di Flavio De Septis<\/p>\n\n\n\n
Un messaggio in segreteria di quindici secondi, un importo a quattro cifre, un tasto da premere: \u00e8 cos\u00ec che il vishing a nome Nexi prova a farsi consegnare la carta direttamente dalla vittima. <\/p>\n","protected":false},"excerpt":{"rendered":" di Flavio De Septis Un messaggio in segreteria di quindici secondi, un importo a quattro cifre, un tasto<\/p>\n","protected":false},"author":1,"featured_media":3603,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"iawp_total_views":6,"footnotes":""},"categories":[18],"tags":[],"class_list":["post-3600","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-scienze"],"yoast_head":"\n
Gioved\u00ec 29 ottobre 2026, alle 11:35, sulla segreteria del mio smartphone arriva un vocale da un numero mobile italiano sconosciuto, con prefisso 377. La trascrizione automatica dell’iPhone recita: \u00abNexi, \u00e8 stato richiesto un pagamento di 1280 \u20ac su Amazon.it. Se non sei stato tu e vuoi parlare con un operatore del centro assistenza Nexi, premi subito uno\u2026<\/em>\u00bb. Nient’altro, nessun link, nessun nome.<\/p>\n\n\n\n
\u00c8 un messaggio costruito con cura. Cita un marchio di pagamento diffusissimo in Italia e un e-commerce che quasi tutti usano, e indica una cifra abbastanza alta da spaventare ma abbastanza plausibile da non sembrare assurda. Non ho richiamato e non ho premuto nulla. Ma \u00e8 facile immaginare chi, sotto pressione, lo fa: ed \u00e8 l\u00ec che comincia la vera truffa.<\/p>\n\n\n\n
Il vishing (da voice<\/em> + phishing<\/em>) \u00e8 una tecnica di ingegneria sociale in cui l\u2019attaccante contatta la vittima per telefono, o tramite messaggi vocali e chiamate VoIP, fingendosi un interlocutore affidabile: un operatore bancario, un tecnico dell\u2019help desk, un funzionario di un ente pubblico o un dirigente dell\u2019azienda. Lo scopo \u00e8 indurla a rivelare credenziali, codici OTP o dati personali, oppure a compiere azioni dannose come autorizzare un bonifico o installare un software di accesso remoto. \u00c8 una variante del phishing, di cui condivide la logica: sfruttare fiducia, urgenza e autorit\u00e0 per manipolare la persona anzich\u00e9 forzare i sistemi tecnici. Cambia per\u00f2 il canale, che passa dall\u2019e-mail alla voce. Spesso le due tecniche vengono combinate in attacchi ibridi: un\u2019e-mail o un SMS di phishing (smishing) prepara il terreno e una telefonata successiva rende l\u2019inganno pi\u00f9 credibile. Lo stesso vale per lo spoofing del numero chiamante o per l\u2019uso di voci clonate con l\u2019intelligenza artificiale, che rendono il vishing sempre pi\u00f9 difficile da riconoscere.<\/p>\n\n\n\n
Come funziona e perch\u00e9 ci si casca
<\/strong>Lo schema \u00e8 la versione vocale dello smishing del “finto addebito Nexi”, che da mesi circola via SMS con importi a quattro cifre e un numero da chiamare. Qui per\u00f2 manca perfino il link da ispezionare: c’\u00e8 solo una voce e un tasto. A monte lavora un sistema di chiamate automatiche che contatta migliaia di numeri e, quando nessuno risponde, lascia il messaggio in segreteria. Il numero chiamante \u00e8 un cellulare qualsiasi, spesso usa e getta o falsificato con la tecnica dello spoofing.<\/p>\n\n\n\n
Il tasto “1” \u00e8 il vero cuore del meccanismo, perch\u00e9 fa da filtro. Chi lo preme, o richiama, si seleziona da solo: \u00e8 una persona spaventata e pronta a collaborare, e il truffatore non spreca tempo con chi ignora il messaggio. Dall’altra parte risponde un finto operatore, a volte una voce sintetica, con il tono formale di un servizio clienti. Non di rado conosce gi\u00e0 il nome della vittima, le ultime cifre della carta o qualche movimento recente, dati rubati in precedenti campagne di phishing che bastano a renderlo credibile.<\/p>\n\n\n\n
Poi arriva la richiesta decisiva. Per “bloccare il pagamento” l’operatore chiede numero di carta, scadenza e CVV, oppure il codice OTP appena arrivato via SMS, o ancora di approvare una notifica nell’app. In realt\u00e0 quel codice autorizza un pagamento vero o registra la carta su un dispositivo controllato dai criminali, che in pochi minuti la svuotano. Spesso la vittima viene congedata con una rassicurazione, come l’arrivo di una nuova carta il giorno dopo, che serve solo a ritardare il blocco. Il paradosso \u00e8 tutto qui: si crede di fermare un addebito e invece lo si autorizza, consegnando proprio i codici che dovrebbero proteggerci .<\/p>\n\n\n\n
