Stalker telefonici e truffe per tutti. Forse ce ne liberiamo

Sono anni che vediamo crescere a dismisura il fenomeno delle chiamate moleste e truffaldine, sempre più raffinate, sempre più invasive. Chiamate che simulano numeri inesistenti che spesso ci ricordano il numero della banca, dell’assicurazione, perfino del medico. Chiamate che arrivano quando abbiamo il telefono in mano, o peggio, quando siamo distratti e vulnerabili. Tecnicamente evitabili, ma sistemicamente ignorate. Il trucco si chiama CLI Spoofing ed è noto da tempo: un sistema per mascherare il numero reale del chiamante e far sembrare legittima una telefonata che invece è l’anticamera di una truffa.

CLI sta per Calling Line Identification.
È l’informazione che permette al destinatario di una chiamata di vedere il numero del chiamante, anche chiamata più comunemente Caller ID.

Spoofing significa “falsificazione” o “manomissione dell’identità”.
Quindi, CLI Spoofing è l’alterazione intenzionale del numero di telefono che appare al ricevente di una chiamata, in modo da far sembrare che provenga da un numero diverso (spesso fidato o familiare, oppure da un’autorità).

Lo sappiamo tutti, ma nulla cambia. E allora ben venga, verrebbe da dire, la nuova Delibera 106/25/CONS dell’AGCOM. Un provvedimento che introduce regole per bloccare le chiamate sospette, filtrare i numeri finti provenienti dall’estero, e impone agli operatori l’adozione di algoritmi intelligenti capaci di rilevare comportamenti anomali in tempo reale.

È un trucco? Sì, ma tecnicamente legittimo in alcuni contesti

✔️ Legittimo:

• Aziende che usano centralini VoIP configurati per mostrare un numero aziendale principale, anche se chi chiama è un interno con un altro numero.

• Call center che mostrano numeri locali ai clienti per migliorare la risposta.

❌ Abusivo (illegale in molti paesi):

• Truffatori che mostrano numeri falsi (es. banche, enti pubblici, numeri familiari) per ottenere informazioni personali o denaro.

• Prank calls, phishing, frodi telefoniche.

Ma da ex nerd con trent’anni di esperienza nello sviluppo e nelle telecomunicazioni, e da persona che ha sempre messo la trasparenza verso gli utenti al primo posto, sento il dovere di dire le cose come stanno: non è una rivoluzione tecnologica. È qualcosa che si poteva fare da anni.

I sistemi per bloccare o filtrare le chiamate falsificate esistono già da tempo. Sono nelle mani di chi conosce a fondo l’architettura delle reti mobili, di chi scrive codice a stretto contatto con il cuore stesso delle centrali telefoniche. È chiaro che i truffatori non operano a caso. Questi software di spoofing non sono scritti da dilettanti: sono sviluppati da persone che conoscono molto bene i protocolli di segnalazione (ad esempio SIP, SS7), che sanno come aggirare i controlli e sfruttare i buchi di sicurezza lasciati aperti per convenienza o per colpevole pigrizia.

Non ci vengano a dire che è un problema complesso. È un problema lasciato irrisolto perché troppo redditizio per troppi soggetti. Non c’è solo il crimine organizzato dietro: c’è un intero sottobosco di call center senza scrupoli, venditori di software truffaldini, e forse anche qualche complicità tecnica ben più vicina di quanto immaginiamo.

Viviamo in un Paese dove, per motivi antiterrorismo, è praticamente impossibile acquistare un telefono usa e getta senza documenti. Ma allo stesso tempo riceviamo ogni giorno chiamate da numeri inventati, automatizzate, invasive, e nessuno riesce a fermarle? In altri Paesi — e li ho visitati personalmente, come turista e come curioso osservatore dei sistemi di rete — si possono comprare SIM da distributori automatici. Eppure lì non ricevi questo genere di chiamate. Perché? Perché lì funziona il controllo reale sulla rete. Qui da noi, invece, si continua a raccontare che è un “problema tecnico”.

Credo che ke contromisure esistano, ma nessuno le implementa. E nel frattempo, le persone — soprattutto le più fragili — continuano a cadere in trappola. Una madre anziana che aspetta la chiamata del figlio e risponde a un truffatore. Un pensionato che riceve una segreteria automatica che lo incalza a cambiare operatore gas. Una persona che, disturbata, lascia bruciare la cena. Questo non è solo un problema di privacy: è un problema etico, sociale, culturale.

E lo è ancor di più se pensiamo a quanto poco alfabetizzata sia la nostra popolazione rispetto all’uso delle tecnologie. Usiamo tutti lo smartphone, ma pochissimi sanno davvero cosa avviene dietro quelle interfacce così amichevoli. E, peggio ancora, non esiste un’educazione tecnologica di base, né a scuola né all’università, su come funziona davvero una rete mobile. I segreti restano inaccessibili. Solo chi lavora dentro certe aziende li conosce. Ma se sei un vero professionista, non li puoi raccontare: fanno parte del tuo know-how riservato.

