di Flavio De Septis
Un messaggio in segreteria di quindici secondi, un importo a quattro cifre, un tasto da premere: è così che il vishing a nome Nexi prova a farsi consegnare la carta direttamente dalla vittima.
Giovedì 29 ottobre 2026, alle 11:35, sulla segreteria del mio smartphone arriva un vocale da un numero mobile italiano sconosciuto, con prefisso 377. La trascrizione automatica dell’iPhone recita: «Nexi, è stato richiesto un pagamento di 1280 € su Amazon.it. Se non sei stato tu e vuoi parlare con un operatore del centro assistenza Nexi, premi subito uno…». Nient’altro, nessun link, nessun nome.
È un messaggio costruito con cura. Cita un marchio di pagamento diffusissimo in Italia e un e-commerce che quasi tutti usano, e indica una cifra abbastanza alta da spaventare ma abbastanza plausibile da non sembrare assurda. Non ho richiamato e non ho premuto nulla. Ma è facile immaginare chi, sotto pressione, lo fa: ed è lì che comincia la vera truffa.
Il vishing (da voice + phishing) è una tecnica di ingegneria sociale in cui l’attaccante contatta la vittima per telefono, o tramite messaggi vocali e chiamate VoIP, fingendosi un interlocutore affidabile: un operatore bancario, un tecnico dell’help desk, un funzionario di un ente pubblico o un dirigente dell’azienda. Lo scopo è indurla a rivelare credenziali, codici OTP o dati personali, oppure a compiere azioni dannose come autorizzare un bonifico o installare un software di accesso remoto. È una variante del phishing, di cui condivide la logica: sfruttare fiducia, urgenza e autorità per manipolare la persona anziché forzare i sistemi tecnici. Cambia però il canale, che passa dall’e-mail alla voce. Spesso le due tecniche vengono combinate in attacchi ibridi: un’e-mail o un SMS di phishing (smishing) prepara il terreno e una telefonata successiva rende l’inganno più credibile. Lo stesso vale per lo spoofing del numero chiamante o per l’uso di voci clonate con l’intelligenza artificiale, che rendono il vishing sempre più difficile da riconoscere.
Come funziona e perché ci si casca
Lo schema è la versione vocale dello smishing del “finto addebito Nexi”, che da mesi circola via SMS con importi a quattro cifre e un numero da chiamare. Qui però manca perfino il link da ispezionare: c’è solo una voce e un tasto. A monte lavora un sistema di chiamate automatiche che contatta migliaia di numeri e, quando nessuno risponde, lascia il messaggio in segreteria. Il numero chiamante è un cellulare qualsiasi, spesso usa e getta o falsificato con la tecnica dello spoofing.
Il tasto “1” è il vero cuore del meccanismo, perché fa da filtro. Chi lo preme, o richiama, si seleziona da solo: è una persona spaventata e pronta a collaborare, e il truffatore non spreca tempo con chi ignora il messaggio. Dall’altra parte risponde un finto operatore, a volte una voce sintetica, con il tono formale di un servizio clienti. Non di rado conosce già il nome della vittima, le ultime cifre della carta o qualche movimento recente, dati rubati in precedenti campagne di phishing che bastano a renderlo credibile.
Poi arriva la richiesta decisiva. Per “bloccare il pagamento” l’operatore chiede numero di carta, scadenza e CVV, oppure il codice OTP appena arrivato via SMS, o ancora di approvare una notifica nell’app. In realtà quel codice autorizza un pagamento vero o registra la carta su un dispositivo controllato dai criminali, che in pochi minuti la svuotano. Spesso la vittima viene congedata con una rassicurazione, come l’arrivo di una nuova carta il giorno dopo, che serve solo a ritardare il blocco. Il paradosso è tutto qui: si crede di fermare un addebito e invece lo si autorizza, consegnando proprio i codici che dovrebbero proteggerci .
