Una fattura inattesa. Un abbonamento che non ricordiamo di aver sottoscritto. Un addebito di qualche centinaio di euro che, secondo un’e-mail apparentemente legittima, verrà effettuato nelle prossime ore. In fondo al messaggio non compare nessun link da cliccare e nessun documento eseguibile da scaricare. C’è soltanto un numero di telefono e una frase rassicurante: in caso di errore, chiamare immediatamente l’assistenza.
È precisamente in quel momento che comincia l’attacco.
Le campagne di callback phishing, conosciute nella threat intelligence anche come Telephone-Oriented Attack Delivery (TOAD), stanno cambiando una delle regole più consolidate della sicurezza informatica. Per anni utenti e imprese sono stati educati a non aprire allegati sospetti e a non cliccare collegamenti provenienti da e-mail inattese. Il cybercrime ha imparato ad aggirare quella difesa eliminando proprio ciò che siamo stati addestrati a riconoscere. Il payload, in questo caso, non è un file malevolo: è una conversazione.
Secondo l’ENISA Threat Landscape 2025, il phishing, includendo varianti come vishing, malspam e malvertising, rappresentava circa il 60% dei metodi iniziali di intrusione osservati nei casi analizzati dall’Agenzia europea. Il problema non riguarda quindi una sofisticata tecnica di nicchia. Riguarda il principale punto di contatto tra criminalità informatica e organizzazioni.
QUANDO IL PAYLOAD È UN NUMERO DI TELEFONO
Il phishing tradizionale ha una struttura relativamente prevedibile: il criminale invia un messaggio, crea un senso di urgenza e spinge la vittima verso un sito falso, un allegato infetto o una pagina destinata a sottrarre credenziali. Il callback phishing modifica l’ultima parte della catena. Non chiede alla vittima di entrare direttamente nell’infrastruttura dell’attaccante. Le chiede di telefonargli.
È una differenza apparentemente piccola, ma tecnologicamente decisiva.
Una ricerca pubblicata da Barracuda nell’agosto 2026 ha analizzato campagne costruite attraverso false fatture, ricevute, notifiche di pagamento e persino inviti di calendario. Elementi grafici e marchi conosciuti venivano utilizzati per rendere credibile il messaggio, mentre l’azione richiesta rimaneva sempre la stessa: contattare telefonicamente una presunta assistenza. In tutte le campagne esaminate ricorrevano tre leve: urgenza, ansia finanziaria e impersonificazione di aziende affidabili.
Il vantaggio per l’attaccante è evidente. Un Secure Email Gateway può analizzare URL, domini, allegati, hash di file e comportamenti conosciuti. È molto più difficile stabilire automaticamente se un numero apparentemente ordinario appartenga invece a un’infrastruttura criminale.
Cisco Talos ha provato a ribaltare il problema trattando proprio le numerazioni telefoniche come Indicator of Compromise (IoC). Analizzando campagne osservate tra il 26 febbraio e il 31 marzo 2026, i ricercatori hanno rilevato un forte ricorso alle infrastrutture VoIP: sei delle dieci maggiori campagne individuate utilizzavano questa tecnologia. La disponibilità di numerazioni economiche, facilmente sostituibili e acquistabili in blocco consente infatti di costruire call center fraudolenti con una capacità operativa molto superiore rispetto alla classica immagine del singolo truffatore che telefona da un numero improvvisato.
Il phishing telefonico sta diventando un’attività industrializzata.
L’ATTACCANTE NON CERCA PIÙ IL CLICK: CERCA L’ANSIA
La componente tecnologica, però, spiega soltanto metà dell’efficacia di questi attacchi. L’altra metà è psicologica.
Immaginiamo un dipendente che riceva durante l’orario di lavoro una comunicazione secondo cui un servizio software verrà rinnovato automaticamente per 699 euro. Oppure una persona che, in un periodo economicamente difficile, venga informata di un pagamento imminente che non riconosce. La reazione più naturale non è analizzare header SMTP, domini e certificati digitali. È cercare di bloccare l’addebito.
Il criminale costruisce l’attacco precisamente intorno a questa reazione.
Quando la vittima telefona, inoltre, accade qualcosa che nel phishing tradizionale manca: nasce un rapporto umano. Dall’altra parte può rispondere un falso operatore con tono professionale, capace di rassicurare, fare domande apparentemente innocue e guidare gradualmente la conversazione. Il passaggio può essere quasi impercettibile: prima vengono chiesti nome e numero della pratica, poi alcune informazioni sull’account, successivamente un codice ricevuto via SMS oppure l’installazione di un software di assistenza remota necessario, secondo il truffatore, per procedere al rimborso.
A quel punto la vittima può consegnare volontariamente all’aggressore qualcosa che nessun malware avrebbe necessariamente ottenuto con la stessa facilità: l’accesso legittimo al sistema.
