Vishing

Il termine «vishing» è composto dalle due parole inglesi «voice» e «phishing». Viene pronunciato con la «v» sonora, come nella parola «vaso», e in italiano si traduce spesso con «truffa telefonica».

Questa traduzione è però imprecisa, poiché il vishing può essere perpetrato anche tramite messaggi vocali. Inoltre, in senso stretto il vishing tramite chiamata è solo una sottocategoria della truffa telefonica. Al telefono vengono sottratti i dati con un pretesto, mentre la truffa vera e propria ha luogo di norma solo poco dopo con l’aiuto dei dati rubati.

La classica truffa telefonica, invece, prevede che gli impostori sfruttino il pretesto perlopiù per accedere direttamente al denaro della vittima. In altre parole, ogni forma di vishing tramite chiamata è una truffa telefonica, ma non ogni truffa telefonica è una forma di vishing.

A seconda della tecnica utilizzata, il vishing si può suddividere nelle categorie riportate di seguito (in basso sono disponibili esempi concreti).

Chiamata con numero contraffatto o «spoofing dell’ID chiamante»: con lo spoofing dell’ID chiamante gli impostori manipolano la segnalazione della chiamata in modo tale che sul display del telefono della vittima appaia un numero di chiamata contraffatto, ad esempio il numero ufficiale della polizia (117), della banca o di un’autorità. Se si richiama il numero visualizzato, spesso risponde una persona sorpresa che afferma di non aver mai effettuato alcuna telefonata alla vittima.

Chiamate automatizzate, dette anche «robocall» o «war dialing»: i sistemi automatizzati chiamano grandi quantità di numeri e tramite messaggi registrati invitano la vittima a richiamare o a inserire dati attraverso la tastiera.

Clonazione vocale tramite IA, detta anche «truffa della clonazione vocale» o «truffa della voce clonata»: con l’aiuto dell’intelligenza artificiale viene contraffatta, con una sorprendente somiglianza, la voce di un parente o di un superiore (ad esempio: frode del CEO). Prima di raggirare la vittima, i truffatori raccolgono informazioni quanto più dettagliate possibile sul suo conto.

Poiché nella maggior parte dei casi la truffa della clonazione vocale viene impiegata per frodi patrimoniali e non per impossessarsi di un qualche tipo di dati, di norma non viene considerata una forma di vishing, ma di truffa telefonica. Tuttavia, la clonazione vocale potrebbe essere utilizzata anche per il vishing.

Squillo telefonico, detto anche «Wangiri» o «ping call»: un computer seleziona in massa dei numeri di telefono e li fa squillare una sola volta. Sul display della vittima viene così visualizzata una chiamata persa. Per curiosità, la vittima richiama quindi il numero a valore aggiunto straniero, spesso costoso. Anche il Wangiri non rientra nella categoria del vishing, poiché non mira ad accedere ai dati della vittima. Le richiamate possono però fungere da apriporta per il vishing.

Curiosità: il termine «Wangiri» deriva dal giapponese e significa letteralmente «squillo e riaggancio». Questo trucco è stato utilizzato per la prima volta alla fine degli anni Novanta in Giappone, dove divenne un fenomeno di massa. Le autorità di sicurezza e gli operatori di telefonia mobile hanno successivamente fatto loro questo termine in tutto il mondo.

Secondo l’Ufficio federale della cibersicurezza UFCS, nel 2024 il numero di chiamate fraudolente segnalate è triplicato rispetto all’anno precedente. Dei 63 000 cyber eventi denunciati nel complesso, circa un terzo era riconducibile a vishing o truffa telefonica.

Anche se nel 2025 il numero assoluto dei casi segnalati nell’ambito del vishing e delle truffe telefoniche è leggermente diminuito, gli attacchi si sono rivelati più pericolosi, poiché gli impostori hanno proceduto in maniera più personalizzata. In singoli casi sono pertanto riusciti a rubare diverse centinaia di migliaia di franchi.

Maggiori informazioni sono disponibili nel «Rapporto: Truffe telefoniche nel ciberspazio» dell’UFCS.

Qui sono riportati alcuni casi esemplificativi di vishing realmente accaduti.

Chiamata con numero contraffatto (spoofing dell’ID chiamante)

FINMA (agosto 2025): i truffatori hanno chiamato aziende in Svizzera con il vero numero dell’Autorità federale di vigilanza sui mercati finanziari FINMA (031 327 91 00). L’attacco di vishing mirava al furto di dati sensibili con il pretesto di effettuare un controllo antiriciclaggio.

Viseca (marzo 2025): utilizzando il numero ufficiale del servizio di supporto dell’emittente di carte Viseca, i truffatori hanno tentato di indurre la clientela di Viseca a leggere ad alta voce al telefono i codici di conferma per i pagamenti con carta di credito.

