsificato e non corrisponde alla linea reale. Annota numero e orario, segnala, e non richiamare.

Lo spoofing telefonico è illegale?

Sì, quando serve a ingannare o truffare. In Italia AGCOM ha introdotto filtri che bloccano le chiamate dall'estero con numeri italiani falsificati.

Se richiamo il numero che mi ha chiamato, parlo con il truffatore?

Quasi mai. Spesso quel numero appartiene a una persona ignara che a sua volta riceve telefonate di protesta. Richiamare non serve.

Un'app o l'operatore possono fermare lo spoofing del tutto?

No, non al cento per cento. I filtri del telefono e quelli di rete riducono molto il problema, ma la difesa più solida resta il tuo comportamento davanti a una chiamata sospetta.