La caratteristica più insidiosa è proprio l’inversione dei ruoli. È la vittima ad avere iniziato la telefonata. La percezione psicologica è quindi diversa rispetto a una chiamata proveniente da uno sconosciuto. Sembra di avere verificato personalmente il problema contattando l’assistenza, quando in realtà anche il canale utilizzato per la verifica è stato predisposto dall’attaccante.
DAL FALSO RIMBORSO ALL’ACCESSO REMOTO: COME PUÒ CADERE UN’AZIENDA
Consideriamo un caso aziendale realistico. Un addetto amministrativo riceve un’e-mail che comunica il rinnovo di una licenza informatica aziendale mai acquistata. L’importo è abbastanza elevato da richiedere un intervento immediato, ma non tanto anomalo da sembrare palesemente falso. Nel messaggio compare un numero per contestare il pagamento.
L’impiegato telefona.
Il falso operatore verifica il “numero dell’ordine”, conferma che probabilmente si tratta di un errore e propone di annullare immediatamente la transazione. Per effettuare la procedura chiede di collegarsi a un portale oppure di installare uno strumento di supporto remoto. Software legittimi di remote desktop possono essere utilizzati proprio perché non vengono necessariamente bloccati dall’antivirus: lo strumento in sé non è malware, è l’utilizzo a essere criminale.
Una volta entrato nel dispositivo, l’attaccante può cercare sessioni già autenticate, applicazioni aziendali, documenti, password salvate o collegamenti alla rete interna. In uno scenario più grave, quell’accesso iniziale può diventare il primo passaggio verso esfiltrazione di dati, frodi finanziarie o distribuzione di ransomware.
È qui che la separazione tra “truffa telefonica” e “cyber attacco” perde significato. La telefonata è semplicemente un componente della kill chain.
La crescita di questi schemi dimostra anche un limite concettuale di molte strategie di cybersecurity: proteggere esclusivamente il perimetro digitale non basta quando l’aggressore può convincere una persona autorizzata ad aprirgli la porta.
PER LE IMPRESE NON È PIÙ SOLO UN PROBLEMA DI FORMAZIONE
Di fronte al social engineering la risposta più frequente è la sensibilizzazione del personale. È necessaria, ma rischia di essere insufficiente se diventa un modo per trasferire sull’utente finale tutta la responsabilità della sicurezza.
La filosofia più avanzata è diversa: costruire sistemi nei quali anche un errore umano non produca automaticamente una compromissione.
Il NIST, nelle più recenti Digital Identity Guidelines, insiste proprio sul concetto di phishing-resistant authentication. Non tutte le forme di autenticazione multifattore offrono infatti la stessa protezione. I sistemi basati sull’inserimento manuale di codici OTP possono ancora essere manipolati attraverso social engineering o attacchi adversary-in-the-middle. Gli autenticatori crittografici che vincolano invece l’autenticazione al servizio legittimo riducono la possibilità che una credenziale valida venga consegnata a un impostore.
La lezione organizzativa è ancora più importante. Un’impresa dovrebbe prevedere procedure indipendenti per verificare una richiesta economica o tecnica inattesa. Se un’e-mail comunica un problema con Microsoft, con la banca o con un fornitore, il dipendente non dovrebbe utilizzare il numero contenuto nel messaggio. Dovrebbe raggiungere autonomamente il sito ufficiale, utilizzare contatti già registrati nei sistemi aziendali oppure rivolgersi all’help desk interno.
In pratica, bisogna spezzare il percorso predisposto dall’attaccante.
Anche gli strumenti di remote access meritano controlli specifici. L’installazione o l’esecuzione di applicazioni di assistenza remota può essere limitata mediante application allowlisting, privilegi ridotti e policy centralizzate. Allo stesso modo, le organizzazioni possono integrare l’analisi delle numerazioni telefoniche nella threat intelligence e sviluppare procedure di escalation per comunicazioni che combinino fatturazione, urgenza e richiesta di contatto telefonico.
Non si tratta più soltanto di insegnare al dipendente a “non cliccare”. Bisogna progettare processi nei quali una telefonata non autorizzi da sola trasferimenti, modifiche delle credenziali o accessi ai sistemi.
QUANDO IL PHISHING DIVENTA ANCHE UN PROBLEMA GIURIDICO
L’evoluzione del phishing assume un significato particolare nel quadro regolatorio europeo. NIS2 ha spostato progressivamente la cybersecurity dalla dimensione puramente tecnica a quella della governance aziendale. Per i soggetti rientranti nel suo ambito, gestione del rischio, sicurezza delle risorse umane, controllo degli accessi, formazione e gestione degli incidenti non sono semplicemente buone pratiche: entrano nel sistema degli obblighi organizzativi di cybersecurity.
