Nel 2026 i filtri anti-spoofing introdotti da AGCOM hanno bloccato circa 191 milioni di chiamate illecite provenienti dall’estero nei primi otto mesi dell’anno. Un risultato significativo nella lotta contro la falsificazione dei numeri telefonici, ma che non elimina completamente il rischio di chiamate fraudolente.
Lo spoofing telefonico rappresenta un problema sia per i consumatori sia per le aziende italiane. I criminali possono infatti far apparire sul display del destinatario un numero diverso da quello realmente utilizzato, simulando una chiamata proveniente da una banca, un ente pubblico o un’impresa conosciuta.
Con le nuove disposizioni del 2026, AGCOM ha rafforzato il quadro regolamentare per migliorare la trasparenza delle comunicazioni e contrastare l’utilizzo illecito dell’identificativo del chiamante.
Cosa devono sapere le aziende italiane? Le misure AGCOM agiscono principalmente a livello degli operatori telefonici. Per proteggere le proprie comunicazioni, le imprese devono affiancare a queste misure una corretta configurazione del centralino VoIP, controlli sul trunk SIP e procedure di verifica dell’identità dei chiamanti.
In questa guida analizziamo le nuove regole, i dati ufficiali del 2026 e le precauzioni da adottare per la sicurezza della telefonia aziendale.
Cos’è lo spoofing telefonico e come funziona?
Lo spoofing telefonico, chiamato anche Caller ID spoofing o CLI spoofing, è una tecnica che consiste nell’alterare l’identificativo del numero chiamante visualizzato sul telefono del destinatario.
Il termine CLI, acronimo di Calling Line Identity, indica l’identificativo utilizzato per presentare il numero di chi effettua una chiamata. Attraverso la manipolazione di questa informazione, una chiamata può apparire come proveniente da un numero diverso da quello effettivamente utilizzato.
Un esempio pratico di spoofing telefonico
Immaginiamo che un cliente riceva una chiamata apparentemente proveniente dal numero ufficiale della propria banca. Sul display compare una numerazione riconoscibile, ma l’interlocutore è in realtà un truffatore che chiede di comunicare un codice di sicurezza o autorizzare un trasferimento di denaro.
Il cliente potrebbe fidarsi del numero visualizzato, senza sapere che è stato falsificato. Lo stesso meccanismo può coinvolgere un’azienda: il numero del suo centralino può essere utilizzato indebitamente da terzi per effettuare chiamate apparentemente riconducibili all’impresa.
Un numero visualizzato sul display non costituisce, da solo, una prova dell’identità del chiamante.
Il problema non riguarda esclusivamente le chiamate commerciali. Lo spoofing può essere utilizzato anche per tentativi di frode, furto di credenziali e impersonificazione di soggetti affidabili.
Un caso concreto è stato segnalato dalla Questura di Lecce il 30 gennaio 2026, dopo che alcuni cittadini avevano ricevuto chiamate fraudolente apparentemente provenienti dal numero telefonico della Questura stessa.
Nuove regole AGCOM sullo spoofing: cosa cambia nel 2026?
Nel 2026 l’Italia ha proseguito il rafforzamento delle misure contro lo spoofing telefonico attraverso nuovi interventi normativi, attività di vigilanza e sanzioni.
È importante distinguere due provvedimenti:
- La Delibera 106/25/CONS, approvata nel 2025, ha introdotto filtri tecnici per bloccare determinate chiamate internazionali con identificativo del chiamante contraffatto.
- La Delibera 21/26/CIR, approvata il 14 aprile 2026, ha aggiornato il Piano Nazionale di Numerazione e rafforzato le disposizioni relative all’identificazione del chiamante.
