Esempi di vishing e smishing: 12 chiamate e messaggi di testo che i dipendenti ricevono realmente

In breve: il “vishing” è il phishing tramite telefonata o messaggio vocale. Lo “smishing” è il phishing tramite SMS o app di chat. Entrambi funzionano perché il telefono è percepito come uno strumento personale: nessun link su cui passare il mouse, nessun filtro antispam, poco tempo per riflettere. Di seguito sono riportate sei telefonate e sei messaggi, ciascuno con un esempio di testo, la tecnica utilizzata e i segnali di allarme. Lo schema è sempre lo stesso: qualcuno che non hai contattato ti chiede un codice, le credenziali di accesso o un pagamento, immediatamente.

Non conosci questi termini? Inizia scoprendo cosa sono il vishing e lo smishing. Ogni script riportato di seguito è un esempio da noi redatto, con nomi inventati e segnaposto come [la tua banca].

Perché il phishing tramite telefono continua a crescere

L'APWG ha registrato un aumento del 20% dei casi di vishing e del 40% di smishing nel secondo trimestre del 2026. CrowdStrike ha rilevato un aumento del 442% dei casi di vishing tra la prima e la seconda metà del 2024. Nel “Data Breach Investigations Report” 2026 di Verizon, il tasso mediano di clic è risultato pari al 2% nelle simulazioni telefoniche, contro l'1,4% nelle e-mail.

I 12 esempi in sintesi

6 esempi di vishing

1. Il servizio di assistenza informatica che richiede il tuo codice MFA

Cosa senti: “Sono Daniel del servizio di assistenza IT. Abbiamo riscontrato alcuni errori di accesso al tuo account. Ti sto inviando un codice. Puoi ripetermelo?”

Come funziona: chi chiama è in possesso della tua password e ha bisogno del secondo fattore di autenticazione. Retool è stata vittima di un attacco di questo tipo il 27 agosto 2023: un codice, letto da una voce “IT” generata tramite deepfake, ha permesso di accedere a 27 account di clienti. Nel 2025 Google ha descritto un gruppo che telefona ai dipendenti spacciandosi per il supporto IT per accedere ai dati di Salesforce, e la stessa Google ne è stata vittima.

Individua e blocca: un codice che non hai richiesto. Riattacca e chiama l'helpdesk al numero interno.

2. L’ufficio antifrode della banca

Quello che senti: “Qui è l’ufficio frodi di [la tua banca]. Abbiamo bloccato un pagamento di 1.950 €. Ti aiuterò a trasferire l’importo su un conto sicuro.”

Come funziona: il numero visualizzato sullo schermo è falso. Nel 2025 i falsi servizi di assistenza sono stati la frode più segnalata dai consumatori al Fraudehelpdesk olandese: 17.264 segnalazioni, contro le 9.492 del 2024.

Individua e blocca: un “account sicuro” o un software di accesso remoto. Riattacca e chiama il numero riportato sulla tua carta.

3. Il messaggio vocale del “CEO”

Quello che senti: «Sono Mark. Sto per imbarcarmi. Oggi concludiamo un’acquisizione e ho bisogno che tu ti occupi di un pagamento riservato. Che rimanga tra noi».

Come funziona: l’ intelligenza artificiale clona una voce tratta da un webinar o da un podcast. Nel luglio 2024, secondo quanto riportato da Bloomberg, un dirigente della Ferrari ha ricevuto una telefonata con la voce dell’amministratore delegato Benedetto Vigna riguardante un accordo segreto. Il chiamante ha chiesto quale libro Vigna avesse appena consigliato, poi ha riattaccato. Consulta i nostri esempi di frodi ai danni degli amministratori delegati e il nostro corso di formazione sulla sensibilizzazione ai deepfake.

Individua e blocca: un numero sconosciuto e segretezza. Poni una domanda a cui solo la persona reale può rispondere.

4. Il fornitore con un nuovo conto corrente

Cosa senti: “Sono Sophie di [fornitore]. Abbiamo cambiato banca. Ti invierò il nuovo numero di conto via e-mail. Potresti aggiornarlo prima dell’elaborazione dei pagamenti di questo mese?”