La Commissione europea ricorda che le organizzazioni interessate devono adottare misure adeguate di gestione dei rischi e notificare gli incidenti significativi alle autorità competenti. Un attacco TOAD riuscito diventa quindi interessante anche sotto il profilo della responsabilità organizzativa: la questione non è soltanto se il dipendente sia stato ingannato, ma quali barriere tecniche e procedurali l’organizzazione avesse predisposto prima dell’incidente.
Nel settore finanziario il quadro è ulteriormente rafforzato da DORA (Digital Operational Resilience Act), applicabile dal 17 gennaio 2025. Il regolamento richiede alle entità finanziarie un framework strutturato di gestione del rischio ICT, sistemi di protezione e prevenzione, gestione degli incidenti, testing e controllo delle dipendenze tecnologiche. Nel giugno 2026 le autorità europee di vigilanza hanno pubblicato il primo rapporto sugli incidenti ICT rilevanti segnalati nell’ambito del nuovo regime, sottolineando anche la crescente natura interconnessa e transfrontaliera del rischio digitale.
C’è poi il GDPR. Se attraverso una telefonata fraudolenta vengono compromesse credenziali e l’attaccante ottiene accesso non autorizzato a dati personali, l’episodio può configurare un personal data breach. Il titolare deve quindi valutarne natura, conseguenze e rischio per gli interessati e, quando ricorrono le condizioni dell’articolo 33, procedere alla notifica all’autorità di controllo entro 72 ore. Nei casi di rischio elevato può inoltre diventare necessaria la comunicazione agli interessati ai sensi dell’articolo 34.
Una telefonata di pochi minuti può quindi trasformarsi in un incidente che coinvolge contemporaneamente cybersecurity, protezione dei dati, continuità operativa e responsabilità del management.
L’INTELLIGENZA ARTIFICIALE RENDE LA VOCE UNA NUOVA SUPERFICIE D’ATTACCO
Il prossimo salto evolutivo è già visibile. L’intelligenza artificiale generativa riduce drasticamente i costi necessari per produrre messaggi credibili, tradurli, personalizzarli e adattarli al contesto della vittima. Ma nella fase telefonica il cambiamento potrebbe essere ancora più significativo.
Modelli vocali e agenti conversazionali consentono di automatizzare parti dell’interazione che fino a pochi anni fa richiedevano call center e operatori umani. Questo significa che campagne di vishing e callback phishing potrebbero aumentare di scala mantenendo al tempo stesso conversazioni convincenti e personalizzate.
La conseguenza è importante anche dal punto di vista culturale. Per anni la voce è stata percepita come una forma di autenticazione informale: riconoscere qualcuno al telefono, parlare con un operatore che conosce alcune informazioni personali o sentire una voce professionale aumentava spontaneamente il livello di fiducia. Nell’era della sintesi vocale e dell’AI generativa, quella fiducia non può più essere considerata una misura di sicurezza.
Le imprese dovranno quindi spostare il proprio modello dal riconoscimento della persona alla verifica del processo. Non importa quanto convincente sia l’interlocutore: determinate operazioni devono richiedere canali indipendenti, autorizzazioni multiple e autenticazioni tecnicamente resistenti al phishing.
È forse questa la lezione più significativa del callback phishing. La cybersecurity ha passato anni a insegnarci a diffidare di ciò che appare sullo schermo. Gli attaccanti stanno semplicemente portando la stessa manipolazione fuori dallo schermo, dove le nostre difese psicologiche sono ancora più deboli.
Il futuro della sicurezza non dipenderà dalla capacità di riconoscere ogni nuova truffa. Dipenderà dalla capacità di costruire organizzazioni nelle quali anche una persona perfettamente ingannata non abbia il potere di compromettere da sola l’intero sistema.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
NOTE E RIFERIMENTI
· ENISA – Threat Landscape 2025. Analisi di 4.875 incidenti nell’Unione europea e ruolo del phishing come principale vettore iniziale osservato. ENISA Threat Landscape 2025
· Cisco Talos – Insights into the clustering and reuse of phone numbers in scam emails. Ricerca del 2026 sulle infrastrutture telefoniche, sull’utilizzo di numerazioni VoIP e sulle campagne TOAD. Cisco Talos – Scam phone number infrastructure
· Barracuda – Fake invoices, real scammers: the callback phishing playbook. Analisi delle campagne di callback phishing pubblicata nell’agosto 2026. Barracuda – Callback phishing and TOAD attacks
· NIST – Digital Identity Guidelines, SP 800-63B-4. Standard aggiornato sui sistemi di autenticazione e sui meccanismi resistenti al phishing. NIST SP 800-63B-4
· Commissione europea – NIS2 Directive. Quadro europeo sulla gestione del rischio cyber e sugli obblighi delle entità essenziali e importanti. European Commission – NIS2 Directive
· European Data Protection Board – Personal data breaches. Indicazioni sul trattamento e sulla notifica delle violazioni di dati personali ai sensi del GDPR. EDPB – Personal data breaches
