Truffe telefoniche e via SMS in Italia: report del primo trimestre 2026

Un SMS ti avvisa di un pagamento PagoPA in sospeso, con tanto di link. Sembra ufficiale, ha il tono giusto e arriva proprio mentre aspetti una scadenza. Nei primi mesi del 2026 questo è stato lo schema più diffuso in Italia, e non per caso. Questo articolo raccoglie i dati pubblici sul primo trimestre 2026 e mostra quali truffe telefoniche e via SMS hanno dominato il periodo.

I numeri del primo trimestre 2026

In Italia non esiste un singolo report ufficiale "trimestrale" sulle frodi. La serie più affidabile e aggiornata è quella del CERT-AGID, che conta ogni settimana le campagne malevole rivolte agli utenti italiani. Sommando i bollettini, il trimestre racconta una pressione in crescita mese dopo mese.

Il dato di gennaio copre solo le prime due settimane, quindi non è confrontabile con i mesi pieni. Resta però chiara la direzione: da febbraio a marzo le campagne sono passate da 279 a 433, e ad aprile sono salite ancora. A febbraio il CERT-AGID ha contato anche oltre 2.600 indicatori di compromissione e più di 26 marchi sfruttati. Nessuna fonte pubblica fornisce invece un dato certo di perdite economiche o di SMS bloccati limitato ai soli mesi gennaio-marzo 2026.

I marchi più sfruttati

Mese dopo mese il richiamo dominante è stato PagoPA, usato per finti avvisi di pagamento e di multe. Accanto a lui, una sfilza di enti pubblici: INPS, Agenzia delle Entrate, Poste Italiane, Ministero della Salute e Ministero dell'Interno. A gennaio ha girato una campagna specifica sulla finta "scadenza della tessera sanitaria".

Sul fronte bancario e dei pagamenti, i marchi imitati sono stati tra gli altri Intesa Sanpaolo, BPM, ING, Crédit Agricole, BNL, Nexi e PayPal. Lo smishing puro ha sfruttato soprattutto finti avvisi di Autostrade per l'Italia (anomalie di pedaggio) e messaggi INPS, spesso con l'invito a scaricare una app Android che in realtà installa un trojan bancario. Come distinguere un vero avviso da uno falso lo abbiamo spiegato nella guida sullo smishing di Poste e corrieri.

Vishing e voce clonata

La parte telefonica vera e propria pesa eccome. Nel report annuale presentato il 10 gennaio 2026, la Polizia Postale ha indicato il vishing come l'evoluzione più insidiosa: qualcuno ti chiama spacciandosi per la tua banca, per un poliziotto o per un carabiniere. Il copione del "finto operatore bancario" punta a farti dettare codici o spostare denaro su un conto "sicuro". Lo schema, e i suoi segnali di allarme, sono gli stessi della truffa con chiamata da finto INPS o Agenzia delle Entrate.

La novità che gli investigatori segnalano è l'uso dell'intelligenza artificiale: testi senza errori grammaticali e, soprattutto, voci clonate. Bastano pochi secondi di audio preso dai social per ricreare il timbro di un familiare. Come funziona e come riconoscerlo lo trovi nell'approfondimento sul deepfake vocale.

Il filtro anti-spoofing AGCOM

La vera notizia regolatoria del periodo arriva da AGCOM. Con la delibera n. 106/25/CONS, l'Autorità ha imposto agli operatori il blocco delle chiamate internazionali che mostrano un numero italiano falsificato (CLI spoofing). Il meccanismo è partito in due fasi.

1. Fase 1, numeri fissi - attiva dal 19 agosto 2025. A settembre 2025 sono stati filtrati circa 20 milioni di chiamate, pari all'1,37% del traffico internazionale.
2. Fase 2, numeri mobili - attiva dal 19 novembre 2025. Tra il 19 e il 30 novembre sono state bloccate circa 49,3 milioni di chiamate illecite, in media 4,1 milioni al giorno.

L'effetto collaterale, fotografato dai dati AGCOM di fine dicembre 2025, è che i truffatori hanno reagito: invece del numero italiano falso, mostrano sempre più spesso un vero prefisso estero. E nei primi mesi del 2026 l'Autorità ha acceso un faro sul telemarketing illegale che ora abusa di veri numeri fissi italiani per aggirare il filtro. Il blocco aiuta, ma non azzera il problema. Capire come ti arriva una chiamata falsificata resta utile: lo spieghiamo nel pezzo sullo spoofing del numero chiamante.

