Truffe telefoniche: come avvengono, e come se ne esce
Una chiamata fraudolenta segue quasi sempre lo stesso percorso: un numero o una voce che rassicura, un'urgenza, il divieto di riagganciare, poi una «verifica» che il truffatore controlla. La risposta sta in due gesti: chiedere le due parole del momento, e richiamare da soli il numero salvato.
Aggiornato il
Una minaccia reale, in crescita ogni anno
Non sono più e-mail scritte male: sono chiamate, con il vostro fascicolo sotto gli occhi e, a volte, la voce del vostro caro. Le cifre ufficiali del 2025:
di truffe in Francia nel 2025, e il 7 % all'anno in media da dieci anni. Il pretesto più efficace resta un caro in difficoltà.
Ministero dell'Interno francese, SSMSI, bilancio 2025numeri usurpati segnalati all'autorità francese delle telecomunicazioni nel 2025, contro 531 nel 2023. Il nome che compare può essere quello del vostro caro senza che sia lui.
Arcep, gennaio 2026di perdite legate all'intelligenza artificiale denunciate all'FBI nel 2025. La voce clonata serve già alle «chiamate di soccorso» di un falso figlio o nipote.
FBI, Internet Crime Report 2025persi dagli over 60 negli Stati Uniti nel 2025, in aumento del 59 % in un anno. Sono loro il bersaglio delle false chiamate di un caro.
FBI, Internet Crime Report 2025Da quando i numeri sono autenticati, i truffatori chiamano da cellulari qualunque o via messaggistica: il numero sullo schermo non vi protegge più. Resta ciò che potete verificare voi stessi.
Fonti: Ministero dell'Interno francese, SSMSI, «Insicurezza e criminalità nel 2025: una prima fotografia»; Arcep, comunicato del 29 gennaio 2026; FBI, Internet Crime Report 2025; Banque de France, Osservatorio sulla sicurezza dei mezzi di pagamento, comunicato del 27 gennaio 2026 (sui numeri autenticati). Cifre aggiornate al 4 settembre 2026.
Come si svolge una chiamata fraudolenta?
Falso consulente bancario, falso nipote, falso poliziotto: il pretesto cambia, la meccanica no. Cinque fasi, tratte dalle testimonianze delle vittime e dagli avvisi ufficiali, ciascuna con le frasi che si sentono.
L'innesco: il numero che compare non prova nulla
Un numero si usurpa, anche quello di un caro: il vostro telefono mostra allora il suo nome. Spesso è la vittima a dire il nome («Mary, sei tu?»), e il truffatore adotta l'identità che gli è appena stata offerta. E sa già cose di voi: nome, indirizzo, banca, ultime cifre della carta. Tutto questo si compra.
La messa in scena: la voce, l'incidente, il superiore
Tre secondi di registrazione bastano per clonare una voce. Una scusa fisica copre i difetti: «ho avuto un incidente, ho il naso rotto». Poi vi passano qualcun altro, un «avvocato», un «poliziotto», un «responsabile dell'ufficio frodi», che non deve più imitare nessuno.
Il blocco: non riagganciare, non dirlo a nessuno
Finché la linea regge, nessuna verifica è possibile. Il segreto viene chiesto proprio nel momento in cui un terzo direbbe di no. Il tempo trascorso diventa un argomento («non abbiamo fatto trenta minuti per non concludere»), e la vostra prudenza viene rovesciata: «è proprio per proteggerla», «non ti fidi di me?».
La trappola della verifica
La più subdola: è il truffatore a invitarvi a riagganciare e a richiamare la banca. Su una linea fissa può tenere la linea e riprodurre un finto segnale. Il codice di conferma arriva dal vero numero della banca, nella giusta conversazione: non gli resta che farselo dettare.
Il dopo: la seconda ondata
Le liste di vittime si rivendono. Circa quattro persone truffate su dieci lo sono una seconda volta mentre cercano di recuperare il denaro («il nostro studio può recuperare i suoi fondi»). La vergogna fa tacere, e la famiglia non viene avvertita.
