Il vishing, o voice phishing, è un tipo di attacco di phishing condotto tramite telefono o messaggio vocale: può trattarsi di un messaggio vocale, una videochiamata o una chiamata telefonica. Viene utilizzato contro aziende e privati per rubare dati e denaro o per avviare ulteriori truffe.

La voce di una persona non è più affidabile. E con la clonazione vocale tramite IA, gli aggressori possono impersonare facilmente un familiare o un amico stretto, con un tono abbastanza familiare da non sollevare alcun sospetto.

La clonazione vocale tramite IA rende più importante che mai per le aziende rafforzare le proprie difese contro le truffe di vishing. Una voce falsa e convincente può essere utilizzata per impersonare dirigenti, dipendenti, fornitori o clienti, aumentando il rischio di pagamenti fraudolenti, furto di credenziali, account takeover, violazioni dei dati e interruzione delle operazioni interne.

Poiché questi attacchi possono sfruttare i normali processi aziendali e relazioni attendibili, le organizzazioni hanno bisogno di procedure di verifica che non si basino sul fatto che chi chiama sembri familiare o convincente.

Che cos’è il vishing?

Il vishing è un tipo di phishing condotto al telefono o tramite messaggi vocali. I truffatori impersonano persone o organizzazioni attendibili, come banche, datori di lavoro, agenzie governative o familiari, per ingannare le vittime e spingerle a condividere informazioni sensibili, inviare denaro o compiere altre azioni.

Il nome deriva da “voice” + “phishing”. È strettamente legato allo smishing, che utilizza SMS o messaggi di testo anziché chiamate vocali per mettere in atto truffe simili.

Oggi, il vishing può coinvolgere anche la clonazione vocale tramite IA, che consente ai truffatori di imitare la voce di una persona reale e rendere la chiamata più convincente.

Come funziona il vishing?

Il vishing funziona di solito combinando impersonificazione, ingegneria sociale e urgenza. Si basa sulla pressione di una conversazione dal vivo per spingere qualcuno ad agire prima di avere il tempo di verificare una richiesta. Chi chiama potrebbe fingere di essere del supporto IT e chiedere di confermare un login, spacciarsi per un dipendente di una banca che controlla una transazione sospetta o impersonare un alto dirigente che necessita con urgenza dell’approvazione di un pagamento.

A differenza delle email di phishing, potrebbe non esserci alcun link sospetto, allegato o indirizzo del mittente sconosciuto da ispezionare. Chi chiama potrebbe sembrare calmo, convincente o persino familiare, specialmente se è coinvolta la clonazione vocale tramite IA.

L’obiettivo di solito è persuadere la vittima a rivelare credenziali o codici monouso, approvare un bonifico, reimpostare l’accesso all’account o aggirare un normale processo di sicurezza. In un contesto aziendale, ciò potrebbe significare ingannare il personale finanziario affinché autorizzi un pagamento, impersonare il supporto IT per raccogliere dettagli di login o convincere un dipendente a dare a un aggressore l’accesso a un account aziendale.

L’IA rende il vishing più difficile da rilevare

Le truffe di vishing tradizionali si tradivano spesso a causa di script scadenti, minacce evidenti, call center rumorosi o interlocutori che semplicemente non sembravano convincenti. Alcune lo fanno ancora. Tuttavia, le aziende non possono più considerare la qualità della voce, la sicurezza nel parlare o la familiarità come segnali affidabili della genuinità di una chiamata.

La clonazione vocale tramite IA rende possibile imitare da vicino persone reali per creare richieste credibili. Gli aggressori possono combinare una voce clonata con lo spoofing dell’ID chiamante e dettagli personali raccolti da LinkedIn, siti web aziendali, interviste pubbliche, social media o precedenti violazioni dei dati.

Ciò rende le voci familiari particolarmente rischiose come segnale di fiducia. Le persone giudicano naturalmente chi chiama dal tono, dalla sicurezza, dalle esitazioni o dal fatto che la voce assomigli a quella di qualcuno che conoscono. L’IA può riprodurre molti di questi segnali, facendo sembrare calmo, di fretta, autorevole o preoccupato un dirigente, un collega, un fornitore o un dipendente del supporto IT impersonato.