Nulla di tutto questo sfrutta una falla tecnica. Sfrutta il modo in cui reagiamo a una minaccia improvvisa ai nostri soldi. L’invito a premere “subito” toglie il tempo per pensare; l’importo è calibrato per allarmare senza sembrare inverosimile, e cifre simili ricorrono in tutte le varianti segnalate; i nomi di Nexi e Amazon prestano la propria credibilità. Il fatto che sia la vittima a chiamare le dà l’illusione di avere preso l’iniziativa, e la voce, sempre più naturale grazie all’intelligenza artificiale, convince più di qualunque SMS.
Le dimensioni del fenomeno
Non si tratta di episodi isolati. Secondo il Report annuale 2025 della Polizia Postale, nel 2025 il cybercrime economico-finanziario ha generato 27.085 procedimenti e ha sottratto oltre 269 milioni di euro, su un totale di 51.560 casi trattati, 7.590 persone denunciate e 293 arresti (Cybersecurity360). Il rapporto indica phishing, vishing e smishing come la base di queste frodi, spesso travestite da comunicazioni di enti pubblici o istituti di credito, e avverte che l’intelligenza artificiale le rende più credibili, cancellando segnali d’allarme un tempo evidenti come l’italiano sgrammaticato o l’audio scadente.
Nexi è tra i marchi più imitati. Nel solo 2026 si sono susseguite più ondate: gli SMS di finto addebito ad agosto, le telefonate sul “pagamento in uscita” a settembre (Geopop). Il vocale in segreteria è l’evoluzione automatizzata dello stesso copione, più economica da lanciare e più difficile da filtrare.
Conclusioni: cosa fare
Il vishing a nome Nexi non è sofisticato, è industriale. Lanciare migliaia di chiamate automatiche costa pochissimo, e basta che una piccola parte dei destinatari prema “1” perché il sistema renda. Per questo la difesa più efficace non è un software, ma un’abitudine semplice da ripetere finché diventa automatica: nessun operatore autentico chiede codici, PIN, OTP o di approvare una notifica per “bloccare” un pagamento. Chi lo fa è un truffatore, sempre.
Il primo consiglio, quindi, è non reagire al messaggio. Non premete tasti e non richiamate il numero da cui arriva la chiamata, anche se sembra italiano e affidabile: Nexi indica lo 02 3488 come numero dei propri operatori, ma con lo spoofing anche quello può essere imitato, quindi il numero da solo non prova nulla. Se il dubbio resta, controllate i movimenti aprendo voi l’app Nexi Pay o l’area personale su nexi.it, mai da un link ricevuto, oppure chiamate il numero stampato sul retro della carta. Se poi la carta citata non è nemmeno vostra, la questione è chiusa. Segnalate il numero come indesiderato, cancellate il vocale e, se volete contribuire, inoltrate la segnalazione alla Polizia Postale tramite il Commissariato di PS online.
Se invece avete già comunicato dati o codici, il tempo conta più di tutto. Bloccate subito la carta dall’app, dall’area personale o chiamando il Servizio Blocchi Nexi al numero verde 800 15 16 16, avvisate la vostra banca per fermare eventuali bonifici e cambiate le credenziali dell’app e dell’home banking, eliminando i dispositivi sconosciuti associati al profilo. Subito dopo sporgete denuncia alla Polizia Postale o ai Carabinieri, con screenshot, numeri e orari delle chiamate, e contestate per iscritto le operazioni non autorizzate. Se la contestazione viene respinta, resta la strada del ricorso all’Arbitro Bancario Finanziario.
Infine, un suggerimento che vale più di tutti gli altri: parlatene. Chi conosce già questo copione difficilmente ci cade, mentre genitori, nonni e colleghi meno abituati al digitale sono il bersaglio ideale. Raccontare un messaggio come questo, magari mostrando lo screenshot della segreteria, è spesso la protezione più efficace che si possa offrire a chi ci sta vicino.
Fonti
- Report annuale 2025 della Polizia Postale, sintesi di Cybersecurity360 (13 gennaio 2026)
- «Hai un pagamento Nexi in uscita»: attenzione alla nuova truffa via SMS e chiamate, Geopop (18 settembre 2026)
- Nexi, pagina di supporto su phishing e frodi
- Commissariato di PS online, segnalazioni
