--- id: CP-008 slug: vishing-truffa-telefonica-spoofing lang: it title: Il vishing, la truffa al telefono description: "Un finto supporto informatico o un finto operatore di banca la chiama e sullo schermo compare un numero noto: come riconoscere il vishing e reagire." canonical_url: https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/ markdown_url: https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il vishing, la truffa al telefono», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-019 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/ fr: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ en: https://startbrain.io/cyberpedia/en/articles/vishing-voice-phishing-call-spoofing/ de: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ es: https://startbrain.io/cyberpedia/es/articles/vishing-estafa-telefonica-suplantacion/ nl: https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: "Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/004/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 8 title: Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1219/ accessed: "2026-11-03" --- # Il vishing, la truffa al telefono Il vishing (voice phishing) è il phishing condotto con la voce. L'attaccante telefona fingendosi una persona di fiducia per ottenere un'informazione o un'azione dalla vittima. La CISA lo descrive come l'approccio di ingegneria sociale che si basa sulla comunicazione vocale [1]. Per un dipendente, lo scenario tipico è la chiamata di qualcuno che si spaccia per il personale informatico legittimo [3]. ## In 30 secondi - Dove accade: al telefono, talvolta con un SMS in contemporanea, tra i dipendenti come presso l'assistenza informatica [4]. - Cosa vuole l'attaccante: una password, un codice di autenticazione, oppure l'installazione di uno strumento che gli dia il controllo del computer [3][4]. - Il riflesso: verificare l'identità di chi chiama presso l'organizzazione che dichiara di rappresentare [1]. - Se è già successo: avvisare subito i responsabili dell'organizzazione, tra cui gli amministratori di rete, e cambiare le password rivelate [1]. ## Domande dirette ### Il numero mostrato sullo schermo dimostra chi sta chiamando? No. I truffatori possono falsificare il proprio numero fingendosi un'entità di fiducia, come un partner commerciale o l'assistenza tecnica [2]. La CISA precisa che la telefonia via Internet (VoIP) permette di falsificare con facilità l'identità di chi chiama, e che ciò sfrutta una fiducia mal riposta nella sicurezza dei servizi telefonici [1]. ### Chi viene imitato dall'attaccante? Le fonti citate qui menzionano un partner commerciale, un membro dell'assistenza tecnica [2], personale informatico legittimo [3] e, in alcuni casi, un dipendente che chiama l'assistenza al posto del vero titolare dell'account [4]. Microsoft descrive anche attaccanti che si fingono dipendenti appena assunti [6]. ### Che cosa cerca di ottenere? Secondo MITRE, può spingere la vittima ad aprire un indirizzo malevolo, a scaricare un software malevolo o a installare strumenti di gestione remota che l'attaccante potrà poi usare [3]. Può anche cercare di ottenere le credenziali dell'autenticazione a più fattori, o di far accettare richieste di autenticazione [3]. Uno dei gruppi descritti dalla CISA ha convinto alcuni dipendenti a fornirgli la propria password monouso (OTP), un codice di autenticazione [4]. ### Occorre diffidare delle chiamate ricevute dopo un messaggio? Sì. Un messaggio di phishing può chiedere di richiamare un numero: MITRE parla di «callback phishing» e indica che l'attaccante tenta allora di raccogliere informazioni riservate [2]. ### Che cosa fare davanti a una chiamata sospetta? La CISA consiglia di diffidare delle chiamate non richieste di persone che pongono domande sui dipendenti o su informazioni interne, e di verificare l'identità di chi chiama direttamente presso l'organizzazione che dichiara di rappresentare [1]. Aggiunge di non fornire informazioni personali o sull'organizzazione, a meno di essere certi che la persona abbia il diritto di ottenerle [1]. ## Nei panni dell'attaccante Comincia informandosi. Nell'avviso della CISA sul gruppo Scattered Spider, l'attaccante cerca anzitutto su siti professionali il ruolo della persona presa di mira nell'azienda [4]. Raccoglie poi nomi utente, password e dati personali [4]. Le sue chiamate, spesso più di una di seguito, servono prima a imparare la procedura di reimpostazione della password, poi a raccogliere le informazioni specifiche sul dipendente preso di mira [4]. Queste chiamate si basano su dati personali provenienti da social network, fonti aperte, strumenti commerciali di intelligence e fughe di dati da database [4]. Microsoft descrive lo stesso metodo: l'attore studia l'organizzazione, imita il tono e il lessico della persona impersonata e conosce abbastanza informazioni personali da convincere un amministratore a reimpostare una password o un metodo di autenticazione [6]. Questo attore prende di mira di consueto gli amministratori tecnici, come il personale del supporto e dell'help desk [6]. L'attaccante non ha bisogno di telefonare di persona. Secondo MITRE, le chiamate possono essere fatte dall'attaccante, da call center ingaggiati per l'occasione, oppure automatizzate con chiamate preregistrate [2]. In rari casi, Microsoft ha visto attaccanti ricorrere all'intimidazione, con indirizzo di casa, nomi dei familiari e minacce fisiche [6]. ## Cosa si vede sullo schermo Si vede un numero che sembra noto, o un nome che si crede di riconoscere. L'urgenza o l'allarme fa parte dello scenario: MITRE osserva che l'attaccante si presenta come una fonte di fiducia e crea un senso di urgenza [3]. Quello che segue varia. Un interlocutore può chiedere un codice di autenticazione monouso (OTP) [4]. Può anche chiedere di approvare una notifica di autenticazione sul telefono: la CISA descrive notifiche ripetute finché il dipendente non tocca «Accetta» (MFA fatigue) [4]. In altri casi, guida verso un falso portale di accesso o chiede di avviare uno strumento di controllo remoto [5][4]. L'SMS può contenere un link a un falso portale che imita l'autenticazione dell'azienda [6]. ## Sotto il cofano Gli strumenti di controllo remoto sono software legittimi. Microsoft osserva che gli strumenti di amministrazione remota, usati in modo improprio dall'attore che descrive, hanno usi normali e che il loro impiego va monitorato nell'ambiente [6]. MITRE cita esempi come AnyDesk [8]. MITRE precisa che questi strumenti possono essere installati e poi usati dopo una compromissione per stabilire una sessione di desktop remoto interattiva [8]. Un altro meccanismo è il dirottamento del numero stesso. La CISA riferisce che Scattered Spider ha convinto alcuni operatori di telefonia a trasferire il numero di un utente su una SIM in suo possesso (SIM swap), il che dà il controllo del telefono e delle richieste di autenticazione [4]. Microsoft descrive anche l'impostazione di un inoltro di chiamata sul numero di un dipendente, seguita da una reimpostazione della password in self-service [6]. Sul fronte della difesa, MITRE propone di monitorare i registri delle chiamate dei dispositivi aziendali e di metterli in relazione con gli eventi successivi alla chiamata, come l'installazione di uno strumento di gestione remota [3]. La CISA chiede un'autenticazione a più fattori resistente al phishing per tutti i servizi, per quanto possibile, e di proseguire la formazione contro il vishing [4]. ## Autopsie ### Scattered Spider, da giugno a dicembre 2022 MITRE collega alla campagna C0027, da giugno a dicembre 2022, chiamate e SMS in cui l'attaccante si spacciava per il personale informatico [5]. Le vittime erano indirizzate a un sito di raccolta di credenziali o spinte ad avviare strumenti commerciali di gestione remota [5]. Una volta dentro, il gruppo ha cercato negli spazi documentali delle vittime le istruzioni del supporto e le guide di registrazione alla VPN e all'autenticazione a più fattori [5]. ### Octo Tempest, 2022 e 2023 Microsoft descrive nel suo articolo del 25 ottobre 2023 un gruppo osservato all'inizio del 2022, che prendeva di mira dapprima operatori di telefonia mobile e società di esternalizzazione per provocare trasferimenti di numero [6]. Nel 2022 rivendeva SIM swap ad altri criminali e prendeva il controllo degli account di persone facoltose per rubare le loro criptovalute [6]. Microsoft osserva che chiamava anche l'assistenza di un'organizzazione per far reimpostare una password o aggiungere un fattore di autenticazione [6]. ### Aggiornamento dell'avviso della CISA, luglio 2025 L'avviso AA23-320A, pubblicato il 16 novembre 2023, è stato aggiornato il 29 luglio 2025 con tecniche di ingegneria sociale più elaborate [4]. Una consiste nel fingersi un dipendente per ottenere dall'assistenza informazioni sensibili, una reimpostazione della password e il trasferimento dell'autenticazione a più fattori su un dispositivo controllato dall'attaccante [4]. ## Cosa fare Verifichi l'identità di chi chiama direttamente presso l'organizzazione che dichiara di rappresentare [1]. Per una richiesta ricevuta via e-mail, la CISA raccomanda di non usare i recapiti di un sito collegato alla richiesta, ma di cercare quelli di comunicazioni precedenti [1]. Il NCSC consiglia di verificare una richiesta importante ricevuta via e-mail con un secondo mezzo di comunicazione, come una telefonata o una conferma di persona [7]. La CISA descrive un gruppo che ha ottenuto password monouso da alcuni dipendenti [4]. Se ha già ceduto, lo segnali senza attendere ai responsabili dell'organizzazione: potranno monitorare le attività insolite [1]. ## Fonti 1. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/004/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultato il 3 novembre 2026) 4. CISA, «Scattered Spider | CISA», 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultato il 3 novembre 2026) 6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog», 25 ottobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultato il 3 novembre 2026) 7. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1219/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.