Il vishing è una forma di phishing che utilizza la voce e il canale telefonico per convincere una persona a fornire informazioni riservate, autorizzare un pagamento, comunicare codici di autenticazione oppure eseguire un’azione richiesta dal truffatore. Il termine nasce dall’unione di voice e phishing ed è quindi spesso definito anche phishing vocale.
A differenza del phishing via e-mail, nel vishing l’attaccante sfrutta la pressione della conversazione in tempo reale. Può impersonare una banca, un fornitore, un collega, il supporto IT, un ente pubblico o un responsabile aziendale e costruire una situazione apparentemente urgente: un conto bloccato, una frode in corso, una password da verificare, una richiesta MFA da approvare o un pagamento da “mettere in sicurezza”.
Il numero visualizzato sul telefono non è una prova dell’identità del chiamante. Tecniche di caller ID spoofing possono far apparire un numero diverso da quello realmente utilizzato; inoltre informazioni pubbliche raccolte da siti web, social network e profili professionali possono rendere la chiamata molto credibile.
Per il quadro generale delle varianti e delle difese, consulta anche la guida Nexsys sul phishing.
Come funziona un attacco vishing
Un attacco vishing efficace non dipende necessariamente da tecniche telefoniche complesse. La parte determinante è l’ingegneria sociale: l’attaccante deve ottenere una reazione prima che la vittima abbia il tempo di verificare la richiesta su un canale indipendente.
- Raccolta di informazioni. Il truffatore può partire da nome, ruolo, azienda, fornitori, recapiti o altre informazioni disponibili pubblicamente o ottenute da precedenti compromissioni.
- Il chiamante si presenta come un soggetto ritenuto affidabile: banca, help desk, amministratore IT, fornitore, corriere, autorità o figura interna all’azienda.
- Creazione di urgenza. La conversazione introduce un problema che richiede un’azione immediata, riducendo il tempo dedicato alla verifica.
- Richiesta operativa. La vittima viene spinta a comunicare dati, OTP, codici MFA, credenziali, informazioni aziendali, coordinate bancarie oppure a installare software o aprire una sessione remota.
- Le informazioni o le autorizzazioni ottenute vengono utilizzate per frodi, accesso agli account, compromissione della posta, pagamenti non autorizzati o ulteriori attacchi verso l’organizzazione.
Vishing, phishing e smishing: qual è la differenza?
La differenza principale è il canale utilizzato. L’obiettivo resta simile: indurre la vittima a fidarsi di una comunicazione falsa e a compiere un’azione utile all’attaccante.
Tecnica | Canale | Meccanismo tipico | Ownership SEO |
Phishing | E-mail/web | Link, allegati, pagine di login false | Pillar phishing |
Spear phishing | E-mail/messaggistica mirata | Messaggio personalizzato su persona o ruolo | Pagina spear phishing |
Smishing | SMS/messaggi mobili | Link o richiesta urgente via testo | Sotto-variante del phishing |
Vishing | Telefono/VoIP/voce | Impersonificazione e pressione in tempo reale | Questa pagina |
I principali scenari di vishing in azienda
Falso supporto IT
Il chiamante dichiara di dover risolvere un problema tecnico e chiede password, codici MFA, installazione di software di accesso remoto o esecuzione di comandi.
Finta banca o ufficio amministrativo
La vittima viene informata di un pagamento anomalo o di un conto compromesso e viene spinta a comunicare codici, autorizzare operazioni o trasferire denaro.
Impersonificazione di dirigente o collega
La voce e il contesto vengono usati per rendere credibile una richiesta urgente relativa a bonifici, documenti, credenziali o variazioni di coordinate bancarie.
Callback phishing
Una e-mail o un documento induce l’utente a chiamare un numero telefonico controllato dall’attaccante. La conversazione diventa poi il vero vettore dell’attacco.
MFA e account cloud
L’attaccante può combinare la chiamata con tentativi di accesso reali, inducendo l’utente a comunicare un codice o approvare una richiesta MFA non generata volontariamente.
Caller ID spoofing: perché il numero visualizzato non basta
Uno degli errori più comuni è considerare attendibile una chiamata solo perché sul display compare il numero della banca, dell’azienda o un prefisso locale. Il caller ID può essere manipolato: il numero mostrato al destinatario non certifica l’origine reale della chiamata.
Per questo la verifica deve avvenire fuori dalla conversazione in corso. Se una richiesta riguarda denaro, credenziali, dati sensibili o accessi, interrompere la chiamata e ricontattare l’organizzazione utilizzando un numero recuperato da una fonte ufficiale già nota, non quello comunicato dal chiamante.
Vishing e intelligenza artificiale: il rischio delle voci sintetiche
Nel 2026 anche la qualità della voce è un indicatore debole. Tecnologie di sintesi vocale e clonazione della voce possono essere utilizzate per rendere più credibile l’impersonificazione di una persona conosciuta. La difesa non deve quindi basarsi sul riconoscimento della voce, sull’accento o sulla professionalità del chiamante, ma su procedure di verifica indipendenti.
In ambito aziendale questo principio è particolarmente importante per amministrazione, finance, HR, help desk e personale con privilegi elevati: una richiesta critica non dovrebbe essere autorizzata solo perché “la voce sembra quella giusta”.