Le principali misure AGCOM a confronto
| Provvedimento | Periodo | Cosa prevede |
|---|---|---|
| Delibera 106/25/CONS | Maggio 2025 | Introduce misure per il blocco delle chiamate dall’estero con numerazioni italiane utilizzate illegittimamente. |
| Attivazione dei filtri sui numeri fissi | 19 agosto 2025 | Blocco delle chiamate internazionali che presentano illegittimamente numeri fissi italiani. |
| Estensione ai numeri mobili | 19 novembre 2025 | Controlli sulle chiamate internazionali con numeri mobili italiani, considerando anche lo stato di roaming. |
| Delibera 21/26/CIR | Aprile 2026 | Aggiorna le regole sulla presentazione del numero chiamante e amplia le numerazioni utilizzabili come identificativo. |
| Vigilanza e sanzioni | Settembre–ottobre 2026 | Controlli sul corretto utilizzo delle numerazioni e sanzioni per violazioni accertate. |
Fonti: AGCOM — Delibera 106/25/CONS, AGCOM — Delibera 21/26/CIR e comunicato AGCOM del 12 ottobre 2026.
Il filtro anti-spoofing per le chiamate internazionali
Il sistema introdotto da AGCOM coinvolge gli operatori che gestiscono il traffico internazionale diretto verso l’Italia. L’obiettivo è impedire la consegna di chiamate provenienti dall’estero che utilizzano indebitamente numerazioni italiane, ad esempio facendo apparire un numero fisso italiano oppure un numero mobile non coerente con le informazioni disponibili agli operatori.
Per i numeri mobili, i controlli tengono conto anche della possibilità che un utente italiano si trovi legittimamente all’estero in roaming. Il filtro interviene quindi prima che determinate chiamate raggiungano il telefono del destinatario.
Non si tratta di un’applicazione installata sullo smartphone o di una funzione del centralino aziendale, ma di una misura tecnica implementata dagli operatori di telecomunicazioni.
Cosa introduce la Delibera 21/26/CIR?
La delibera del 2026 amplia le possibilità di utilizzo di determinate numerazioni come identificativo del chiamante e rafforza la trasparenza delle comunicazioni.
Tra le novità illustrate da AGCOM figura la possibilità di utilizzare numerazioni brevi, comprese quelle associate ai servizi di assistenza clienti, per rendere più riconoscibili alcune chiamate legittime.
L’Autorità ha adottato un approccio graduale: alcune misure sono state rese immediatamente operative, mentre ulteriori aspetti attuativi, in particolare quelli relativi alle numerazioni destinate a teleselling e telemarketing, sono stati demandati a un tavolo tecnico.
Non significa, quindi, che tutte le aziende debbano già utilizzare un numero di tre cifre o che qualunque chiamata con un numero breve sia automaticamente attendibile.
Fonte: AGCOM — Nuove norme per il contrasto alle frodi telefoniche, 27 aprile 2026.
Spoofing telefonico in Italia: le statistiche del 2026
I dati diffusi da AGCOM il 12 ottobre 2026 mostrano l’impatto dei filtri anti-spoofing. Tra gennaio e agosto 2026 sono state bloccate circa 191 milioni di chiamate, pari al 7,2% del traffico internazionale considerato dall’Autorità.
Quante chiamate sono state bloccate?
| Indicatore | Dato AGCOM | Periodo |
|---|---|---|
| Chiamate internazionali bloccate complessivamente | Circa 191 milioni | Gennaio–agosto 2026 |
| Percentuale del traffico internazionale bloccato | 7,2% | Gennaio–agosto 2026 |
| Media delle chiamate bloccate ogni giorno | Circa 790.000 | Gennaio–agosto 2026 |
| Chiamate bloccate con numero mobile italiano | 148 milioni | Gennaio–agosto 2026 |
| Chiamate bloccate con numero fisso italiano | 38 milioni | Gennaio–agosto 2026 |
| Chiamate bloccate con numerazione non conforme alle specifiche internazionali | 4,6 milioni | Gennaio–agosto 2026 |
Fonte: AGCOM, comunicato ufficiale del 12 ottobre 2026. I valori sono arrotondati come nella comunicazione dell’Autorità.
Le chiamate dall’estero con numeri mobili italiani sono diminuite del 95%
Un altro dato rilevante riguarda le chiamate internazionali che presentano numeri mobili italiani. Secondo AGCOM, rispetto al periodo 1–18 novembre 2025, precedente all’estensione del filtro sulle numerazioni mobili, il volume medio di queste chiamate è diminuito del 95%, passando da 26,8 milioni a 1,2 milioni al giorno nel periodo di osservazione comunicato nell’ottobre 2026.
