Vishing: come funziona la truffa al telefono e come chiuderla

Da dove viene il nome vishing

Il nome unisce la voce al phishing, il termine usato per i messaggi falsi che cercano di pescare le informazioni di chi li riceve. Al telefono cambia una cosa: chi porta avanti la truffa risponde alle tue domande in tempo reale e adatta la storia a quello che dici. Per questo una chiamata sicura e ben condotta può comunque essere falsa: la sicurezza è il prodotto.

Il Garante per la protezione dei dati personali definisce il vishing una truffa telefonica che punta ad appropriarsi di dati personali, soprattutto bancari o legati alle carte di credito, e descrive lo schema tipico nella sua scheda sul vishing: finti operatori bancari chiedono alla persona, nel suo stesso interesse, di collaborare a mettere in campo necessarie, e false, procedure di sicurezza. Poi arrivano le richieste vere, che sono PIN, numero della carta, codici usa e getta o un link da aprire.

Spesso la telefonata comincia per iscritto. Un SMS avvisa di un acquisto grosso e invita a chiamare un numero per annullarlo, e così un SMS truffa si aggancia alla chiamata che viene dopo. Una volta in linea, la conversazione usa gli strumenti di sempre dell’ingegneria sociale: autorità, urgenza e un problema che solo la persona al telefono dice di poter risolvere.

La Polizia Postale descrive la stessa meccanica nel suo avviso sulle truffe tramite spoofing: un finto operatore telefona segnalando un attacco informatico al conto corrente, annuncia l’arrivo di un SMS con un link e invita la persona a controllare online che il numero corrisponda davvero a un ufficio vero. Convinta dalla verifica, la persona esegue i trasferimenti di denaro. Il nome sul display cambia. Il meccanismo no.

Il copione del finto ufficio antifrode

Le versioni si ripetono con piccole variazioni: un acquisto sospetto e grosso sulla carta, un dispositivo nuovo appena collegato al tuo conto, un’indagine in corso che richiede di spostare i soldi su un conto sicuro finché la cosa non è chiarita. Chi chiama può passarti tra reparti diversi, metterti in attesa con la musichetta e ripeterti dati corretti: tutto questo serve a far sembrare la chiamata una vera istituzione.

Esiste la versione costruita su un’emergenza in famiglia invece che sulla banca, dove qualcuno si spaccia per un parente in difficoltà, e la versione costruita su un rimborso che non hai mai chiesto, che finisce con il chiamante che dice di averti accreditato troppo e ti chiede di restituire la differenza. L’inizio cambia, la fine è la stessa.

Questo esempio è inventato da noi. Non riproduce il marchio, la procedura né il numero ufficiale di nessuna banca reale: serve a mostrare come è costruita la chiamata.

Che cosa una banca vera non chiede mai

Questa è la parte che conviene sapere a memoria, perché chiude la chiamata senza doversi chiedere quanto fosse convincente chi parlava. Se al telefono ti chiedono una di queste cose, è una truffa:

• la password intera, il PIN o il codice usa e getta che l’app o un SMS hanno appena generato;
• un bonifico o un pagamento per risolvere un problema sul tuo stesso conto, compreso lo spostamento su un conto sicuro, protetto o intestato a te;
• l’installazione o l’aggiornamento di un’app mentre sei in linea;
• la carta consegnata a un corriere, o del contante consegnato a qualcuno che passa a ritirarlo;
• un pagamento di prova, un rimborso di prova o un piccolo bonifico per verificare che qualcosa funzioni.

Il Garante privacy dice la stessa cosa da un’altra angolazione: la banca conosce già i tuoi dati e non ti chiederà mai proprio quelle informazioni che lei stessa ti invita a tenere riservate, cioè PIN, password e codici di autorizzazione. La Banca d’Italia lo ripete nella sua pagina sulle truffe nei pagamenti: le credenziali dell’home banking e i dati di pagamento non si chiedono per email né per telefono.