Chiamate automatizzate (robocall o war dialing)

Ufficio federale della cibersicurezza UFCS (febbraio 2026): l’Ufficio federale della cibersicurezza UFCS ha registrato un’ondata di chiamate automatizzate, durante le quali un messaggio registrato dava a intendere che provenissero dall’UFCS. Gli impostori volevano indurre le vittime a installare un software di assistenza remota, per ottenere così accesso diretto al relativo e-banking.

Polizia (2024): nel 2024 sono state effettuate ripetutamente robocall in lingua inglese a nome dell’autorità di polizia. I truffatori affermavano in un messaggio vocale che la carta d’identità della persona chiamata risultava collegata a un reato e minacciavano un arresto per indurla a pagare «prestazioni di garanzia» sotto forma di criptovalute.

Truffa della voce clonata tramite IA (clonazione vocale)

Frode del CEO (gennaio 2026): servendosi della voce di un partner commerciale generata dall’IA, i truffatori sono riusciti a indurre un imprenditore del Cantone di Svitto a versare diversi milioni di franchi su un conto bancario in Asia.

Truffa del nipote 2.0 (2025): i truffatori hanno clonato le voci di persone dai video sui social media e tentato così di indurre i nonni di queste persone a consegnare elevati importi in oro o contanti ai corrieri.

Squillo telefonico (Wangiri o ping call)

Squillo telefonico da Tunisia e Burundi (2024): nella Svizzera occidentale sono stati registrati numerosi squilli telefonici provenienti da Tunisia (+216) e Burundi (+257). Con le richiamate a tali numeri i gestori hanno generato entrate elevate, poiché si trattava di costosi numeri a valore aggiunto, conteggiati al minuto.

Spam dall’Albania (2024): nell’ambito di una vasta ondata di squilli telefonici da numeri con prefisso albanese (+355), in occasione delle richiamate, a pagamento, le vittime sono state tenute il più possibile in linea con messaggi registrati automatizzati.

Per il vishing vengono spesso utilizzate tecniche di manipolazione psicologica. Due di queste sono il social engineering e il pretexting.

Social engineering: mentre il classico hacking sfrutta le vulnerabilità tecniche, il social engineering mira alla manipolazione delle persone. Alle vittime vengono sottratte le informazioni facendo leva su paura, rispetto dell’autorità, compassione e fretta. In alternativa, i truffatori cercano di indurre le loro vittime a compiere determinate azioni.  

Gli impostori che impiegano il vishing si spacciano, ad esempio, per poliziotti, collaboratori di una banca o rappresentanti di un’autorità. Con questa presunta autorevolezza provano a ottenere la fiducia delle loro vittime.

Pretexting: simulando una situazione d’emergenza plausibile che richiede un’azione urgente, i truffatori riescono spesso a sottrarre dati sensibili alle loro vittime sotto stress. Un pretesto frequente degli attacchi di vishing è la volontà di un presunto collaboratore bancario di accertare un cyber attacco in corso sul conto di un cliente e di proteggere tale conto, operazione per la quale ha bisogno immediatamente dei dati di accesso.

Oltre alla manipolazione psicologica, i truffatori che si avvalgono del vishing utilizzano anche mezzi tecnici come lo spoofing dell’ID chiamante per la contraffazione dei numeri di chiamata, le robocall per le chiamate automatizzate di massa e il Wangiri che induce a effettuare richiamate costose.

Con l’aiuto della clonazione vocale basata sull’IA, i truffatori potrebbero inoltre imitare le voci per aumentare la credibilità del loro raggiro. Fino a oggi, però, la clonazione vocale è stata impiegata solo per le truffe patrimoniali al telefono e non per il furto di dati.

Sta diventando sempre più difficile riconoscere le voci generate dall’IA (deepfake audio), dato che negli ultimi anni la tecnologia ha fatto passi da gigante. La cosa più sicura è quindi terminare la telefonata e richiamare la persona al numero noto e salvato.

Si può altrimenti fare attenzione ai seguenti segnali: toni metallici, una strana regolarità, priva di pause per respirare ed emozioni, nonché ritardi nella reazione. È inoltre consigliabile porre una domanda personale al chiamante su un evento comune, alla quale l’intelligenza artificiale non potrebbe rispondere senza conoscenze pregresse.

In Svizzera i numeri con i prefissi 0900, 0901 e 0906 sono a pagamento (fino a 10 franchi al minuto). Per i numeri con il prefisso 084x i costi possono invece arrivare fino a 8.07 centesimi al minuto. Anche determinati numeri brevi, ad esempio quelli 18xx per la richiesta di informazioni, possono essere a pagamento.

Poiché non esiste una classificazione unitaria in tutto il mondo, è complicato riconoscere i numeri a valore aggiunto stranieri. Consigliamo pertanto di non richiamare i numeri sconosciuti provenienti dall’estero. Se è importante, si verrà richiamati.