Il vishing - o anche voice phishing - è una truffa telefonica che punta a sottrarre dei dati sensibili alle persone. Vediamo come funziona e come difendersi.
Nel 2025, le truffe di vishing (phishing vocale) continuano a rappresentare una minaccia significativa per individui e aziende in Italia.
Secondo il rapporto annuale della Polizia Postale, nel 2024 si è osservato un incremento di queste pratiche truffaldine che utilizzano il mezzo telefonico per rubare dati e soldi alle vittime. Questa specifica tipologia di truffa non risulta tra le più note, ma è comunque attenzionata dalle forze dell’ordine poiché in crescente diffusione.
Si tratta, in sintesi, di una tattica telefonica con la quale i criminali cercano di ingannare le vittime inducendole a rivelare informazioni personali, finanziarie o sensibili.
Di seguito, tutto quello che c’è da sapere sul vishing, dal significato specifico della truffa a come evitarla e difendersi.
Vishing, significato e definizione
Ogni giorno, pur senza accorgercene, possiamo venire a contatto con moltissimi tentativi di vishing. Per esempio, ogni volta che si riceve una chiamata da un numero sconosciuto, con una voce registratao quella di una persona reale pronta a vendere qualcosa, probabilmente si sta concretizzando la truffa.
In sostanza, si sta palesando un tentativo di raggiro con il metodo noto come vishing. Cos’è?
una tecnica di frode informatica in cui i truffatori usano le chiamate telefoniche per ingannare le vittime e ottenere informazioni sensibili, come dati bancari, password o altre credenziali personali.
Il termine vishing è una combinazione di “voice” (voce) e “phishing” (truffa informatica). La sua principale caratteristica consiste nel raggiare l’utente tramite il telefono o un messaggio che arriva sul cellulare.
Si tratta di una tecnica classificata come crimine informatico, con la quale si induce il malcapitato a svelare dati sensibili riguardanti conto corrente e simili.
Come funziona il vishing?
La truffa nota come vishing in genere si attiva tramite una telefonata, nella quale i truffatori chiedono alle persone di rilasciare delle informazioni personali. Le chiamate sono impostate in modo da sembrare provenienti da un ente legittimo, come una banca, un’istituzione, ecc.
Grazie al social engineering, che si basa su tecniche di manipolazione psicologica per convincere l’interlocutore, i truffatori riescono a ottenere i dati e a ingannare il malcapitato. Tra le emozioni su cui queste persone fanno leva più spesso ci sono la paura e l’avidità.
Tra le tecniche di approccio, infatti, si evidenziano l’allarme per il conto corrente deteriorato, con la necessità di cambiare banca; l’offerta di un prestito a condizioni vantaggiose; la richiesta di accertamenti da parte di Agenzia delle Entrate o dell’Inps.
Ecco come funziona:
- Chiamata: il truffatore si spaccia per un istituto bancario, un ente governativo o un’azienda di fiducia;
- Tono d’urgenza: cerca di mettere pressione alla vittima con frasi come “Il suo conto è stato compromesso!” o “C’è un problema con il suo account!”;
- Richiesta di dati sensibili: chiede numeri di carta di credito, PIN, credenziali di accesso o altre informazioni riservate;
- Possibile utilizzo di tecnologia avanzata: alcuni attacchi usano il caller ID spoofing per far apparire il numero di telefono come legittimo
Differenza tra vishing e phishing
Quando si parla di truffe informatiche in generale, spesso si confondono due tecniche: phishing e vishing. Si tratta di due tipologie di “raggiro” differenti.
In sintesi, con phishing si intende una truffa architettata tramite email, siti web falsi o messaggi per indurre la vittima a fornire dati sensibili (password, dati bancari, informazioni personali).
Il vishing, come spiegato precedentemente, utilizza il metodo della chiamata telefonica per indurre la vittima a svelare dati sensibili.
La legge di riferimento per la truffa di vishing
In Italia, il vishing è considerato una forma di truffa e può essere perseguito penalmente in base a diverse disposizioni del Codice Penale.
Le norme di riferimento comprendono:
- Art. 640 c.p., truffa: Chi, con artifici o raggiri, induce qualcuno in errore per ottenere un ingiusto profitto con altrui danno è punito con la reclusione da 6 mesi a 3 anni e una multa. Se la truffa è commessa a danno di persone vulnerabili o con l’uso di strumenti informatici, la pena può essere aggravata.
- Art. 494 c.p., sostituzione di persona: se il truffatore si finge un’altra persona (es. operatore bancario), può essere punito con la reclusione fino a 1 anno.
