Inizia con una telefonata strana. Una signora arrabbiata: "La smetta di chiamarmi, ho già detto di no." Tu non l'hai mai sentita in vita tua. Poi ne arriva un'altra. E un'altra ancora. Ricostruisci pian piano l'assurdo: tutti questi sconosciuti vedono comparire sul loro telefono il tuo numero come chiamante, e tu non hai fatto nessuna di quelle chiamate. Il tuo numero è in giro a molestare mezza Italia senza di te.
Si chiama spoofing del CLI - Calling Line Identification, l'identificativo del chiamante - ed è il fenomeno per cui il numero che appare sul display può essere completamente diverso da quello reale. Non è un virus del telefono. È una debolezza strutturale del sistema telefonico, che i truffatori sfruttano da anni.
La tesi, semplice ma scomoda, è questa: il numero sul display ha smesso di essere una prova di identità. A nostro avviso è l'unica informazione, in tutta la telefonata, di cui non ti puoi mai fidare - proprio quella che l'istinto ti spinge a considerare certa. Da qui parte ogni difesa sensata.
Come funziona tecnicamente lo spoofing
Quando fai una telefonata, l'operatore inserisce nella segnalazione due dati: il numero da raggiungere e il numero che sta chiamando, cioè il CLI. Il problema è che il sistema fu pensato in un'epoca in cui solo pochi operatori riconosciuti potevano emettere chiamate, e ci si fidava di loro per impostazione predefinita.
Con il VoIP - la voce che viaggia su internet - chiunque configuri un centralino virtuale può scrivere nel CLI il numero che preferisce. Alcuni servizi lo consentono per scopi leciti: un call center che mostra il numero verde aziendale invece della linea del singolo operatore. Gli stessi strumenti, però, si prestano all'abuso.
I truffatori usano il VoIP da paesi con regole più permissive. Comprano numeri italiani in massa, spesso a basso costo, e li impostano come CLI sulle chiamate in uscita. Sul telefono della vittima appare un fisso italiano, magari del prefisso locale, e la fiducia sale. Il numero non è "hackerato": è semplicemente scritto a mano dal truffatore.
I tre tipi più comuni di spoofing in Italia
Spoofing di prefisso geografico locale
Il truffatore mostra un numero della tua stessa zona. Vivi a Bologna, ti chiama un 051 sconosciuto. La tentazione naturale è rispondere: "sarà qualcuno di qui". Il call center è all'estero, ma sul display sembra Bologna.
Spoofing di numero istituzionale o famoso
Il truffatore espone il numero ufficiale di una banca, di un ente pubblico, di un grande operatore. Alcuni smartphone associano quel numero al nome salvato in rubrica, così sul display compare direttamente "INPS" o il nome della banca. La fiducia diventa quasi totale.
Spoofing del tuo stesso numero
Il caso più disorientante: il truffatore mette come CLI il numero del destinatario. Ti chiama il "tuo" numero. Qualcuno risponde per curiosità, qualcun altro pensa a un errore tecnico. Serve anche ad aggirare i filtri antispam, perché difficilmente bloccheresti te stesso.
I filtri AGCOM, il cambio di regime in Italia
Negli ultimi anni AGCOM è intervenuta con provvedimenti dedicati per contrastare il fenomeno, imponendo agli operatori italiani interventi tecnici di filtraggio sulle chiamate in entrata dall'estero.
| Filtro | Cosa blocca | Stato |
|---|---|---|
| Chiamate estere con CLI italiano fisso | Telefonate dall'estero che mostrano come chiamante un numero fisso italiano | Operativo |
| Chiamate estere con CLI italiano mobile | Telefonate dall'estero che mostrano come chiamante un numero mobile italiano | In progressiva implementazione |
Il principio è lineare: se una chiamata arriva da un'interconnessione internazionale ma espone un numero italiano, qualcosa non torna. Salvo eccezioni regolamentate, come i clienti italiani in roaming, quelle chiamate vengono fermate prima di arrivare al destinatario.
Le stime AGCOM dopo l'avvio del filtro indicano una riduzione dello spam telefonico con CLI falsificato. Non scomparsa, ridimensionamento. E qui va detta la parte scomoda: molti truffatori si stanno spostando su numeri italiani veri, SIM comprate sul mercato grigio, per aggirare il filtro. Il filtro colpisce l'origine estera, non la falsificazione in sé.
Perché il display non basta: la gerarchia della difesa
Visto che il numero è falsificabile, l'ordine delle tue difese va rovesciato rispetto all'istinto. Non chiederti "chi è questo numero?" ma "cosa mi sta chiedendo di fare?". Il contenuto della chiamata resta vero anche quando il display mente. Se ti chiedono un codice, un pagamento o dati riservati con urgenza, hai già la risposta, qualunque numero compaia.
In pratica funziona così: il display può solo insospettirti, mai rassicurarti. Un numero "sbagliato" è un allarme utile; un numero "giusto" non è mai una garanzia.
Cosa fare se sei vittima di spoofing del tuo numero
Scoprire che qualcuno usa il tuo numero per disturbare estranei è frustrante. Le opzioni sono poche, ma esistono.