Come funziona: la telefonata fa sì che l’e-mail di sollecito sembri una comunicazione prevista. La fattura successiva viene pagata all’autore dell’attacco e nessuno se ne accorge finché non arriva il sollecito del fornitore.

Individuare e bloccare: le coordinate bancarie sono state modificate per telefono. Chiama il referente presente nei tuoi registri e chiedi l’approvazione di una seconda persona.

5. La chiamata all’assistenza tecnica

Quello che senti: “Chiamo a nome del team di sicurezza di [fornitore di software]. Il tuo computer è stato infettato. Per favore, siediti alla tastiera.”

Come funziona: si apre un innocuo file di log di sistema come “prova” e poi si installa un software di accesso remoto. A quel punto chi chiama può vedere le tue password e la rete aziendale.

Individua e blocca: i fornitori non contattano telefonicamente gli utenti per segnalare infezioni. Riattacca e avvisa il reparto IT.

6. Il numero di richiamata riportato nell'e-mail di fattura

Quello che leggi e senti: «Il tuo abbonamento è stato rinnovato per 389,99 €. Non sei stato tu? Chiama il [numero]». Al telefono: «Devo solo collegarmi al tuo schermo per effettuare il rimborso».

Come funziona: nessun link, nessun allegato, quindi i filtri lasciano passare l’e-mail. Sei tu stesso a decidere di aprire l’e-mail, il che ti induce ad abbassare la guardia. Per quanto riguarda le e-mail, ne parliamo nella nostra panoramica sui tipi di attacchi di phishing.

Attenzione: l’unico contatto disponibile è un numero di telefono. Non chiamare. Controlla il conto sul sito del venditore stesso.

6 esempi di smishing

7. Il pacco che non è stato possibile consegnare

Quello che hai letto: “[Corriere]: il tuo pacco non ha potuto essere consegnato perché non sono stati pagati 1,45 € di spese di spedizione. Effettua il pagamento entro 24 ore: [link]”

Come funziona: tutti stanno aspettando un pacco. La piccola commissione è l’esca; il sito vuole i dati della tua carta di credito.

Individua e blocca: un costo aggiuntivo dopo la spedizione, un link esterno al dominio del corriere. Traccia il pacco nell'app del corriere.

8. La banca o l'app di pagamento

Quello che hai letto: “[La tua banca]: la registrazione alla tua app bancaria scade oggi. Rinnova ora: [link]”

Come funziona: il link apre una copia della pagina di accesso. Con le tue credenziali di accesso e un codice, l’autore dell’attacco registra il proprio telefono come dispositivo autorizzato per la tua app bancaria. Spesso segue l’esempio 2.

Individua e blocca: un link contenuto in un messaggio inviato da una banca. Apri l'app tu stesso.

9. L'autorità fiscale o il portale governativo

Quello che hai letto: “[Agenzia delle Entrate]: il tuo debito di 1.277 € non è stato saldato. Per evitare il pignoramento, paga oggi stesso tramite [link]”

Come funziona: è il timore di una multa a fare il resto. Alcune varianti imitano la pagina di accesso del governo o promettono un rimborso.

Individua e blocca: una minaccia e un link di pagamento in un unico messaggio. Accedi tu stesso al portale ufficiale.

10. “Ciao mamma, ciao papà”

Quello che hai letto: «Ciao mamma, mi si è rotto il telefono, questo è il mio nuovo numero. Oggi devo pagare una bolletta e la mia app bancaria non funziona ancora».

Come funziona: prende di mira i dipendenti in qualità di genitori, solitamente tramite un’app di chat. È lo stesso stratagemma dell’esempio 12: chi lo conosce già da casa lo riconosce anche al lavoro.

Individua e blocca: un nuovo numero e il motivo per cui non è possibile effettuare chiamate. Chiama il vecchio numero.