- Art. 615-ter c.p., accesso abusivo a un sistema informatico: se il vishing è usato per ottenere credenziali d’accesso e accedere illecitamente a conti bancari o dati personali, si applicano pene da 1 a 5 anni di reclusione.
- D.lgs. 231/2007, normativa Antiriciclaggio: se il vishing è finalizzato al furto di denaro e riciclaggio, possono scattare indagini anche per reati finanziari
Inoltre, l’art. 11 del d. lgs. 11/2010 è applicato anche ai casi di vishing. Se un truffatore ottiene le credenziali bancarie di una vittima con una chiamata fraudolenta (vishing) e realizza un pagamento non autorizzato, la vittima ha diritto a chiedere il rimborso immediato, salvo i casi in cui abbia agito con grave negligenza.
Sanzioni e conseguenze
Come spiegato nel paragrafo precedente, il vishing può essere perseguito secondo diversi articoli del Codice Penale e prevedere, quindi, sanzioni e conseguenze.
Per esempio, la reclusione da 6 mesi a 3 anni e multa fino a 1.032 euro per truffa; reclusione fino a 1 anno per sostituzione della persona; da 1 a 5 anni di reclusione e multa fino a 3.000 euro per frode informatica; da 1 a 5 anni di reclusione (fino a 8 anni se c’è scopo di lucro) per accesso informatico abusivo.
Inoltre, sono previste sanzioni civili come:
- risarcimento del danno: la vittima può chiedere il risarcimento per il danno economico subito e per eventuali danni morali;
- blocchi bancari: le banche possono congelare i fondi e avviare azioni legali contro il truffatore
Le sanzioni amministrative comprendono, se il vishing riguarda il trattamento illecito di dati personali, fino a 20 milioni di euro o il 4% del fatturato annuo, in base al GDPR.
Come difendersi
Per evitare di cadere nell’inganno del vishing, è possibile prendere alcune misure di prevenzione. Innanzitutto è fondamentale ricordare che è davvero inusuale (per non dire impossibile) che le banche o istituti simili chiedano le credenziali di accesso al conto corrente tramite una telefonata.
Qualora si verifichi uno scenario del genere e vi troviate a rilasciare le suddette informazioni, la prima cosa da fare è contattare il servizio clienti della banca, per sapere se la persona a cui li avete rilasciati aveva titolo di chiederli. Se poi vi accorgete di essere stati ingannati, dovete cambiare rapidamente tutte le vostre credenziali, per evitare conseguenze.
Molti smartphone, inoltre, oggi dispongono di applicazioni integrate che segnalano se la chiamata in entrata può essere uno spam, nel qual caso, può essere un’ottima idea attivare questa funzione o installare un’applicazione che faccia la stessa cosa.
Nei Paesi in cui è previsto è inoltre possibile iscriversi al registro delle opposizioni, che permette di non ricevere più chiamate a scopo commerciale. Iscrivendovi al registro, le aziende che agiscono legalmente non dovrebbero più chiamarvi. Qualora lo facciano lo stesso, potete presentare una denuncia formale al Garante della Privacy, se ci sono le condizioni.
Qualche esempio di truffa di vishing
Per chiarire cos’è il vishing si possono menzionare degli esempi concreti.
Uno di questi si palesa con la chiamata telefonica di un falso operatore bancario. Il truffatore chiama fingendosi un operatore della banca e avvisa la vittima di un presunto accesso sospetto al conto. Per “bloccare” l’operazione fraudolenta, chiede di comunicare il codice OTP ricevuto via SMS. L’obiettivo della truffa è rubare l’OTP per completare un bonifico non autorizzato.
Tra gli esempi di questa truffa spicca anche quella della “finta” INPS o Agenzia delle Entrate. La vittima riceve una chiamata da un finto operatore dell’INPS o dell’Agenzia delle Entrate, che informa su rimborsi fiscali o bonus economici. Per ricevere il pagamento, viene chiesto di fornire il numero di conto o di inserire dati su un sito fasullo inviato via SMS. Lo scopo della truffa è ottenere credenziali bancarie per svuotare il conto.
Piuttosto diffuso è anche il metodo del falso pacco in consegna. La vittima riceve una chiamata da un finto corriere che dice che c’è un pacco in consegna, ma che serve pagare una tassa o confermare dati bancari. L’intento è di rubare dati della carta di credito o indurre la vittima a fare un bonifico.
© RIPRODUZIONE RISERVATA