Si tratta di un cambiamento significativo nel traffico che utilizza questa tipologia di identificativo. Non equivale però a una riduzione del 95% di tutte le truffe telefoniche.
L’Autorità ha inoltre evidenziato che, dopo l’introduzione dei filtri, alcune attività illecite hanno inizialmente tentato di utilizzare numerazioni estere come alternativa ai numeri italiani falsificati.
Le chiamate indesiderate restano un problema
Anche i dati del Garante per la protezione dei dati personali mostrano quanto il fenomeno delle telefonate indesiderate continui a essere rilevante.
Il 20 ottobre 2026, il Garante ha comunicato di aver ricevuto più di 37.000 segnalazioni di chiamate indesiderate nei primi sette mesi del 2026, oltre 170 al giorno.
Nel 2025, le segnalazioni erano state più di 104.000. Queste cifre riguardano il telemarketing indesiderato e non rappresentano una misurazione esclusiva dello spoofing. Sono però utili per comprendere perché i filtri sul numero chiamante debbano essere affiancati ad altre forme di tutela.
Fonte: Garante Privacy — Telemarketing, oltre 37 mila segnalazioni nel 2026.
Spoofing, vishing e chiamate spam: quali sono le differenze?
Non tutte le chiamate sospette costituiscono lo stesso tipo di minaccia.
Lo spoofing riguarda la falsificazione dell’identità telefonica; il vishing riguarda il tentativo di ingannare una persona attraverso una conversazione vocale. I due fenomeni possono verificarsi insieme, ma non sono sinonimi.
| Fenomeno | Come funziona | Esempio | Rischio principale |
|---|---|---|---|
| CLI Spoofing | Viene falsificato il numero presentato al destinatario. | Una chiamata sembra provenire dal numero di un’azienda conosciuta. | Impersonificazione e perdita di fiducia. |
| Vishing | Il truffatore utilizza la voce per ottenere dati o indurre azioni. | Un falso operatore chiede un codice OTP. | Furto di credenziali o denaro. |
| Telemarketing indesiderato | Vengono effettuate chiamate commerciali non desiderate o non autorizzate. | Proposte commerciali insistenti. | Violazione della privacy e disturbo. |
| Compromissione del centralino VoIP | Un soggetto non autorizzato ottiene accesso o sfrutta una configurazione vulnerabile. | Chiamate in uscita effettuate abusivamente attraverso un sistema aziendale. | Frode telefonica e costi non autorizzati. |
La distinzione è importante soprattutto per le aziende: se qualcuno utilizza il numero aziendale come identificativo falsificato, non significa necessariamente che il centralino sia stato compromesso.
Per verificare un’eventuale intrusione occorre analizzare i registri delle chiamate, gli accessi al PBX e le informazioni disponibili presso l’operatore telefonico.
Sicurezza della telefonia aziendale: come proteggere un centralino VoIP nel 2026
Le nuove regole AGCOM contribuiscono a ridurre le chiamate fraudolente che utilizzano determinate tecniche di falsificazione del numero. Tuttavia, non sostituiscono una strategia di sicurezza della telefonia aziendale.
Un centralino VoIP utilizza reti IP e, in molti casi, trunk SIP per collegarsi alla rete telefonica pubblica. Per questo motivo deve essere protetto sia contro gli accessi non autorizzati sia contro gli abusi delle comunicazioni.
1. Mantenere aggiornato il software del centralino
Gli aggiornamenti di sicurezza riducono l’esposizione alle vulnerabilità note e permettono di beneficiare delle correzioni distribuite dal produttore.
Le aziende dovrebbero mantenere aggiornati il sistema telefonico, il sistema operativo quando gestito internamente, i telefoni IP e le applicazioni utilizzate dai dipendenti.