Nel 2025, l’FBI ha avvertito(nuova finestra) che attori malintenzionati stavano usando lo smishing e messaggi vocali generati dall’IA per impersonare alti funzionari statunitensi, guadagnare fiducia e cercare di accedere ad account personali.

Per le aziende, agli aggressori non serve un’imitazione perfetta. Hanno solo bisogno di una chiamata abbastanza convincente da scatenare un’azione, come approvare un pagamento, condividere un codice di verifica, reimpostare una password o modificare l’accesso all’account.

Ecco perché le richieste sensibili dovrebbero essere verificate attraverso un altro canale attendibile, anche quando chi chiama sembra esattamente qualcuno che il dipendente conosce.

Esempi comuni di vishing rivolti alle aziende

Il vishing funziona meglio quando la richiesta sembra plausibile. Gli aggressori scelgono spesso scenari che si adattano alle normali routine aziendali, per poi aggiungere urgenza. Ecco alcuni esempi comuni di vishing:

Impersonificazione del supporto IT

Uno scenario comune è l’impersonificazione del supporto IT. Un dipendente riceve una chiamata da qualcuno che sostiene di essere dell’helpdesk dell’azienda, del fornitore del software o del team di sicurezza. Chi chiama potrebbe dire che c’è un problema di login, un aggiornamento urgente, un’attività sospetta o una migrazione che richiede al dipendente di confermare le credenziali o di leggere un codice monouso.

Impersonificazione dell’ufficio finanziario

L’impersonificazione dell’ufficio finanziario è un altro modello ad alto rischio. Chi chiama finge di essere il CEO, il CFO, un alto dirigente o un fornitore attendibile che chiede di elaborare rapidamente un pagamento. La pressione può essere presentata come confidenziale, urgente o legata a un accordo, a una fattura, a un problema fiscale o a un problema con un fornitore.

Chiamate per frodi bancarie

Anche le chiamate per frodi bancarie sono comuni. Chi chiama afferma di essere della banca dell’azienda e avverte di transazioni sospette. Al dipendente viene chiesto di confermare i dettagli, approvare un passaggio di sicurezza, spostare denaro o fornire informazioni che consentano all’aggressore di accedere all’account in un secondo momento.

Impersonificazione di enti governativi

L’impersonificazione di enti governativi può colpire anche le aziende. Le chiamate che coinvolgono His Majesty’s Revenue and Customs (HMRC), l’autorità fiscale del Regno Unito, sono abbastanza comuni che HMRC fornisce un canale dedicato per segnalare chiamate telefoniche sospette(nuova finestra). Chi chiama potrebbe menzionare scadenze fiscali, IVA, buste paga, sanzioni, rimborsi o indagini per creare urgenza.

Impersonificazione di fornitori e clienti

Esistono anche chiamate di impersonificazione di fornitori e clienti. Un criminale potrebbe fingere di essere un fornitore che modifica i dettagli di pagamento, un cliente che richiede di accedere a un portale o un partner che chiede un link a un documento. La chiamata potrebbe non richiedere denaro immediatamente; potrebbe mirare unicamente a raccogliere informazioni per un attacco successivo.

La connessione con le credenziali

Il vishing porta spesso alle credenziali, anche quando inizia come una semplice conversazione. Un aggressore potrebbe chiedere direttamente una password, ma molti tentativi di vishing sono più sottili. Chi chiama potrebbe chiedere a un dipendente di confermare un nome utente, leggere un codice di verifica, approvare una richiesta di autenticazione a due fattori (2FA) o accedere a un falso portale mentre chi chiama rimane in linea.

Una volta esposte le credenziali, il danno dipende da cosa tali credenziali possono sbloccare. Una password riutilizzata può dare all’aggressore l’accesso a più di un servizio, ad esempio. Un login condiviso può rendere più difficile sapere chi ha utilizzato l’account e l’assenza del requisito 2FA può lasciare la password come unica barriera. Un account con troppi permessi può trasformare una sola chiamata ben riuscita in un accesso più ampio.

L’igiene delle credenziali è una parte essenziale della prevenzione degli attacchi di vishing. Password uniche per ogni servizio limitano la portata di una password rubata. Un gestore di password aziendale riduce la necessità per i dipendenti di ricordare o riutilizzare le password, e un generatore di password integrato⁠ rende molto più semplice creare password robuste e uniche per ogni account. La condivisione sicura tiene le credenziali al sicuro da chiamate, chat e documenti. La 2FA aggiunge un’ulteriore barriera quando una password viene compromessa.