E vale anche per chi si presenta come forza dell’ordine. Nei suoi consigli sulle frodi online la Polizia Postale scrive che né la Polizia di Stato o altre forze dell’ordine, né gli istituti bancari chiederanno mai di comunicare, telefonicamente o via mail, codici personali o password temporanee, e che ricevere una richiesta del genere è certamente un tentativo di phishing.

Una banca non usa nemmeno la pressione e il conto alla rovescia per farti agire entro il minuto. Il Garante mette tra i segnali proprio le chiamate con toni ultimativi o intimidatori, quelle che minacciano blocchi o sanzioni, e nota che un operatore scortese o aggressivo è già di per sé fuori posto per un’azienda vera.

Riattacca e richiama tu

Mentre la chiamata è in corso, chi ha composto il numero decide il ritmo e ha una risposta pronta per ogni obiezione. Quello scambio non lo vinci, e non devi. Riattacca e cerca il numero da solo: quello stampato sul retro della carta, quello dentro l’app che hai già installato, oppure quello scritto sul sito dell’azienda, digitato a mano.

Se puoi, per richiamare usa un altro telefono, oppure aspetta un minuto prima di comporre. Non costa niente e toglie ogni dubbio sul fatto che la chiamata di prima sia davvero finita.

Un ufficio antifrode vero accetta di essere richiamato su un canale ufficiale. Se la persona insiste che la chiamata non può chiudersi, che non devi dirlo a nessuno o che riattaccare ti costerà i soldi, quello è il segnale più forte di tutta la conversazione. Riattaccare ti regala anche la cosa che il copione è fatto per negarti: un minuto per aprire l’app e vedere se l’acquisto esiste, e un minuto per raccontare tutta la storia ad alta voce a qualcun altro.

Anche la Polizia Postale, nel suo avviso sullo spoofing, indica la stessa strada: in caso di dubbio contattare direttamente la propria banca o la propria filiale, e non l’operatore che ha chiamato. Se sei nel mezzo di un’emergenza vera, il numero unico europeo di emergenza è il 112, gratuito da fisso e da mobile.

Il numero sul display non dimostra niente

Chi chiama può far comparire sul tuo schermo quasi qualunque numero, compreso quello stampato sul retro della tua carta. La Polizia Postale lo spiega nell’avviso sulle truffe tramite spoofing: i criminali usano tecnologia VoIP per telefonare mascherandosi dietro numeri legittimi, così la chiamata sembra arrivare da un contatto vero o da un’istituzione di cui ti fidi. Per questo non richiamare dall’elenco delle chiamate recenti: ricomporresti il numero di chi ti ha truffato.

In Italia il problema è stato affrontato anche dal lato della rete. L’AGCOM ha imposto agli operatori un filtro che blocca le chiamate provenienti dall’estero con numerazioni italiane contraffatte: nel comunicato del 13 novembre 2025 l’Autorità spiega che dal 19 novembre 2025 il blocco si estende alle numerazioni mobili, dopo la prima fase del 19 agosto 2025 sulle numerazioni fisse, e che nel solo settembre 2025 la prima fase aveva filtrato circa 20 milioni di chiamate su 1,4 miliardi ricevute dai carrier internazionali.

È una buona notizia e non è una garanzia. Il filtro riduce una parte del fenomeno, ma una chiamata che arriva lo stesso non diventa vera per questo, e nessun blocco cambia la regola su quello che una banca non chiede mai. Tratta il numero sul display come un’affermazione, non come una conferma.

Nemmeno la voce è una prova. Bastano pochi secondi di audio per imitare come suona una persona, e questo pesa soprattutto nella versione dell’emergenza in famiglia. La risposta è sempre la stessa: chiudi la chiamata e cerca quella persona a un numero che avevi già.