11. L'autenticazione a due fattori (MFA) o l'avviso sull'account

Quello che hai letto: “[Azienda] IT: la tua password scade oggi. Accedi per mantenere l’accesso: [azienda]-sso.example”

Come funziona: nel 2022 i dipendenti di Twilio hanno ricevuto SMS come questo. Alcuni hanno effettuato l’accesso e sono stati sottratti i dati di 209 clienti. Presso Cloudflare, 76 dipendenti hanno ricevuto l’SMS e tre hanno inserito la propria password. L’attacco è fallito perché Cloudflare utilizza chiavi di sicurezza hardware.

Individua e blocca: un dominio che contiene il nome dell’azienda seguito da “sso” o “login”. Utilizza i segnalibri e segnala il testo.

12. Il capo a cui servono buoni regalo

Quello che hai letto: “Sono Laura, nuovo numero. Sono in riunione. Puoi acquistare cinque buoni regalo da 100 € per un cliente e inviarmi i codici?”

Come funziona: i codici delle carte regalo hanno lo stesso valore del contante e non possono essere annullati.

Individua e blocca: un nuovo numero, riservatezza, carte regalo. Chiama il tuo responsabile o vai direttamente da lui.

Smishing, vishing e phishing

La variante del codice QR si chiama “quishing”.

Come verificare l'identità di chi chiama

1. Non mettergli pressione. Digli che lo richiamerai.
2. Richiamare un numero che si conosce già. L'identificativo del chiamante non prova nulla: i numeri possono essere falsificati.
3. Non fornire mai un codice, una password o l'accesso remoto a chi ti ha contattato.
4. Assegna a un’altra persona la gestione dei fondi. Ogni modifica al conto corrente deve essere approvata da un collega.

Anche il vostro service desk deve seguire le stesse regole, perché anche gli hacker chiamano. Gli autori dell’attacco a MGM Resorts hanno affermato nel 2023 di aver telefonato all’help desk fingendosi un dipendente trovato su LinkedIn; MGM ha stimato il danno in circa 100 milioni di dollari. Marks & Spencer è stata violata nell’aprile 2025 tramite una “sofisticata usurpazione d’identità” di un utente di terze parti, come ha riferito il presidente Archie Norman ai parlamentari, con un costo stimato di circa 300 milioni di sterline. Nel febbraio 2026 l’autorità di vigilanza finanziaria di New York ha messo in guardia da chi chiama spacciandosi per il personale dell’help desk IT, e nell’aprile 2026 ADT ha confermato una violazione che, secondo gli autori dell’attacco, è iniziata con una chiamata di vishing. Una regola che nessuno ha mai messo in pratica non regge di fronte a chi chiama con sicurezza. È a questo che serve la formazione.

Come le aziende simulano il vishing e lo smishing

La maggior parte delle organizzazioni si limita a testare le e-mail e nient’altro. Quelle che vanno oltre inviano SMS di prova ai telefoni di lavoro ed effettuano chiamate con copioni prestabiliti al service desk, all’ufficio finanziario e alle risorse umane. Tre regole garantiscono l’equità del processo: annunciare il programma, non punire mai nessuno e tenere conto sia delle segnalazioni che degli errori. Guardey include simulazioni di phishing e una sfida settimanale con competizione tra team, in modo che i dipendenti continuino a esercitarsi tra un test e l’altro.

Domande frequenti

Qual è la differenza tra smishing e vishing?

Il canale. Lo “smishing” consiste in un SMS o in un messaggio di chat. Il “vishing” consiste in una telefonata o in un messaggio vocale. L’obiettivo è lo stesso: il tuo codice, le tue credenziali di accesso o i tuoi soldi.

Qual è un esempio di vishing?

Una persona che chiama dall’“IT” e ti chiede di leggere ad alta voce il codice che hai appena ricevuto sul cellulare. Gli esempi da 1 a 6 sono casi di vishing, quelli da 7 a 12 di smishing.

Posso fidarmi dell'ID chiamante o del nome del mittente di un SMS?

No. Entrambe possono essere falsificate. Verifica tramite un canale di tua scelta.

Cosa devo fare se ho fornito un codice o ho effettuato un pagamento?

Segnalalo immediatamente al servizio IT e cambia la tua password. Se hai effettuato un pagamento, chiama la tua banca al numero ufficiale. Segnala anche i messaggi che hai semplicemente ricevuto.