Perché i dati esposti rendono il vishing più convincente

Una chiamata di vishing è più persuasiva quando l’aggressore sa già qualcosa sull’azienda. Tali informazioni possono provenire da fonti pubbliche: qualifiche professionali, fornitori, dirigenti, struttura aziendale, comunicati stampa, post sui social media, video di conferenze, podcast o profili dei dipendenti.

Può anche provenire da dati trafugati o rubati, tra cui indirizzi email, numeri di telefono, dettagli dell’account, credenziali esposte o documenti interni.

Il nostro Data Breach Observatory⁠ mostra come i dati esposti possano creare rischi che vanno oltre la violazione originale. A un criminale bastano un numero di telefono, una qualifica professionale, il nome di un fornitore e una vecchia password per sembrare credibile.

I dipendenti potrebbero aver riutilizzato dettagli altrove, i fornitori potrebbero essere stati compromessi o gli aggressori potrebbero combinare più fonti pubbliche e compromesse da perdite per costruire una storia credibile. In pratica, le aziende dovrebbero trattare i dati esposti come carburante per truffe future. Più l’aggressore sa, meno la chiamata sembra casuale.

Come verificare una chiamata sospetta

Se hai un sospetto, chiudi la chiamata e verifica tu stesso se la richiesta era autentica. Il vishing si basa sul tenerti in linea, incoraggiandoti a rispondere subito e ad agire subito. La verifica funziona solo quando il dipendente può mettere in pausa, allontanarsi da quella pressione e tornare tramite un canale di cui l’azienda si fida già.

Per qualsiasi richiesta che coinvolga credenziali, pagamenti, codici 2FA, accesso remoto, dettagli bancari, recupero dell’account o modifiche dei permessi, chiudi la chiamata e controlla la richiesta separatamente. Ciò potrebbe significare richiamare la persona utilizzando la rubrica aziendale, contattare la banca tramite il numero presente sul suo sito web ufficiale, aprire un ticket IT interno o controllare i dettagli del fornitore già archiviati nei registri aziendali.

Il numero per richiamare non dovrebbe mai provenire da chi chiama. Nemmeno l’ID chiamante è sufficiente, perché i numeri possono essere oggetto di spoofing. Il punto è tornare a una fonte attendibile, anziché continuare una conversazione che l’aggressore potrebbe controllare.

Dirigenti, fornitori, banche e team IT legittimi dovrebbero aspettarsi una verifica per le richieste sensibili. Un interlocutore che diventa aggressivo, esige il segreto o rifiuta di essere richiamato sta dando al dipendente un motivo per fermarsi, non un motivo per agire più velocemente.

Sviluppare la consapevolezza sul vishing attorno alle tattiche, non agli script

La formazione sulla consapevolezza del vishing non dovrebbe limitarsi a insegnare alle persone a riconoscere un elenco di frasi usate nelle truffe. Gli script cambiano rapidamente. I modelli di manipolazione sono più stabili.

I dipendenti dovrebbero imparare a riconoscere le tattiche dietro la chiamata, non solo lo script. Hanno anche bisogno di tattiche proprie su cui fare affidamento quando non sono sicuri:

  • Se chi chiama li fa sentire di fretta, ansiosi o responsabili di risolvere qualcosa immediatamente, si tratta di una tattica, non della prova di un’urgenza. Chi chiama potrebbe sostenere di essere un alto dirigente, un investigatore di frodi bancarie, un’autorità fiscale, un fornitore o un membro del team di sicurezza. La storia può cambiare, ma la pressione è spesso simile: agisci ora, mantieni la riservatezza, fidati della mia autorità e aggira i consueti controlli.
  • La formazione deve includere anche la clonazione vocale tramite IA. Il messaggio deve essere chiaro senza creare panico: una voce familiare non è sufficiente per autorizzare un’azione rischiosa. Ai dipendenti dovrebbe essere insegnato che hanno il diritto di mettere in pausa. Se chi chiama chiede un pagamento, una credenziale, un codice, una modifica dell’accesso o un’alternativa urgente, la risposta sicura è interrompere la conversazione, chiedere qualche minuto e verificare la richiesta tramite un numero noto o un altro canale attendibile.
  • Una frase di sicurezza, una regola di richiamo o un flusso di lavoro di approvazione scritta sono più affidabili rispetto al tentativo di giudicare se la voce di qualcuno suona “strana”. Nessuna richiesta urgente e legittima dovrebbe fallire a causa di un breve ritardo utilizzato per la verifica.