La delibera AGCOM è un piccolo passo avanti. Prevede che, dopo 3 mesi, vengano bloccate le chiamate da numeri italiani fissi che in realtà provengono dall’estero, e dopo 6 mesi, anche quelle da numeri mobili italiani. Inoltre, introduce regole per evitare che gli utenti restino senza servizio quando un reseller perde accesso alla rete, e norme per la trasparenza delle offerte promozionali via SMS o telefono. Ma non basta. Perché, ripeto, tutto ciò si poteva fare già dieci anni fa.

Siamo stati pionieri, operatori storici, nel costruire l’infrastruttura digitale del Paese. Ma ora che questa infrastruttura è in parte stata deregolamentata e spezzettata in troppi rivoli — tra reseller, subappalti, call center in outsourcing — ci troviamo in un far west in cui la sicurezza viene sacrificata sull’altare della marginalità economica.

E allora sì, mi sono iscritto al registro delle opposizioni. Ma da quel giorno le chiamate sono aumentate. Non da persone vere, ma da segreterie automatiche. E allora ti chiedi: quei tecnici che dovrebbero rispettare il mio diritto alla privacy, sono forse gli stessi che hanno segnalato la mia iscrizione a sistemi automatici illegali? Forse no. Ma il dubbio resta.

In fondo, questo è il mondo che abbiamo contribuito a creare con le nostre competenze. Ora è il momento di avere anche il coraggio di sistemarlo. Di restituire alle persone controllo, fiducia, e soprattutto rispetto.

Approfondimento Tecnico: Protocolli di segnalazione nelle reti mobili: panoramica

Cos’è la segnalazione?

La segnalazione è l’insieme dei messaggi e protocolli che stabiliscono, mantengono, modificano e terminano una sessione o chiamata tra dispositivi o tra dispositivo e rete.

Protocolli principali per generazioni di rete

Reti 2G (GSM) e 3G (UMTS)

Protocollo principale di segnalazione: SS7 (Signaling System No. 7)

• Utilizzato per:

  • Setup e teardown di chiamate voce

  • SMS

  • Roaming (HLR/VLR)

  • Interrogazioni di localizzazione

  • Autenticazione

  • Trasporto di numeri (MAP – Mobile Application Part)

• MAP, CAP, ISUP sono componenti del stack SS7.

Altro protocollo importante in 3G:

• RANAP (Radio Access Network Application Part): per il controllo del RAN nel core 3G.

Reti 4G (LTE)

SS7 non viene più usato nel core, sostituito da Diameter

• Diameter è usato per:

  • Autenticazione/Autorizzazione (AAA)

  • Mobilità

  • Policy charging

  • Interazioni con HSS (Home Subscriber Server)

Protocollo di segnalazione per la parte multimediale e voce su IP: SIP (Session Initiation Protocol)

• SIP è usato nel contesto IMS (IP Multimedia Subsystem):

  • Per instaurare chiamate VoLTE (Voice over LTE)

  • Per sessioni video, messaggistica istantanea ecc.

IMS usa SIP come protocollo di segnalazione al posto di SS7/ISUP.

Reti 5G (Standalone – SA)

SS7 è obsoleto, sostituito completamente da:

• HTTP/2 + JSON su REST API (chiamato Service Based Architecture – SBA) tra le Network Functions (es. AMF, SMF, PCF, UDM, AF, etc.)

• SIP ancora presente per il servizio voce su IMS, quindi ancora rilevante per VoNR (Voice over New Radio)

Altri protocolli importanti da citare

❗️SIP e SS7 non sono gli unici protocolli di segnalazione:

• Sono centrali rispettivamente per:

  • SS7: reti legacy GSM/UMTS

  • SIP: voce su IP in 4G e 5G

• Tuttavia, sono affiancati o sostituiti da:

  • Diameter in 4G

  • HTTP/2 SBA in 5G

  • GTP, RANAP, NGAP, ISUP, MAP, ecc., in varie componenti della rete

Fonti e sitografia

• AGCOM, Delibera n. 106/25/CONS (2025): https://www.agcom.it/documents/10625

• Polizia Postale – Dati annuali sulle truffe telefoniche: https://www.commissariatodips.it/

• Garante per la Protezione dei Dati Personali – Registro delle Opposizioni: https://registrodelleopposizioni.it/

• ETSI – Technical specifications for CLI and spoofing mitigation: https://www.etsi.org/

• RFC 3261 – SIP: Session Initiation Protocol: https://datatracker.ietf.org/doc/html/rfc3261

• ITU-T – SS7 (Signaling System No. 7): https://www.itu.int/rec/T-REC-Q/en

Igor Wolfango Schiaroli

View all posts