L'équipe Texto SMS Gratuit
12 agosto 2026 · 6 min di lettura
Introduzione: Il miraggio dell'identità digitale
Immaginate di ricevere una chiamata dalla vostra banca, dal vostro consulente assicurativo o persino da una persona cara, con l'esatto numero che appare sul vostro schermo. Rispondete, fiduciosi, per poi rendervi conto di essere in linea con un truffatore basato dall'altra parte del mondo. Questo scenario, un tempo riservato ai film di spionaggio, è diventato una realtà quotidiana per milioni di persone. È quello che viene chiamato usurpazione del numero, o spoofing in inglese.
L'identità telefonica, che consideriamo come un identificativo unico e affidabile, è in realtà fragile. Il protocollo utilizzato per instradare chiamate e SMS non è stato progettato ponendo la sicurezza come priorità, lasciando la porta aperta a semplici manipolazioni tecniche per mascherare l'identità reale del mittente. Di fronte all'esplosione di queste frodi, l'Arcep (Autorità di regolazione delle comunicazioni elettroniche, dei poste e della distribuzione della stampa) ha deciso di passare all'offensiva aprendo un'indagine che coinvolge tutti gli operatori di telecomunicazioni.
Perché questa falla persiste nel 2026? In che modo i truffatori riescono a aggirare i sistemi di sicurezza? E soprattutto, cosa può fare l'autorità di regolazione per costringere gli operatori a mettere in sicurezza le nostre comunicazioni?
Il meccanismo tecnico: come funziona lo spoofing?
Per comprendere l'usurpazione, bisogna capire che il numero che appare sul telefono non è una prova d'identità, ma una semplice "etichetta" trasmessa nei dati di segnalazione della chiamata.
La falla del protocollo SIP
La maggior parte delle chiamate moderne transita attraverso il protocollo SIP (Session Initiation Protocol), utilizzato per la voce su IP (VoIP). Il problema principale del SIP è che permette al mittente di definire autonomamente il campo "From" (Da) nell'intestazione del messaggio.
Quando un truffatore utilizza un gateway VoIP poco sicuro o un software specializzato, può inserire qualsiasi numero in questo campo. La rete dell'operatore riceve la chiamata e, senza una verifica approfondita della provenienza reale del segnale, trasmette semplicemente l'etichetta richiesta al telefono del destinatario.
Le diverse forme di usurpazione
Lo spoofing non si limita alle chiamate vocali. Si distinguono principalmente tre tipi di attacchi:
- Spoofing aziendale: il truffatore imita il numero di un'istituzione (Banca, Agenzia delle Entrate, Sanità) per instaurare un clima di fiducia immediato.
- Spoofing di prossimità: l'attaccante utilizza un numero con lo stesso prefisso regionale della vittima per aumentare le probabilità che la chiamata venga accettata.
- Spoofing di contatti: più raro e mirato, il truffatore usurpa il numero di un conoscente per richiedere un bonifico urgente (truffa del "finto figlio" o del "finto capo").
L'indagine dell'Arcep: gli operatori di fronte alle proprie responsabilità
dall'inizio del 2026, l'Arcep ha intensificato la sua sorveglianza. L'indagine aperta non mira ai truffatori — che sono spesso fuori dalla portata legale — ma agli operatori. Il regolatore pone una domanda fondamentale: perché le reti mobili lasciano passare chiamate la cui identità è manifestamente falsificata?
La mancanza di filtraggio in entrata
L'Arcep sottolinea la porosità delle interconnessioni. Quando una chiamata arriva da un operatore straniero o da un piccolo fornitore VoIP verso una grande rete nazionale, il filtraggio è spesso insufficiente. Gli operatori accettano le chiamate fidandosi delle informazioni trasmesse dalla rete di origine, senza alcun meccanismo di validazione incrociata.