2. Proteggere gli accessi al PBX
Le credenziali amministrative e quelle degli utenti devono essere gestite in modo sicuro. È opportuno utilizzare password robuste, accessi con privilegi limitati e sistemi di autenticazione aggiuntivi, quando disponibili.
Anche l’accesso alla console amministrativa dovrebbe essere limitato alle reti e ai dispositivi autorizzati.
3. Configurare correttamente il trunk SIP
Il trunk SIP collega il centralino VoIP al provider telefonico. Una configurazione sicura dovrebbe includere controlli appropriati sugli accessi, sulle chiamate in uscita e sulle numerazioni che possono essere utilizzate come identificativo del chiamante.
È utile verificare con il provider quali controlli applica all’origine delle chiamate, quali restrizioni sono disponibili e come vengono gestiti i tentativi di utilizzo non autorizzato della numerazione.
4. Monitorare chiamate e attività anomale
Un aumento improvviso delle chiamate internazionali, registrazioni SIP non riuscite o chiamate verso destinazioni non abituali possono indicare un problema di sicurezza.
La revisione dei registri del centralino e dei dati di traffico forniti dall’operatore aiuta a individuare comportamenti anomali e a intervenire tempestivamente.
5. Formare il personale contro le frodi vocali
Anche il centralino più aggiornato non può impedire a un dipendente di fornire informazioni riservate a un interlocutore convincente.
Le aziende dovrebbero definire procedure di verifica per richieste telefoniche riguardanti pagamenti, dati bancari, password e modifiche dei recapiti dei fornitori.
Se una chiamata appare sospetta, è preferibile interromperla e ricontattare l’organizzazione attraverso un numero ufficiale recuperato autonomamente.
Quali funzionalità di sicurezza offre 3CX?
3CX è un centralino software basato su standard aperti, che può essere distribuito on-premise, in cloud privato o tramite hosting 3CX.
Per contribuire a proteggere le comunicazioni aziendali, il sistema mette a disposizione diversi strumenti di sicurezza e gestione.
Tra le funzionalità documentate per 3CX V20 troviamo:
- Protezione anti-hacking: controlli contro tentativi di autenticazione non riusciti e attività SIP sospette.
- Blacklist IP: possibilità di bloccare connessioni provenienti da indirizzi IP specifici e partecipare, ove configurato, alla blacklist globale automatica.
- CID Blacklist: blocco di determinate numerazioni in ingresso sulla base dell’identificativo del chiamante ricevuto.
- Restrizioni della console amministrativa: limitazione degli indirizzi IP autorizzati ad accedere alle funzioni di gestione.
- Restrizioni sulle chiamate internazionali in uscita: configurazione dei codici paese consentiti, da affiancare ai controlli del provider VoIP.
Queste funzioni agiscono su rischi diversi. Ad esempio, la CID Blacklist può essere utile per bloccare numeri indesiderati, ma non autentica l’identità di chi chiama. Un truffatore che modifica continuamente il numero presentato potrebbe aggirare un semplice blocco basato sul Caller ID.
Allo stesso modo, la blacklist IP protegge dalle connessioni provenienti da specifiche sorgenti di rete: non deve essere confusa con i filtri anti-spoofing applicati dagli operatori telefonici.
Per approfondire, consulta la documentazione ufficiale 3CX sulle funzionalità avanzate e la checklist di sicurezza 3CX V20.
Filtri AGCOM, Registro delle Opposizioni e sicurezza VoIP a confronto
| Strumento | Da cosa protegge principalmente | Limite da conoscere |
|---|---|---|
| Filtro anti-spoofing AGCOM | Determinate chiamate internazionali con identificativo italiano illegittimo. | Non elimina tutte le chiamate spam e le frodi originatesi in Italia. |
| Registro Pubblico delle Opposizioni | Telemarketing soggetto al diritto di opposizione. | Non autentica il numero chiamante e non blocca tecnicamente tutte le chiamate. |
| Controlli del provider VoIP | Utilizzi non autorizzati e traffico non conforme, secondo i servizi e le regole disponibili. | L’efficacia dipende dalle verifiche implementate. |
| Sicurezza del centralino 3CX | Tentativi di accesso, configurazioni rischiose e determinate chiamate indesiderate. | Non garantisce l’autenticità di ogni numero della rete pubblica. |
| Procedure di sicurezza aziendali | Frodi basate sull’ingegneria sociale. | Richiedono formazione e applicazione costante. |
L’approccio più efficace è combinare queste protezioni anziché affidarsi a un unico filtro.
