Chiamate e SMS truffa con numeri falsificati: come reagire

Il telefono squilla e sul display compare il numero della tua banca, oppure quello di un ufficio della Polizia. Eppure potrebbe non essere chi dice di essere. Questa guida mette insieme tre fonti italiane: un comunicato dell'AGCOM sul filtro anti-spoofing, la scheda del Garante per la protezione dei dati personali sullo smishing e un avviso della Polizia Postale. Dove le fonti non dicono qualcosa, lo indichiamo.

Che cos'è lo spoofing

La Polizia Postale descrive lo spoofing telefonico così: i truffatori, usando la tecnologia Voip, che trasmette le chiamate sulla rete internet, telefonano nascondendosi dietro numeri di telefono reali. Chi riceve la chiamata vede un numero o un nome sul display, che a volte appartiene a un contatto della rubrica o a un numero conosciuto, per esempio quello usato dalla banca o da Poste per comunicazioni di servizio.

Il Garante usa lo stesso termine per messaggi: il truffatore può aver preso il controllo del dispositivo o del numero di un conoscente, o di un soggetto con cui si hanno rapporti, e usarlo per ingannare.

Come si svolge la truffa

L'avviso della Polizia Postale, datato 9 novembre 2023, riporta alcuni schemi ricorrenti:

• una persona viene chiamata da un falso operatore della Polizia, che parla di un non meglio precisato attacco informatico al conto corrente e annuncia un SMS con un link per ricevere istruzioni;
• per guadagnare fiducia, il truffatore invita a verificare su internet che il numero chiamante corrisponda a quello dell'ufficio della Polizia postale;
• in altri casi arriva prima un SMS che sembra provenire dalla banca e si accoda alle notifiche già ricevute, avvisando di un probabile accesso abusivo al conto;
• il link porta, in genere, a pagine clone di Poste Italiane o dell'istituto di credito, dove la vittima spesso fornisce le credenziali;
• seguono chiamate di falsi operatori antifrode che spingono a fare un bonifico su un altro conto per mettere al sicuro i risparmi.

Il punto chiave è che la corrispondenza del numero non prova nulla. Proprio quella verifica, secondo l'avviso, viene usata per rafforzare la fiducia della vittima.

Il filtro anti-spoofing dell'AGCOM

Il comunicato stampa dell'AGCOM del 24 novembre 2025 spiega che il 19 novembre è diventata operativa la seconda fase del filtro anti-spoofing previsto dalla delibera n. 106/25/CONS. Il filtro prevede il blocco delle chiamate mobili provenienti dall'estero con numero italiano, escluse quelle dei clienti effettivamente in roaming.

La prima fase era stata avviata il 19 agosto e aveva bloccato tutte le chiamate dall'estero con numero italiano di rete fissa. Dal 19 novembre sono quindi bloccate tutte le chiamate con numeri italiani provenienti dall'estero, di norma illecite, perché i numeri italiani sono assegnati solo in Italia, escluse quelle dal cellulare di clienti realmente in roaming in altre nazioni.

I primi dati e i limiti del filtro

I primi dati forniti dagli operatori, secondo l'AGCOM, mostrano un'ampia diffusione della pratica. I quattro principali gestori hanno bloccato, nel periodo dal 19 al 21 novembre, una media orientativa di 7,46 mln di chiamate al giorno. L'AGCOM definisce questo dato parziale, ma circa 6 volte superiore a quello delle chiamate bloccate da numeri fissi dall'estero nella fase iniziale, cioè circa 1,3 mln al giorno. Tra i diversi operatori, la quota di chiamate illecite da numerazioni mobili bloccate arriva a valori del 50%, del 70% e fino al 90%.

L'AGCOM segnala anche un limite: il fenomeno si sta spostando sulle chiamate dall'estero con numeri internazionali, che non possono essere bloccati sulla base del quadro normativo vigente. Si potrà inoltre assistere a un aumento dello spoofing originato in Italia, su cui l'Autorità dichiara che svolgerà vigilanza irrogando le sanzioni del caso. Il comunicato conclude che i cittadini devono prestare la massima attenzione a queste chiamate, quando vengono offerti contratti e servizi di varia natura.

Smishing: i segnali dei messaggi truffa

Il Garante descrive lo smishing come phishing tramite SMS e sistemi di messaggistica. I messaggi invitano a compiere azioni, come cliccare un link, o a fornire informazioni con urgenza, per non rischiare danni o sanzioni. Tra i segnali da valutare con attenzione:

• toni ultimativi e intimidatori, o una spinta ad agire con fretta;
• banche, gestori di carte o società di recupero crediti che segnalano anomalie da verificare urgentemente;
• pacchi o bollette da saldare con urgenza;
• amministrazioni pubbliche che chiedono dati o il pagamento di sanzioni;
• errori linguistici o grammaticali nel testo.

Che cosa fare

Il Garante indica queste precauzioni:

• non comunicare a sconosciuti dati personali, codici di accesso, PIN, password, dati bancari o della carta di credito;
• non cliccare sui link e non aprire gli allegati di messaggi di sconosciuti;
• se un messaggio invita a richiamare un numero, controllare prima che sia quello ufficiale, per esempio sul sito dell'azienda o dell'istituzione;
• se si sospetta di essere stati vittime di smishing, contattare subito la banca o il gestore della carta attraverso canali conosciuti e affidabili e, in caso di sottrazione di denaro, chiedere il blocco delle transazioni;
• controllare spesso le movimentazioni del conto.

La Polizia Postale aggiunge che, in caso di dubbio, si può contattare la banca, la filiale di Poste dove si ha il conto o la Polizia di Stato al numero di emergenza 113 o NUE 1-1-2. Un tentativo di truffa in atto si può segnalare sul sito www.commissariatodips.it. Il Garante aggiunge che, in caso di sottrazione di denaro, si può anche segnalare la truffa subita alle autorità di polizia.

Che cosa le fonti non dicono

Le fonti non indicano un numero o un registro per bloccare le chiamate indesiderate in generale, né un canale dell'AGCOM a cui segnalare un singolo numero. Il comunicato dell'AGCOM riporta dati forniti dagli operatori nei primi giorni di applicazione del filtro, non un bilancio complessivo: l'Autorità annuncia che pubblicherà una rilevazione più ampia.

Un controllo sui dati che compaiono online

Remove Me offre un'analisi gratuita, senza bisogno di creare un account: dopo aver inserito i tuoi dati, il servizio cerca nei risultati web visibili pubblicamente, nei data breach noti (Have I Been Pwned) e in un registro di data broker, poi mostra un report. Il report si sblocca con un codice a 6 cifre inviato via e-mail. Remove Me non invia ancora richieste di cancellazione per conto dell'utente.