Come riconoscere una chiamata di vishing
Non esiste un singolo segnale che provi la frode. Il rischio aumenta quando più elementi compaiono insieme:
- la chiamata è inattesa e richiede una decisione immediata;
- il chiamante crea paura, urgenza o pressione gerarchica;
- vengono richieste password, PIN, OTP, codici MFA o dati di pagamento;
- viene chiesto di approvare una notifica MFA che l’utente non ha avviato;
- la persona propone di spostare denaro su un conto “sicuro”;
- viene richiesta l’installazione di software di controllo remoto;
- il chiamante scoraggia dal contattare colleghi, banca, responsabile IT o altro referente;
- la richiesta modifica improvvisamente una procedura consolidata, ad esempio coordinate bancarie o modalità di pagamento;
- il chiamante usa informazioni corrette sull’azienda per ottenere fiducia: conoscere nome, ruolo o fornitore non dimostra autenticità.
Come difendersi dal vishing: procedura pratica
- Non fornire credenziali, PIN, password, OTP o codici MFA durante una chiamata non verificata.
- Interrompere la conversazione quando la richiesta riguarda denaro, accessi o dati sensibili e verificare separatamente l’identità del richiedente.
- Recuperare autonomamente il numero ufficiale dell’organizzazione e richiamare da quel contatto; non usare come prova il numero fornito dal chiamante.
- Per pagamenti, variazioni IBAN e richieste anomale adottare una verifica a due persone o un secondo canale già noto.
- Non approvare notifiche MFA non generate da un proprio tentativo di accesso.
- Non installare software di assistenza remota su richiesta di un interlocutore non verificato.
- Segnalare subito la chiamata sospetta al referente IT/security o all’help desk aziendale, includendo orario, numero visualizzato, identità dichiarata e azioni richieste.
- Se sono state comunicate credenziali o autorizzato un accesso, trattare l’evento come possibile compromissione e avviare immediatamente reset credenziali, revoca sessioni e verifica dei log.
Formazione specifica contro phishing e vishing Per addestrare gli utenti a riconoscere phishing, spear phishing, smishing, vishing e richieste fraudolente multicanale, consulta il Corso Phishing Awareness per aziende. |
Vishing e security awareness aziendale
Il vishing mostra perché la protezione dal phishing non può essere confinata alla posta elettronica. Filtri antispam, EDR e controlli sui link non possono impedire a un utente di comunicare verbalmente un codice o autorizzare un pagamento durante una telefonata convincente.
La misura organizzativa più efficace è una procedura semplice e ripetibile: fermarsi, verificare il richiedente attraverso un canale indipendente, non derogare alle regole per effetto dell’urgenza e segnalare l’evento. La formazione deve quindi includere scenari telefonici oltre a e-mail, SMS, QR code e richieste MFA.
Per un percorso più ampio sul comportamento sicuro degli utenti: Corso Cyber Security Awareness per utenti aziendali.
Vishing e social engineering
Il vishing è una tecnica di social engineering: il canale telefonico è solo il mezzo attraverso cui viene esercitata la manipolazione. Autorità, urgenza, paura, reciprocità e fiducia nel ruolo dichiarato dal chiamante sono leve utilizzate per ridurre il controllo critico della vittima.
Approfondimento correlato: Social Engineering: esempi e protezione.
Cosa fare dopo una chiamata vishing riuscita
Se durante la chiamata sono state comunicate informazioni sensibili o autorizzate operazioni, la priorità è limitare l’impatto. Le azioni dipendono dal dato compromesso, ma in ambito aziendale la gestione dovrebbe essere trattata come un incidente di sicurezza potenziale.
- Bloccare o modificare immediatamente le credenziali coinvolte.
- Revocare sessioni e token se l’account cloud può essere stato compromesso.
- Verificare accessi anomali, nuove regole di posta, modifiche MFA e attività amministrative.
- Informare banca o provider di pagamento se sono stati comunicati dati finanziari o autorizzate operazioni.
- Preservare numero visualizzato, orario, screenshot, SMS o e-mail collegate e ricostruire ciò che è stato comunicato.
- Attivare il processo interno di incident response e valutare eventuali obblighi di notifica in base ai dati coinvolti e all’impatto reale.
FAQ sul vishing
Che cos’è il vishing?
Il vishing è una forma di phishing che utilizza chiamate vocali o servizi telefonici per impersonare un soggetto affidabile e indurre la vittima a fornire informazioni, autorizzare operazioni o compiere azioni utili all’attaccante.
Qual è la differenza tra phishing e vishing?
Il phishing è il termine generale per le comunicazioni fraudolente finalizzate a ingannare la vittima. Il vishing è la variante che utilizza la voce e il canale telefonico; lo smishing utilizza invece SMS o messaggi mobili.
Un numero di telefono conosciuto garantisce che la chiamata sia autentica?
No. Il caller ID può essere falsificato. Per richieste sensibili è necessario interrompere la chiamata e verificare il soggetto tramite un numero o un canale ufficiale recuperato indipendentemente.
Quali dati non bisogna comunicare durante una chiamata sospetta?
Password, PIN, OTP, codici MFA, dati completi di pagamento, informazioni riservate e qualsiasi elemento che consenta accesso ad account o autorizzazione di operazioni.
Il vishing può colpire anche le aziende?
Sì. Può essere usato contro help desk, amministrazione, finance, HR, dirigenti e utenti con privilegi per ottenere accessi, modificare pagamenti, sottrarre dati o aggirare procedure di sicurezza.
Come deve comportarsi un dipendente davanti a una chiamata sospetta?
Deve evitare di fornire dati o autorizzazioni, interrompere la conversazione, verificare il richiedente tramite un canale indipendente e segnalare l’evento secondo la procedura interna di sicurezza.
La clonazione vocale rende il vishing più pericoloso?
Può aumentare la credibilità dell’impersonificazione. Per questo voce, accento e stile del chiamante non devono essere usati come prova di identità: le richieste critiche vanno sempre verificate attraverso procedure indipendenti.