Nulla di tutto questo sfrutta una falla tecnica. Sfrutta il modo in cui reagiamo a una minaccia improvvisa ai nostri soldi. L’invito a premere “subito” toglie il tempo per pensare; l’importo \u00e8 calibrato per allarmare senza sembrare inverosimile, e cifre simili ricorrono in tutte le varianti segnalate; i nomi di Nexi e Amazon prestano la propria credibilit\u00e0. Il fatto che sia la vittima a chiamare le d\u00e0 l’illusione di avere preso l’iniziativa, e la voce, sempre pi\u00f9 naturale grazie all’intelligenza artificiale, convince pi\u00f9 di qualunque SMS.<\/p>\n\n\n\n
Le dimensioni del fenomeno
<\/strong>Non si tratta di episodi isolati. Secondo il Report annuale 2025 della Polizia Postale, nel 2025 il cybercrime economico-finanziario ha generato 27.085 procedimenti e ha sottratto oltre 269 milioni di euro, su un totale di 51.560 casi trattati, 7.590 persone denunciate e 293 arresti (Cybersecurity360). Il rapporto indica phishing, vishing e smishing come la base di queste frodi, spesso travestite da comunicazioni di enti pubblici o istituti di credito, e avverte che l’intelligenza artificiale le rende pi\u00f9 credibili, cancellando segnali d’allarme un tempo evidenti come l’italiano sgrammaticato o l’audio scadente.
Nexi \u00e8 tra i marchi pi\u00f9 imitati. Nel solo 2026 si sono susseguite pi\u00f9 ondate: gli SMS di finto addebito ad agosto, le telefonate sul “pagamento in uscita” a settembre (Geopop). Il vocale in segreteria \u00e8 l’evoluzione automatizzata dello stesso copione, pi\u00f9 economica da lanciare e pi\u00f9 difficile da filtrare.<\/p>\n\n\n\n
Conclusioni: cosa fare
<\/strong>Il vishing a nome Nexi non \u00e8 sofisticato, \u00e8 industriale. Lanciare migliaia di chiamate automatiche costa pochissimo, e basta che una piccola parte dei destinatari prema “1” perch\u00e9 il sistema renda. Per questo la difesa pi\u00f9 efficace non \u00e8 un software, ma un’abitudine semplice da ripetere finch\u00e9 diventa automatica: nessun operatore autentico chiede codici, PIN, OTP o di approvare una notifica per “bloccare” un pagamento. Chi lo fa \u00e8 un truffatore, sempre.
Il primo consiglio, quindi, \u00e8 non reagire al messaggio. Non premete tasti e non richiamate il numero da cui arriva la chiamata, anche se sembra italiano e affidabile: Nexi indica lo 02 3488 come numero dei propri operatori, ma con lo spoofing anche quello pu\u00f2 essere imitato, quindi il numero da solo non prova nulla. Se il dubbio resta, controllate i movimenti aprendo voi l’app Nexi Pay o l’area personale su nexi.it, mai da un link ricevuto, oppure chiamate il numero stampato sul retro della carta. Se poi la carta citata non \u00e8 nemmeno vostra, la questione \u00e8 chiusa. Segnalate il numero come indesiderato, cancellate il vocale e, se volete contribuire, inoltrate la segnalazione alla Polizia Postale tramite il Commissariato di PS online.<\/p>\n\n\n\n
Se invece avete gi\u00e0 comunicato dati o codici, il tempo conta pi\u00f9 di tutto. Bloccate subito la carta dall’app, dall’area personale o chiamando il Servizio Blocchi Nexi al numero verde 800 15 16 16, avvisate la vostra banca per fermare eventuali bonifici e cambiate le credenziali dell’app e dell’home banking, eliminando i dispositivi sconosciuti associati al profilo. Subito dopo sporgete denuncia alla Polizia Postale o ai Carabinieri, con screenshot, numeri e orari delle chiamate, e contestate per iscritto le operazioni non autorizzate. Se la contestazione viene respinta, resta la strada del ricorso all’Arbitro Bancario Finanziario.<\/p>\n\n\n\n
Infine, un suggerimento che vale pi\u00f9 di tutti gli altri: parlatene. Chi conosce gi\u00e0 questo copione difficilmente ci cade, mentre genitori, nonni e colleghi meno abituati al digitale sono il bersaglio ideale. Raccontare un messaggio come questo, magari mostrando lo screenshot della segreteria, \u00e8 spesso la protezione pi\u00f9 efficace che si possa offrire a chi ci sta vicino.<\/p>\n\n\n\n
Fonti<\/p>\n\n\n\n\n