Cosa fare se il numero telefonico della tua azienda viene falsificato?
Se clienti o fornitori segnalano chiamate sospette apparentemente provenienti dal tuo numero aziendale, è importante agire con metodo.
Per prima cosa, verifica se le chiamate risultano realmente originate dal tuo sistema. Un numero falsificato può essere mostrato anche quando la chiamata non è transitata attraverso il centralino dell’azienda impersonata.
Le azioni consigliate sono:
- Raccogliere le segnalazioni. Conservare data, ora, numero visualizzato e informazioni disponibili sulle chiamate contestate.
- Controllare i registri del PBX. Verificare se esistono chiamate in uscita corrispondenti, accessi anomali o eventi sospetti.
- Contattare il provider telefonico. Chiedere una verifica sull’utilizzo della numerazione e sulle possibilità di tracciamento delle chiamate.
- Verificare la sicurezza degli accessi. Se emergono indizi di compromissione, intervenire sulle credenziali e sulle configurazioni interessate.
- Avvisare clienti e collaboratori, quando opportuno. Indicare quali canali ufficiali utilizzare per verificare l’autenticità delle comunicazioni.
Per segnalare possibili violazioni nel settore delle comunicazioni elettroniche è disponibile il Portale delle segnalazioni AGCOM.
In presenza di una frode o di un possibile reato, è opportuno rivolgersi tempestivamente alle autorità di polizia competenti.
Domande frequenti sullo spoofing telefonico
1. Come capire se un numero di telefono è falsificato?
Non è sempre possibile riconoscere una chiamata spoofing osservando soltanto il numero sul display. Un numero apparentemente autentico può essere stato falsificato. Alcuni segnali di rischio sono richieste urgenti di denaro, codici OTP, password o informazioni riservate.
In caso di dubbio, interrompi la conversazione e contatta direttamente l’organizzazione attraverso un recapito ufficiale verificato in modo indipendente.
2. Cosa cambia con le nuove regole AGCOM sullo spoofing nel 2026?
Nel 2026 AGCOM ha aggiornato il Piano Nazionale di Numerazione con la Delibera 21/26/CIR, rafforzando il quadro regolamentare relativo all’identificazione del chiamante.
Il provvedimento integra le misure anti-spoofing del 2025, già operative per determinate chiamate internazionali con numerazioni italiane falsificate. Le nuove disposizioni puntano a rendere più trasparenti le comunicazioni e a contrastare gli utilizzi illegittimi delle numerazioni.
3. Il filtro anti-spoofing AGCOM blocca tutte le chiamate indesiderate?
No. I filtri AGCOM contrastano specifiche modalità di falsificazione dell’identificativo del chiamante, soprattutto nel traffico proveniente dall’estero.
Non bloccano automaticamente ogni telefonata commerciale indesiderata, chiamata fraudolenta nazionale o chiamata effettuata da una numerazione estera legittima. Per una maggiore tutela servono anche controlli degli operatori, gestione delle chiamate indesiderate e attenzione alle richieste sospette.
4. Perché continuo a ricevere chiamate spam nonostante i filtri AGCOM?
Le chiamate spam possono provenire da numerazioni che non rientrano nelle condizioni di blocco dei filtri anti-spoofing.
Inoltre, non tutte le chiamate commerciali indesiderate utilizzano numeri falsificati. Alcune possono essere originate in Italia, mentre altre possono utilizzare numerazioni estere. I filtri AGCOM riducono specifiche forme di abuso, ma non sostituiscono il Registro Pubblico delle Opposizioni o altre misure di protezione.