- Spiega con calma a chi ti chiama. Se ricevi telefonate di reclamo, chiarisci che il tuo numero è stato falsificato a tua insaputa, e rimanda alle informazioni ufficiali sul fenomeno.
- Segnala al tuo operatore. TIM, Vodafone, WindTre, Iliad e Fastweb hanno procedure per l'abuso del numero. Spesso non fermano lo spoofing, ma il dato alimenta i sistemi che nutrono i filtri.
- Segnala al CSIRT Italia, il team nazionale che raccoglie gli incidenti di sicurezza, soprattutto se le chiamate falsificate servono a truffe.
- Segnala su numerosospetto.it. La condivisione pubblica dei numeri abusati aiuta gli altri utenti e le app antispam.
- Sporgi denuncia alla Polizia Postale se ci sono reati collegati (truffe, minacce, molestie). Non blocca le chiamate, ma apre la strada a indagini più ampie.
Cambiare numero è la soluzione estrema e raramente definitiva: il truffatore prima o poi ne sceglierà un altro da falsificare. Se le chiamate diventano molestie continue, valuta caso per caso con la Polizia Postale.
Come proteggersi quando sei tu il destinatario
Anche se sul display vedi un numero italiano apparentemente legittimo, non è una garanzia. Pochi accorgimenti riducono il rischio.
- Non agire mai su informazioni date al telefono da chi ti ha chiamato per primo. Banche, operatori ed enti pubblici possono sempre confermare tutto per i canali ufficiali.
- Riaggancia e richiama il numero ufficiale dal sito o dal retro della carta. Se la chiamata era vera, te lo confermeranno. Se era falsificata, l'inganno crolla subito.
- Diffida delle urgenze. Lo spoofing dà credibilità, l'urgenza impedisce la verifica: insieme sono quasi sempre il segnale di una truffa.
- Installa un'app antispam. Truecaller, Whoscall, Hiya e altre raccolgono segnalazioni e bloccano i numeri già noti.
- Verifica il numero sui motori di ricerca o su numerosospetto.it prima di richiamare o agire.
Quando il numero falsificato è quello di una persona reale
Una variante particolarmente sgradevole è quella in cui i truffatori usano numeri di persone fisiche, non solo di aziende. Quando le vittime richiamano per capire chi le ha disturbate, finiscono a parlare con un perfetto estraneo.
Si creano così due vittime: chi ha ricevuto il tentativo di truffa e chi sta involontariamente "prestando" il numero. Per quest'ultimo la pressione di telefonate aggressive può durare giorni. La protezione dei filtri AGCOM è efficace solo per le chiamate dall'estero: quando il truffatore opera con SIM italiana, il sistema non riconosce l'anomalia.
Per i meccanismi di base con cui identificare un numero, è utile la lettura di come scoprire chi ti ha chiamato in Italia.
Domande frequenti sullo spoofing
Lo spoofing è legale in Italia?
Mostrare un CLI diverso da quello reale è regolato da AGCOM e dalle norme di telecomunicazione. Esistono usi leciti - un'azienda che espone il proprio numero verde - e usi illeciti, cioè chiunque mostri un numero che non è autorizzato a usare. Chi falsifica numeri di banche o di persone reali per ingannare commette illeciti sanzionati dalla legge italiana ed europea.
I filtri AGCOM bloccano tutto lo spoofing?
No. Fermano le chiamate provenienti dall'estero che espongono un numero italiano come CLI. Lo spoofing tra numeri italiani da fonti italiane sfugge al filtro, che è ancora in affinamento. Il fenomeno è in calo, non azzerato.
Posso scoprire chi sta usando il mio numero falsificato?
Difficilmente da solo. L'operatore può fornire alle autorità tracciamenti tecnici, ma serve un procedimento aperto. Se ricevi pressione costante, raccogli i numeri di chi ti chiama lamentandosi e portali alla Polizia Postale: aiutano a ricostruire la catena.
Cambiare numero risolve il problema?
Solo nel breve termine. Un numero appena cambiato può essere falsificato di nuovo nel giro di settimane se finisce nei database illeciti. La soluzione strutturale arriva dai filtri di sistema, non dalle azioni del singolo.
Lo spoofing esiste anche via SMS?
Sì, e si chiama smishing con mittente falsificato. Un SMS che sembra arrivare da "IntesaSanpaolo" o "BancoPosta" può essere stato inviato da un servizio che modifica il campo del mittente. È una tecnica diffusa nel phishing bancario, che trattiamo in modo specifico negli articoli dedicati agli SMS truffa.
In sintesi
Lo spoofing ha tolto al numero sul display il suo unico valore: quello di provare chi chiama. Il display oggi può solo insospettirti, mai rassicurarti - un numero sbagliato è un allarme, un numero giusto non è una garanzia. I filtri AGCOM stanno riducendo i tentativi dall'estero, ma la falsificazione con SIM italiane resta. La difesa non è indovinare da dove parte la chiamata, ma non agire mai sulle richieste ricevute e richiamare sempre tu il numero ufficiale.