Le sfide finanziarie e tecniche
Per gli operatori, implementare un filtraggio rigoroso rappresenta una sfida tecnica. Verificare l'autenticità di ogni chiamata in entrata in tempo reale potrebbe causare ritardi di connessione o, peggio, bloccare chiamate legittime (falsi positivi). Inoltre, l'assenza di uno standard mondiale armonizzato rende la lotta complessa: un operatore nazionale non può facilmente esigere garanzie d'identità da un operatore basato in una giurisdizione permissiva.
Quali soluzioni per mettere in sicurezza le nostre comunicazioni?
L'Arcep spinge gli operatori verso l'adozione di protocolli di certificazione. L'obiettivo è passare da un sistema di "fiducia cieca" a un sistema di "fiducia verificata".
Lo standard STIR/SHAKEN
Già implementato con successo in Nord America, il framework STIR/SHAKEN è la soluzione tecnica preferita. Ecco come funziona:
- STIR (Secure Telephone Identity Revisited): permette di aggiungere un certificato digitale crittografato alla chiamata.
- SHAKEN (Signature-based Handling of Assertions provided by Tokens): definisce come gli operatori devono gestire questi certificati.
In sintesi, l'operatore del mittente "firma" la chiamata. L'operatore del destinatario verifica la firma. Se la firma è assente o non valida, il telefono può visualizzare la dicitura "Chiamata potenzialmente fraudolenta" o bloccare la chiamata.
Il ruolo dei filtri intelligenti e dell'IA
Parallelamente, gli operatori e i produttori (Apple, Google) integrano database di numeri segnalati. L'IA analizza ora i comportamenti: un numero che effettua 10.000 chiamate di 10 secondi in un'ora viene quasi sistematicamente identificato come un robot di spoofing e inserito in una blacklist.
Guida pratica: come proteggersi dallo spoofing?
In attesa che le misure dell'Arcep e degli operatori siano pienamente efficaci, la vigilanza rimane la vostra migliore difesa. Lo spoofing gioca sulle emozioni e sull'urgenza.
I riflessi di sicurezza da adottare
| Situazione | Riflesso raccomandato |
|---|---|
| Chiamata di una banca che richiede un codice | Riagganciare immediatamente. Richiamare il proprio consulente tramite il numero ufficiale. |
| SMS urgente di un conoscente che chiede denaro | Chiamare la persona sul suo numero abituale per verificare. |
| Chiamata di un'amministrazione pubblica | Non fornire mai informazioni bancarie via telefono. La pubblica amministrazione comunica prioritariamente tramite spazi sicuri. |
| Dubbio sull'identità dell'interlocutore | Fare una domanda personale che solo il vero interlocutore potrebbe conoscere. |
Strumenti per limitare i rischi
- App di filtraggio: strumenti come Hiya o Truecaller possono aiutare, ma attenzione alla privacy dei propri dati di contatto.
- Blocco dei numeri sconosciuti: su Android e iOS, è possibile configurare il telefono per inviare direttamente in segreteria tutte le chiamate che non figurano nei contatti.
- Segnalazione: utilizzare le piattaforme di segnalazione per gli SMS fraudolenti. Questo aiuta gli operatori a identificare le ondate di attacchi in tempo reale.
Conclusione: verso un'identità telefonica certificata
L'usurpazione del numero è il sintomo di una rete progettata per la connettività, ma non per la sicurezza. Nel 2026, siamo arrivati a un punto di rottura in cui la fiducia nel numero visualizzato è diventata un rischio per la sicurezza. L'indagine dell'Arcep è un segnale forte: la responsabilità della protezione non può più ricadere unicamente sulle spalle dell'utente finale.
La transizione verso standard come STIR/SHAKEN e un filtraggio più rigoroso ai confini delle reti è indispensabile. Il numero di telefono deve tornare a essere ciò che sarebbe dovuto essere fin dall'inizio: una prova d'identità affidabile e non una semplice maschera utilizzata dai cybercriminali. Nel frattempo, ricordate che nel mondo digitale attuale, il numero che appare non è necessariamente quello di chi vi sta parlando.