5. Cosa fare se qualcuno utilizza il mio numero aziendale per effettuare chiamate?
Contatta il tuo operatore telefonico e chiedi una verifica dell’utilizzo della numerazione. Controlla inoltre i registri del centralino per escludere chiamate effettivamente originate dal tuo sistema senza autorizzazione.
Se il numero è stato semplicemente falsificato come Caller ID, il centralino potrebbe non essere stato compromesso. Conserva le segnalazioni ricevute e, in presenza di condotte fraudolente, valuta una segnalazione alle autorità competenti.
6. Un centralino VoIP può proteggere dalle chiamate spoofing?
Un centralino VoIP può contribuire alla sicurezza delle comunicazioni attraverso blacklist, controlli di accesso, protezione anti-hacking e regole di gestione delle chiamate.
Tuttavia, non può garantire autonomamente che ogni numero chiamante visualizzato sia autentico. I filtri anti-spoofing degli operatori e le misure di sicurezza del PBX svolgono funzioni complementari. Per questo è importante utilizzare un centralino correttamente configurato e un provider telefonico affidabile.
7. Qual è la differenza tra spoofing telefonico e vishing?
Lo spoofing telefonico consiste nella falsificazione dell’identificativo del numero chiamante.
Il vishing, termine derivato da voice phishing, è una tecnica di truffa telefonica nella quale un interlocutore cerca di ottenere informazioni sensibili o convincere la vittima a compiere determinate azioni.
Una truffa vishing può utilizzare lo spoofing per apparire più credibile, ma i due fenomeni non sono necessariamente collegati.
8. Qual è la differenza tra il Registro delle Opposizioni e il filtro anti-spoofing?
Il Registro Pubblico delle Opposizioni consente ai contraenti telefonici di esercitare il diritto di opposizione al telemarketing secondo le regole previste dalla normativa.
Il filtro anti-spoofing AGCOM, invece, è una misura tecnica applicata dagli operatori di telecomunicazioni per bloccare determinate chiamate che presentano identificativi del chiamante illegittimi.
Il Registro interviene sul diritto a non ricevere determinate comunicazioni commerciali; il filtro AGCOM interviene sulla legittimità della presentazione del numero chiamante.
Per approfondire: Registro Pubblico delle Opposizioni — Domande frequenti.
Conclusioni: una telefonia aziendale più sicura richiede più livelli di protezione
Le misure introdotte da AGCOM rappresentano un passo importante nella lotta contro lo spoofing telefonico in Italia.
I dati del 2026 dimostrano che i filtri applicati dagli operatori hanno impedito la consegna di milioni di chiamate illecite. Rimangono però possibili altre forme di abuso, comprese le frodi originate sul territorio nazionale e i tentativi di ingegneria sociale.
Per le imprese, la sicurezza della telefonia non dipende soltanto dall’operatore: richiede anche un centralino aggiornato, un trunk SIP configurato correttamente, controlli sugli accessi e personale preparato a riconoscere le comunicazioni sospette.
3CX offre strumenti di protezione e amministrazione del centralino VoIP che possono contribuire a questa strategia di sicurezza, mantenendo la flessibilità di scegliere l’infrastruttura e il provider telefonico più adatti alle proprie esigenze.
Scopri le funzionalità di sicurezza del centralino 3CX e come 3CX può supportare le comunicazioni della tua azienda.
Fonti e approfondimenti
Fonti istituzionali
- AGCOM — Delibera 106/25/CONS, pubblicata il 19 maggio 2025.
- AGCOM — Delibera 21/26/CIR, pubblicata il 29 aprile 2026.
- AGCOM — Nuove norme per il contrasto alle frodi telefoniche, 27 aprile 2026.
- AGCOM — Dati del filtro anti-spoofing e attività sanzionatoria, 12 ottobre 2026.
- Garante Privacy — Segnalazioni di telemarketing nel 2026, 20 ottobre 2026.
- Polizia di Stato — Avviso della Questura di Lecce sullo spoofing, 30 gennaio 2026.
- Registro Pubblico delle Opposizioni — FAQ ufficiali.
Documentazione tecnica 3CX
Copyright © 2025