Spoofing Telefonico: Multe AGCOM e Rischi PMI 2026

Sono le 9:12 di un martedì qualunque. Il CFO della tua PMI meccanica con 4,2 milioni di fatturato sta chiudendo il castelletto bancario per il rinnovo di una linea di credito da 300.000 euro. Il telefono squilla: sul display compare il numero verde della sua banca. Risponde. Dall'altra parte una voce professionale chiede conferma dei dati di accesso all'home banking per 'sbloccare un pagamento urgente'. Trenta secondi dopo, il conto è svuotato di 87.000 euro. Non è un film. È spoofing telefonico, la tecnica con cui i criminali falsificano il numero chiamante per impersonare banche, fornitori o enti pubblici. E ora AGCOM ha inferto un colpo durissimo: 822.500 euro di multa a Retelit Digital Services e Tekmind per aver consentito la falsificazione di numeri italiani.

Perché questa notizia deve interessare il titolare di una PMI? Perché lo spoofing non è solo un problema di privacy o di diritto penale. È un rischio finanziario diretto che impatta la tesoreria, il circolante e la sostenibilità del DSCR. Un bonifico di 87.000 euro sottratto con l'inganno non è coperto da assicurazioni nella maggior parte dei casi, non è recuperabile facilmente e costringe l'azienda a ricorrere a nuovo debito per far fronte ai pagamenti correnti. In un contesto 2026 in cui il rating MCC e la Centrale Rischi pesano come macigni sull'accesso al credito, un ammanco di liquidità improvviso può trasformarsi in una spirale pericolosa. Questo articolo ti spiega cosa è successo, perché la multa AGCOM cambia le regole del gioco e come proteggere la tua azienda con azioni concrete da domani mattina.

Quadro Normativo e Analisi del Problema: Cos'è lo Spoofing e Perché AGCOM Colpisce Duro

Lo spoofing telefonico è la manipolazione tecnica del numero chiamante (CLI, Calling Line Identification) che fa apparire una chiamata proveniente dall'estero come se arrivasse da un numero italiano, spesso di banca, PA o grande azienda. È una pratica vietata dal Codice delle Comunicazioni Elettroniche e sanzionata dall'AGCOM con multe che, nel caso Retelit-Tekmind, hanno raggiunto 822.500 euro complessivi.

Il meccanismo è semplice quanto pericoloso: un call center estero o un'organizzazione criminale acquista servizi di terminazione VoIP da operatori compiacenti o negligenti. Questi operatori non verificano l'autenticità del CLI e permettono che il numero visualizzato sia italiano. La vittima, vedendo un numero familiare, abbassa le difese. Il vishing (voice phishing) si trasforma così in authorized push payment fraud: il bonifico parte con l'autorizzazione della vittima stessa, rendendo il recupero quasi impossibile.

AGCOM, con la delibera recente, ha stabilito un principio fondamentale: gli operatori di telecomunicazioni sono responsabili della filiera. Se non adottano misure di verifica del CLI, pagano. Questo sposta l'attenzione dalla sola repressione penale alla compliance di filiera. Per le PMI significa una cosa sola: il rischio non è solo 'essere truffati', ma anche 'non aver adottato presidi adeguati'.

La normativa di riferimento include il Regolamento EIDAS, il Codice delle Comunicazioni Elettroniche (D.Lgs. 259/2003) e le linee guida AGCOM sul CLI. In parallelo, l'ACN (Agenzia per la Cybersicurezza Nazionale) ha pubblicato alert specifici su spoofing e frodi BEC (Business Email Compromise). Il messaggio è chiaro: la sicurezza delle comunicazioni è parte integrante della gestione finanziaria d'impresa.

Per un CFO, il problema si traduce in tre domande: quanto liquido posso perdere in un singolo evento? Qual è l'impatto sul mio cash flow operativo? E soprattutto, il mio sistema di controlli interni è in grado di prevenirlo?

Impatto Finanziario e Metriche di Bilancio: Quanto Costa Davvero uno Spoofing Riuscito

Simuliamo un caso concreto. PMI manifatturiera, fatturato 4,2 milioni, EBITDA 420.000 euro (10%), PFN 1,1 milioni, DSCR 1,25. Un dipendente dell'amministrazione riceve una chiamata spoofata dal 'direttore commerciale' che chiede un bonifico urgente di 120.000 euro per un fornitore estero. Il bonifico parte.

