Cyberpediadi Brain
ITDEENESFR

Il vishing, la truffa al telefono

Un finto supporto informatico o un finto operatore di banca la chiama e sullo schermo compare un numero noto: come riconoscere il vishing e reagire.

In 30 secondi

Dove accade
Al telefono, talvolta con un SMS in contemporanea, tra i dipendenti come presso l'assistenza informatica4.
Cosa vuole l'attaccante
Una password, un codice di autenticazione, oppure l'installazione di uno strumento che gli dia il controllo del computer34.
Il riflesso
Verificare l'identità di chi chiama presso l'organizzazione che dichiara di rappresentare1.
Se è già successo
Avvisare subito i responsabili dell'organizzazione, tra cui gli amministratori di rete, e cambiare le password rivelate1.

Di cosa si tratta

Il vishing (voice phishing) è il phishing condotto con la voce. L'attaccante telefona fingendosi una persona di fiducia per ottenere un'informazione o un'azione dalla vittima. La CISA lo descrive come l'approccio di ingegneria sociale che si basa sulla comunicazione vocale1.

Per un dipendente, lo scenario tipico è la chiamata di qualcuno che si spaccia per il personale informatico legittimo3.

Domande dirette

Il numero mostrato sullo schermo dimostra chi sta chiamando?

No. I truffatori possono falsificare il proprio numero fingendosi un'entità di fiducia, come un partner commerciale o l'assistenza tecnica2. La CISA precisa che la telefonia via Internet (VoIP) permette di falsificare con facilità l'identità di chi chiama, e che ciò sfrutta una fiducia mal riposta nella sicurezza dei servizi telefonici1.

Chi viene imitato dall'attaccante?

Le fonti citate qui menzionano un partner commerciale, un membro dell'assistenza tecnica2, personale informatico legittimo3 e, in alcuni casi, un dipendente che chiama l'assistenza al posto del vero titolare dell'account4. Microsoft descrive anche attaccanti che si fingono dipendenti appena assunti6.

Che cosa cerca di ottenere?

Secondo MITRE, può spingere la vittima ad aprire un indirizzo malevolo, a scaricare un software malevolo o a installare strumenti di gestione remota che l'attaccante potrà poi usare3. Può anche cercare di ottenere le credenziali dell'autenticazione a più fattori, o di far accettare richieste di autenticazione3. Uno dei gruppi descritti dalla CISA ha convinto alcuni dipendenti a fornirgli la propria password monouso (OTP), un codice di autenticazione4.

Occorre diffidare delle chiamate ricevute dopo un messaggio?

Sì. Un messaggio di phishing può chiedere di richiamare un numero: MITRE parla di «callback phishing» e indica che l'attaccante tenta allora di raccogliere informazioni riservate2.

Che cosa fare davanti a una chiamata sospetta?

La CISA consiglia di diffidare delle chiamate non richieste di persone che pongono domande sui dipendenti o su informazioni interne, e di verificare l'identità di chi chiama direttamente presso l'organizzazione che dichiara di rappresentare1. Aggiunge di non fornire informazioni personali o sull'organizzazione, a meno di essere certi che la persona abbia il diritto di ottenerle1.

1Nei panni dell'attaccante1 min

Comincia informandosi. Nell'avviso della CISA sul gruppo Scattered Spider, l'attaccante cerca anzitutto su siti professionali il ruolo della persona presa di mira nell'azienda4. Raccoglie poi nomi utente, password e dati personali4. Le sue chiamate, spesso più di una di seguito, servono prima a imparare la procedura di reimpostazione della password, poi a raccogliere le informazioni specifiche sul dipendente preso di mira4. Queste chiamate si basano su dati personali provenienti da social network, fonti aperte, strumenti commerciali di intelligence e fughe di dati da database4.

Microsoft descrive lo stesso metodo: l'attore studia l'organizzazione, imita il tono e il lessico della persona impersonata e conosce abbastanza informazioni personali da convincere un amministratore a reimpostare una password o un metodo di autenticazione6. Questo attore prende di mira di consueto gli amministratori tecnici, come il personale del supporto e dell'help desk6.

L'attaccante non ha bisogno di telefonare di persona. Secondo MITRE, le chiamate possono essere fatte dall'attaccante, da call center ingaggiati per l'occasione, oppure automatizzate con chiamate preregistrate2. In rari casi, Microsoft ha visto attaccanti ricorrere all'intimidazione, con indirizzo di casa, nomi dei familiari e minacce fisiche6.

2Cosa si vede sullo schermo1 min

Si vede un numero che sembra noto, o un nome che si crede di riconoscere. L'urgenza o l'allarme fa parte dello scenario: MITRE osserva che l'attaccante si presenta come una fonte di fiducia e crea un senso di urgenza3.