Se hai già mandato i soldi

1. Chiama subito la banca, con il numero stampato sulla carta o quello dentro l’app, da un altro telefono se puoi. Di’ che il pagamento è stato una truffa e chiedi di bloccare il conto, l’app e la carta.
2. Di’ come hai pagato e chiedi che cosa si può ancora fare con quel mezzo, perché la posizione cambia parecchio. La Banca d’Italia spiega nella pagina sulle operazioni di pagamento non autorizzate che quando un’operazione non è stata autorizzata dal cliente l’intermediario deve rimborsarla entro la fine della giornata operativa successiva a quella in cui ne viene a conoscenza, salvo dolo o colpa grave del cliente, e che la contestazione va fatta senza ritardo e comunque entro 13 mesi dall’addebito. Se invece il bonifico lo hai disposto tu, anche se ingannato, la situazione è diversa: sul bonifico istantaneo la Banca d’Italia scrive che è immediato e irrevocabile nel momento in cui viene disposto, e che se sei vittima di una truffa recuperare l’importo è molto difficile, se non impossibile. Fai comunque la chiamata subito, perché la rapidità è l’unica cosa che gioca a tuo favore.
3. Denuncia. Il Commissariato di PS online spiega nella pagina Denuncia per reati telematici che per truffa, frode informatica, accesso abusivo a un sistema informatico e indebito utilizzo di carte si parte da una pre-denuncia online, con SPID o CIE, da formalizzare poi in un ufficio di polizia su appuntamento. Banche e assicurazioni chiedono spesso la copia della denuncia.
4. Segnala il numero e la chiamata. La Polizia Postale raccoglie le segnalazioni dalla pagina Segnala online, che è cosa diversa dalla denuncia e serve a far conoscere lo schema. Puoi segnalare la chiamata anche ad Altroconsumo, gratuitamente.
5. Scrivi tutto quello che ricordi della telefonata finché è fresco: l’ora, il numero comparso sul display, il nome usato dalla persona, il reparto di cui diceva di far parte e che cosa esattamente ti è stato chiesto. Conserva ricevute, numeri di operazione e ogni riferimento di pratica che ti danno.

Se la banca risponde e la risposta non ti convince, prima del giudice c’è l’Arbitro Bancario Finanziario. La Banca d’Italia spiega che prima serve un reclamo scritto all’intermediario, che per i servizi di pagamento ha 15 giorni per rispondere, e che poi si può fare ricorso entro 12 mesi, con 20 euro di contributo spese e senza bisogno di un avvocato.

Chi ti contatta dopo promettendo di recuperare i soldi dietro pagamento sta facendo una seconda truffa sulla stessa lista di persone. Non è un servizio che esiste: nessuno recupera il denaro in cambio di un anticipo.

Se hai installato l’app che ti hanno chiesto

Quasi tutte le app richieste durante queste chiamate sono programmi di accesso remoto, cioè programmi che permettono a un’altra persona di vedere e comandare il tuo schermo a distanza. Una volta attivi, chi chiama non ha più bisogno della tua password: può guardarti mentre la digiti.

Stacca quel dispositivo da internet e smetti di aprirci sopra gli account importanti. Usa un altro dispositivo per chiamare la banca e per cambiare le password, cominciando dalla posta elettronica, perché chi controlla la tua email può recuperare quasi tutto il resto.

Poi, sulla banca, sulla posta e su ogni app di messaggistica, cerca l’elenco dei dispositivi collegati o delle sessioni attive e chiudi quello che non riconosci. Google lo documenta per un account Google e Apple fa lo stesso per un account Apple. Dopo, disinstalla l’app, e se non sei sicuro che il dispositivo sia pulito portalo da un tecnico di cui ti fidi.

Vale anche la pena avvisare le persone con cui parli di più, da un altro canale, che quel telefono o quell’account potrebbero essere stati in mano a qualcun altro per un po’. Così nessuno risponde a una richiesta di soldi fatta a nome tuo.

Domande frequenti sulle truffe al telefono