Cosa ne ha tratto TrustWords
- Il nome sullo schermo non prova nulla: contano solo le due parole, e le dice per primo chi chiama.
- Nessuna prova con la voce, la foto o un ricordo.
- «Non riagganciare» è un motivo per riagganciare; ogni schermo di chiamata finisce con questo gesto.
- La richiamata si fa dal vostro telefono, al numero della rubrica, mai a quello della chiamata ricevuta.
- Dopo un tentativo, l'app avverte: richiameranno, e il registro conserva la traccia.
Cosa dicono le vittime, e cosa ne ha fatto l'app
Prima di scrivere un solo schermo, abbiamo esaminato centinaia di fonti: discussioni nei forum delle vittime, avvisi e campagne ufficiali di Francia, Regno Unito e Stati Uniti, testimonianze della stampa. I procedimenti scelti sono quelli che ricorrono in più fonti indipendenti. A ciascuno, il percorso oppone la condotta che questi organismi raccomandano.
«Non riagganciare. Resta in linea.»
Finché la linea regge, nessuna verifica è possibile. Ogni schermo di chiamata finisce con lo stesso gesto: riagganciate voi stessi.
«Non dirlo a nessuno.»
Il segreto viene chiesto proprio nel momento in cui un terzo direbbe di no. L'app vi fa annotare, riagganciare e poi verificare per un'altra via: il suo numero salvato, qualcuno che può vederlo.
«Ho avuto un incidente, la mia voce è strana.»
La scusa copre i difetti di una voce clonata. L'app non accetta alcuna prova con la voce, la foto o un ricordo: le due parole, o niente.
«Riagganci e richiami subito la sua banca.»
Su una linea fissa, il truffatore può tenere la linea e riprodurre un finto segnale. La richiamata si fa dal vostro telefono, al numero della vostra rubrica.
«Le passo il mio superiore.»
Il secondo interlocutore non deve più imitare nessuno. Qualcuno che chiama «per» il vostro caro: annotate, riagganciate, verificate presso l'ente tramite i suoi contatti ufficiali.
«Lei è il signor X, di via Y 12, vero?»
Nome, indirizzo, banca: tutto questo si compra. Conoscere i vostri dati non prova nulla, e nemmeno il nome che compare sullo schermo. Contano solo le due parole.
Fonti consultate: forum Que Choisir (falso consulente bancario, falso ufficiale giudiziario, truffe su linea fissa), Cybermalveillance.gouv.fr, economie.gouv.fr, ARCEP, Banque de France, Action Fraud, Metropolitan Police e Take Five (Regno Unito), FBI, FCC, FTC e AARP (Stati Uniti), Consumer Protection BC (Canada).
I vostri dati sono già in giro
Dal 2024, le grandi banche dati dei servizi pubblici perdono dati una dopo l'altra. Ciò che è uscito non si riprende: bisogna conviverci, e trarne la conseguenza.
Cosa è uscito
- France Travail (l'agenzia francese per l'impiego), marzo 2024. 43 milioni di persone iscritte negli ultimi vent'anni: cognome, nome, data di nascita, numero di previdenza sociale, identificativo France Travail, indirizzi postale ed e-mail, telefono. Né password, né coordinate bancarie.
- Operatori di pagamento delle mutue sanitarie (Viamedis, Almerys), febbraio 2024. Più di 33 milioni di assicurati: cognome, nome, data di nascita, numero di previdenza sociale, nome della mutua e garanzie del contratto.
- Pass'Sport (Ministero dello Sport), dicembre 2025. 3,5 milioni di famiglie secondo il ministero, 6,4 milioni di indirizzi e-mail censiti da Have I Been Pwned: nome, sesso, indirizzo postale, telefono, e-mail. Dati provenienti dalla cassa degli assegni familiari (CAF), dalla MSA e dai Crous; né dati bancari, né password.
- Fisco, 2026. Da fine gennaio a metà febbraio, il registro nazionale dei conti bancari (FICOBA), consultato con le credenziali rubate di un funzionario: 1,2 milioni di conti, coordinate bancarie, identità e indirizzo del titolare. Da giugno ad agosto, i dati fiscali di 678 000 privati e professionisti: reddito di riferimento, quoziente familiare, aliquota di ritenuta, indirizzi e superfici catastali.