Quello che segue varia. Un interlocutore può chiedere un codice di autenticazione monouso (OTP)4. Può anche chiedere di approvare una notifica di autenticazione sul telefono: la CISA descrive notifiche ripetute finché il dipendente non tocca «Accetta» (MFA fatigue)4. In altri casi, guida verso un falso portale di accesso o chiede di avviare uno strumento di controllo remoto54. L'SMS può contenere un link a un falso portale che imita l'autenticazione dell'azienda6.

3Sotto il cofanoTeam IT1 min

Gli strumenti di controllo remoto sono software legittimi. Microsoft osserva che gli strumenti di amministrazione remota, usati in modo improprio dall'attore che descrive, hanno usi normali e che il loro impiego va monitorato nell'ambiente6. MITRE cita esempi come AnyDesk8. MITRE precisa che questi strumenti possono essere installati e poi usati dopo una compromissione per stabilire una sessione di desktop remoto interattiva8.

Un altro meccanismo è il dirottamento del numero stesso. La CISA riferisce che Scattered Spider ha convinto alcuni operatori di telefonia a trasferire il numero di un utente su una SIM in suo possesso (SIM swap), il che dà il controllo del telefono e delle richieste di autenticazione4. Microsoft descrive anche l'impostazione di un inoltro di chiamata sul numero di un dipendente, seguita da una reimpostazione della password in self-service6.

Sul fronte della difesa, MITRE propone di monitorare i registri delle chiamate dei dispositivi aziendali e di metterli in relazione con gli eventi successivi alla chiamata, come l'installazione di uno strumento di gestione remota3. La CISA chiede un'autenticazione a più fattori resistente al phishing per tutti i servizi, per quanto possibile, e di proseguire la formazione contro il vishing4.

4AutopsieCasi reali1 min

Scattered Spider, da giugno a dicembre 2022

MITRE collega alla campagna C0027, da giugno a dicembre 2022, chiamate e SMS in cui l'attaccante si spacciava per il personale informatico5. Le vittime erano indirizzate a un sito di raccolta di credenziali o spinte ad avviare strumenti commerciali di gestione remota5. Una volta dentro, il gruppo ha cercato negli spazi documentali delle vittime le istruzioni del supporto e le guide di registrazione alla VPN e all'autenticazione a più fattori5.

Octo Tempest, 2022 e 2023

Microsoft descrive nel suo articolo del 25 ottobre 2023 un gruppo osservato all'inizio del 2022, che prendeva di mira dapprima operatori di telefonia mobile e società di esternalizzazione per provocare trasferimenti di numero6. Nel 2022 rivendeva SIM swap ad altri criminali e prendeva il controllo degli account di persone facoltose per rubare le loro criptovalute6. Microsoft osserva che chiamava anche l'assistenza di un'organizzazione per far reimpostare una password o aggiungere un fattore di autenticazione6.

Aggiornamento dell'avviso della CISA, luglio 2025

L'avviso AA23-320A, pubblicato il 16 novembre 2023, è stato aggiornato il 29 luglio 2025 con tecniche di ingegneria sociale più elaborate4. Una consiste nel fingersi un dipendente per ottenere dall'assistenza informazioni sensibili, una reimpostazione della password e il trasferimento dell'autenticazione a più fattori su un dispositivo controllato dall'attaccante4.

5Cosa fare1 min

Verifichi l'identità di chi chiama direttamente presso l'organizzazione che dichiara di rappresentare1. Per una richiesta ricevuta via e-mail, la CISA raccomanda di non usare i recapiti di un sito collegato alla richiesta, ma di cercare quelli di comunicazioni precedenti1. Il NCSC consiglia di verificare una richiesta importante ricevuta via e-mail con un secondo mezzo di comunicazione, come una telefonata o una conferma di persona7.

La CISA descrive un gruppo che ha ottenuto password monouso da alcuni dipendenti4. Se ha già ceduto, lo segnali senza attendere ai responsabili dell'organizzazione: potranno monitorare le attività insolite1.

Scheda

Identificativo
CP-008
Ala
1. Attacchi e tecniche
Competenza Brain
Riconoscere il phishing (detect_phishing)
Riflesso Brain
cr-019
Schema
G1 · Catena d'attacco (Kill Chain)
Lingue
de, en, es, fr, it
Fonti
8 fonti verificate il 3 novembre 2026
Fonti8 fonti
  1. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
  2. MITRE ATT&CK, «Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/004/ (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultato il 3 novembre 2026)
  4. CISA, «Scattered Spider | CISA», 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultato il 3 novembre 2026)
  6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog», 25 ottobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultato il 3 novembre 2026)
  7. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1219/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Il vishing, la truffa al telefono», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/

BibTeX 
@misc{brain_cp008_it_2026,
  author = {Brain},
  title = {Il vishing, la truffa al telefono},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0