Cosa fare dopo una chiamata di vishing sospetta

Una sospetta truffa di phishing telefonico dovrebbe essere segnalata rapidamente, anche se non è stato inviato denaro e non è stata condivisa alcuna password. I casi sfiorati sono utili perché mostrano quali dipendenti, fornitori o processi gli aggressori potrebbero prendere di mira.

Il primo passo è registrare i dettagli:

  • Ora della chiamata
  • Numero visualizzato
  • Dichiarazione di chi chiama
  • Azione richiesta
  • Nomi menzionati
  • Sistemi coinvolti
  • Se è stata condivisa qualche informazione.

Assicurati che il numero fornito da chi chiama non venga contattato di nuovo.

Se sono state condivise credenziali, codici monouso, dettagli di pagamento o l’accesso remoto, trattalo come un fatto urgente:

  • Reimpostare le password interessate
  • Revocare le sessioni ove possibile
  • Esaminare l’attività dell’account
  • Applicare la 2FA
  • Controllare se la stessa password è stata utilizzata altrove.

Come Proton Pass for Business aiuta a ridurre il rischio legato alle credenziali

Il vishing è un attacco umano, ma il danno dipende spesso dai controlli sulle credenziali come password, accesso condiviso e protezione dell’account. Un gestore di password aziendale come Proton Pass for Business aiuta i team a ridurre il rischio che una sola chiamata ben riuscita si trasformi in un accesso più ampio.

I dipendenti possono generare password robuste e uniche per ogni servizio tramite il generatore di password integrato di Proton Pass⁠, archiviarle in casseforti crittografate, utilizzare il riempimento automatico, condividere le credenziali in modo sicuro, gestire le chiavi di accesso e utilizzare l’autenticazione a due fattori integrata.

Questo è prezioso per la protezione dal vishing, perché anche se un aggressore ottiene la tua password durante una chiamata, non può comunque accedere all’account senza il secondo fattore. Proton Pass include anche Pass Monitor con il monitoraggio del dark web, che ti avvisa se la tua email appare in una violazione dei dati nota, in modo da sapere quando le credenziali potrebbero essere già state compromesse.

Proton Pass offre inoltre alle aziende un’impostazione predefinita più sicura per l’accesso quotidiano. Quando i dipendenti dispongono di un modo approvato per archiviare e condividere le credenziali, una persona che chiama chiedendo di leggere una password o di inviare l’accesso tramite chat dovrebbe subito sembrare insolita.

Rendere le richieste vocali verificabili per impostazione predefinita

Il vishing funziona perché la voce sembra immediata e personale. Chi chiama può sembrare sicuro di sé, familiare, disponibile o autorevole. La clonazione vocale tramite IA rende tale fiducia ancora meno affidabile. Le aziende hanno bisogno di un’abitudine di verifica che non dipenda da quanto possa sembrare convincente chi chiama.

Le regole più importanti sono semplici: non condividere credenziali durante una chiamata, non approvare pagamenti insoliti solo in base a una richiesta telefonica e non fidarti dell’ID chiamante come prova di identità. Riaggancia, verifica tramite un canale noto e documenta qualsiasi cosa sospetta.

Per le PMI, il processo può rimanere semplice. Le richieste sensibili dovrebbero avere una regola di richiamo, i pagamenti e le modifiche di accesso dovrebbero richiedere una conferma tramite un altro canale, e i dipendenti dovrebbero conoscere le tattiche di autorità e urgenza che rendono il vishing convincente. Le credenziali devono inoltre rimanere all’interno di un gestore di password aziendale, dove le password sono uniche, condivise in modo sicuro e più facili da ruotare se una chiamata ne comporta l’esposizione.

Il voice phishing continuerà ad evolversi, soprattutto perché l’IA rende l’impersonificazione più economica e convincente. La difesa consiste nel rendere ogni richiesta sensibile verificabile prima che chiunque agisca.

Proteggi le credenziali della tua azienda dal voice phishing con un gestore di password aziendale⁠.