- Agenzia dei documenti d'identità (ANTS), aprile 2026. 11,7 milioni di account del servizio che rilascia carte d'identità, passaporti e patenti: identificativo, titolo, cognome, nomi, e-mail, data di nascita; talvolta indirizzo postale, luogo di nascita, telefono. Né allegati, né dati biometrici.
La CNIL, l'autorità francese per la protezione dei dati, ha contato 6 167 violazioni di dati nel 2025, un record, di cui una quarantina hanno toccato ciascuna più di un milione di persone; un incidente su due è un attacco informatico, e amministrazione, sanità e finanza sono le più colpite. Nello stesso anno l'ANSSI, l'agenzia nazionale per la cybersicurezza, ha trattato 460 eventi di possibili fughe di dati; ministeri ed enti locali rappresentano una segnalazione su quattro.
Cosa ne fanno i pirati
- Incrociano. Una riga dell'agenzia per l'impiego, una degli assegni familiari, una del fisco: messe in fila, danno il vostro nome, la vostra età, il vostro indirizzo, il vostro numero di previdenza sociale, la vostra banca e la vostra situazione.
- Rivendono. Questi file circolano a lotti su forum specializzati e vengono riutilizzati per anni. Una fuga del 2024 alimenta ancora le chiamate del 2026.
- Chiamano. Il falso consulente bancario, il falso funzionario del fisco o degli assegni comincia recitando il vostro fascicolo: «Lei è il signor X, nato il…, in via Y 12?» Ogni dettaglio esatto compra il successivo, che è falso.
- Mirano. SMS ed e-mail a vostro nome, con il vostro ente e il vostro numero di beneficiario; una richiesta di «aggiornare» le vostre coordinate bancarie; crediti o abbonamenti aperti a vostro nome.
Per sapere se il vostro indirizzo e-mail compare in una fuga già pubblicata: Have I Been Pwned, il registro di riferimento, gratuito. Non tutte le fughe vi compaiono: quelle di France Travail, del fisco e dell'ANTS non sono state rese pubbliche.
Cosa cambia
Niente di ciò che si sa di voi prova chi vi parla. Il vostro nome, il vostro indirizzo, il vostro numero di previdenza sociale, i nomi dei vostri figli: tutto questo è in un file, da qualche parte. Nemmeno il nome che compare sullo schermo: un numero si usurpa.
Le due parole, invece, non sono in nessun file. Nascono sui vostri due telefoni, cambiano ogni dieci minuti e non passano per nessun server. Sono l'unica cosa che un fascicolo rubato non contiene.
Fonti ufficiali: CNIL (indagini France Travail e Viamedis/Almerys, sanzione a France Travail del gennaio 2026, rapporto annuale 2025, comunicato sull'attacco al fisco), Ministero dell'Interno (aggiornamento ANTS del 21 aprile 2026), impots.gouv.fr ed economie.gouv.fr (FICOBA, accessi illegittimi dell'agosto 2026), Ministero dello Sport e Cnaf (Pass'Sport), ANSSI (Panorama della minaccia cyber 2025), Have I Been Pwned. Cifre aggiornate al 4 settembre 2026.
Cosa fare, concretamente?
Durante la chiamata
Non date nulla, annotate cosa ci sarebbe da sistemare, riagganciate voi stessi, richiamate il numero salvato. La guida ve lo fa fare in ordine, e l'app lo fa con voi, schermo dopo schermo.
Prima della chiamata
Installate TrustWords con il vostro caro, fianco a fianco, una volta. Poi due parole condivise, rinnovate ogni dieci minuti, che solo chi chiama davvero può annunciare. Gratuita per due cari.
Dopo la chiamata
Segnalate, anche senza perdita: in Francia, Info Escroqueries allo 0 805 805 817 (gratuito), Cybermalveillance.gouv.fr per essere orientati, e la denuncia online. Avvertite i vostri cari: i truffatori richiamano.