Quanto è costato

Il bilancio 2025 della Polizia Postale, diffuso a gennaio 2026, dà la misura del fenomeno su base annua: 51.560 casi trattati, 293 arresti e 7.590 persone indagate o denunciate. La sola criminalità informatica economico-finanziaria (phishing, smishing e vishing) vale 27.085 casi. Diverse testate di settore hanno parlato di circa 269 milioni di euro sottratti nel 2025, cifra ripresa dalla stampa ma non riportata sulla pagina ufficiale della Polizia di Stato che ho consultato: la cito quindi come stima giornalistica, non come dato certo.

Un punto del report CERTFin spiega perché le truffe funzionano ancora: circa l'82% delle frodi si basa sulla collaborazione inconsapevole della vittima, cioè sull'inganno, non sulla tecnologia. È la conferma che la difesa migliore sei tu.

Cosa fare quando ricevi una chiamata o un SMS sospetto

1. Non cliccare i link negli SMS. PagoPA, INPS, Agenzia delle Entrate e Autostrade non chiedono pagamenti via link in un messaggio.
2. Riaggancia e richiama tu. Usa il numero stampato sulla carta o sul sito ufficiale, mai quello che compare sul display.
3. Non dettare mai codici OTP, PIN o password. Nessun operatore vero te li chiede al telefono.
4. Verifica il numero sconosciuto su un motore di ricerca o su un servizio di segnalazioni come numerosospetto.it prima di reagire.
5. Segnala il messaggio al CERT-AGID e l'episodio al Commissariato di PS online: ogni segnalazione aiuta a bloccare lo schema per tutti. Gli incidenti informatici possono essere segnalati anche al CSIRT Italia, la struttura nazionale per la cybersicurezza.

Lista di controllo per il 2026

• Attiva il filtro anti-spam e anti-spoofing del tuo operatore, spesso incluso senza costi.
• Imposta avvisi sull'app della banca per ogni operazione e limiti sui bonifici.
• Non scaricare app da link ricevuti via SMS: usa solo gli store ufficiali.
• Controlla sempre il dominio prima di inserire dati: gli indirizzi strani sono il primo segnale.
• Concorda con i familiari una parola di sicurezza contro le finte chiamate "di emergenza".
• Avvisa le persone anziane: sono il bersaglio preferito del finto nipote e del finto carabiniere.

FAQ

Da dove arrivano i dati di questo report?

Dai bollettini settimanali e mensili del CERT-AGID per gennaio, febbraio e marzo 2026, dal bilancio 2025 della Polizia Postale diffuso a gennaio 2026 e dai comunicati AGCOM sul filtro anti-spoofing. Sono tutte fonti pubbliche e ho indicato il periodo esatto di ogni cifra.

Perché marzo 2026 è andato peggio di febbraio?

Le campagne malevole contate dal CERT-AGID sono salite da 279 a febbraio a 433 a marzo, e hanno continuato a crescere ad aprile. Pesano le ondate ricorrenti su PagoPA e sui temi fiscali tipici dei mesi delle scadenze. Un singolo mese può oscillare, ma la tendenza del trimestre è in aumento.

Il filtro AGCOM ha risolto il problema dello spoofing?

Lo ha ridotto molto, bloccando decine di milioni di chiamate con numero italiano falsificato. Ma i truffatori si sono adattati, mostrando veri prefissi esteri o abusando di numeri fissi italiani reali. Resta quindi necessaria la prudenza di chi riceve la chiamata.

Questi dati riguardano solo il telefono?

Non solo. Il CERT-AGID conta campagne in tutto lo spazio digitale italiano, ma SMS e chiamate restano il canale principale: lo smishing e il vishing sono l'innesco della maggior parte delle frodi finanziarie descritte qui.

In sintesi

Il primo trimestre 2026 in Italia mostra una pressione crescente: campagne malevole in aumento da febbraio a marzo, PagoPA ed enti pubblici come esche dominanti, vishing potenziato dall'AI e un filtro AGCOM che ha bloccato decine di milioni di chiamate falsificate. La regola che disinnesca quasi tutto è sempre la stessa: riaggancia, verifica e richiama il numero ufficiale.