Ecco l'impatto su DSCR e circolante:

1. Liquidità immediata: -120.000 euro. Se l'azienda ha 250.000 euro di liquidità, perde il 48% della cassa disponibile. Il cash flow operativo mensile si contrae.

2. DSCR: il denominatore (servizio del debito) resta invariato, ma il numeratore (cash flow operativo) crolla. Con un CFADS di 350.000 euro e servizio debito di 280.000, il DSCR scende da 1,25 a 1,07. Sotto la soglia di sicurezza di 1,20 richiesta da molte banche.

3. PFN/EBITDA: la PFN aumenta di 120.000 euro (se si ricorre a nuovo debito per coprire il buco). Il rapporto passa da 2,6x a 2,9x. Il rating bancario peggiora.

4. Centrale Rischi: se l'azienda non riesce a onorare una rata per mancanza di cassa, scatta la segnalazione. Un ritardo di 30 giorni viene classificato come 'scaduto' e incide negativamente sul rating MCC.

5. Costo del debito: un peggioramento del rating può aumentare lo spread dello 0,5-1%. Su 1 milione di debito, sono 5.000-10.000 euro annui di interessi in più.

Ma il costo non è solo finanziario. Ci sono spese legali (5.000-15.000 euro), consulenza informatica (3.000-8.000 euro), tempo perso dal management. E soprattutto, la reputazione: se lo spoofing ha coinvolto clienti o fornitori, il danno commerciale può essere ben superiore.

La multa AGCOM da 822.500 euro, paradossalmente, è un segnale positivo per le PMI: significa che le autorità stanno colpendo la filiera. Ma non basta. La responsabilità di proteggersi resta in capo all'azienda.

Guida Operativa per l'Impresa: Cosa Fare da Domani Mattina

Ecco un protocollo in 5 step per il titolare o il CFO.

Step 1 – Mappatura dei processi di pagamento. Elenca tutti i soggetti autorizzati a disporre bonifici. Definisci soglie: fino a 5.000 euro un solo firmatario, oltre 5.000 euro doppia autorizzazione. Oltre 20.000 euro, verifica telefonica su numero noto (non quello chiamante).

Step 2 – Formazione del personale. Organizza una sessione di 60 minuti su spoofing e vishing. Regola d'oro: nessuna banca chiede mai credenziali, codici OTP o bonifici urgenti al telefono. Se hai dubbi, riaggancia e chiama tu il numero ufficiale.

Step 3 – Verifica del CLI e strumenti tecnici. Attiva sul centralino sistemi di verifica del chiamante. Valuta soluzioni di STIR/SHAKEN (standard di autenticazione delle chiamate) se disponibili dal tuo operatore. Per le email, implementa DMARC, DKIM e SPF.

Step 4 – Polizza assicurativa e clausole contrattuali. Verifica se la tua polizza cyber include copertura per frodi da social engineering. Molte polizze standard escludono l'errore umano. Integra clausole con i fornitori che prevedano canali di pagamento verificati.

Step 5 – Piano di crisi. Se subisci una frode, agisci entro 24 ore: denuncia alla Polizia Postale, richiesta di storno alla banca, blocco dei pagamenti, comunicazione all'ACN. Il tempo è il fattore critico per il recupero.

Domande Frequenti (FAQ)

D: La banca rimborsa i bonifici effettuati a seguito di spoofing?
R: Nella maggior parte dei casi no, perché il bonifico è stato autorizzato dalla vittima. Solo se si dimostra una grave negligenza della banca nella custodia delle credenziali si può tentare il recupero. La prevenzione è l'unica vera difesa.

D: La multa AGCOM a Retelit e Tekmind mi tutela come impresa?
R: Indirettamente sì, perché crea un deterrente per gli operatori. Ma non elimina il rischio. La responsabilità di adottare controlli interni resta tua.

D: Come posso verificare se il mio operatore telefonico adotta misure anti-spoofing?
R: Chiedi formalmente al tuo provider se implementa la verifica del CLI e se aderisce agli standard STIR/SHAKEN. Puoi anche segnalare numeri sospetti all'AGCOM tramite il portale dedicato.

D: Quali sono i settori più colpiti?
R: Manifatturiero, costruzioni, logistica e servizi professionali. Le PMI con transazioni internazionali e fornitori esteri sono particolarmente vulnerabili.