Toll fraud 2026: proteggi la tua telefonia IA dalle frodi
Il toll fraud è una frode sui costi telefonici: i criminali fanno in modo che la tua linea, il tuo centralino o il tuo assistente telefonico IA effettui chiamate costose – verso numeri a sovrapprezzo o destinazioni internazionali su cui guadagnano una commissione. La bolletta arriva a te. Per proteggerti contano soprattutto tre leve: bloccare i paesi di destinazione e i numeri speciali, controllare ogni numero prima di comporlo (anche quelli di inoltro) e limitare tecnicamente i costi, per esempio con credito prepagato invece di una fattura aperta.
Questo articolo si concentra sulla frode sui costi e sulle tariffe. Conversazioni manipolate, clonazione vocale e prompt injection sono trattate nell'articolo Sicurezza della telefonia IA – protezione dalle frodi con voice bot. I due temi vanno insieme, ma le misure di protezione sono diverse.
Che cos'è il toll fraud?
Il toll fraud (frode sulle tariffe telefoniche) è qualsiasi frode in cui qualcuno genera, senza autorizzazione e tramite l'account di altri, chiamate o SMS a pagamento per incassare una parte dei costi. Paga il titolare dell'account; il truffatore incassa tramite la ripartizione dei ricavi su numeri di destinazione costosi.
Il problema è vecchio, ma non è diminuito. L'associazione di settore CFCA (Communications Fraud Control Association) ha stimato nel suo Global Fraud Loss Survey 2023 perdite mondiali da frodi nelle telecomunicazioni per circa 38,95 miliardi di dollari USA (sintesi di TNS). Nella sua documentazione per sviluppatori, Twilio stima le perdite dovute al solo International Revenue Share Fraud in circa 10 miliardi di dollari all'anno.
Anche in Germania l'abuso di numeri è quotidiano: secondo un comunicato del 9 febbraio 2026, l'Agenzia federale delle reti (Bundesnetzagentur) ha ricevuto 85.158 reclami nel 2025, disattivato circa 6.200 numeri e vietato fatturazione e incasso per oltre 2.000 numeri. Tra i temi: hacking dei router, code d'attesa costose e false hotline.
Quali truffe si nascondono dietro la frode telefonica?
Le tre truffe principali sono l'IRSF (chiamate verso costosi numeri internazionali con ripartizione dei ricavi), il Wangiri (squilli che spingono a richiamare un numero caro) e l'SMS pumping (SMS inviati in massa verso numeri su cui i truffatori guadagnano). Tutte e tre seguono lo stesso principio: ogni minuto o messaggio porta soldi al truffatore.
IRSF – International Revenue Share Fraud
I truffatori noleggiano blocchi di numeri in paesi con tariffe di terminazione elevate o presso fornitori di numeri internazionali a sovrapprezzo. Poi generano quante più chiamate lunghe possibile verso quei numeri – tramite centralini violati, account cloud compromessi o sistemi automatici che compongono su richiesta. I costi vengono ripartiti tra operatori e titolare del numero. Twilio precisa che i clienti sono responsabili di tutto l'utilizzo del proprio account.
Wangiri – gli squilli «ping»
«Wangiri» è giapponese e significa più o meno «uno squillo e riattacca». Il telefono squilla per un attimo e sul display resta un numero sconosciuto. Chi richiama finisce su una destinazione costosa e viene trattenuto in linea con annunci registrati. Nella sua pagina sulle chiamate ping, la Bundesnetzagentur mette in guardia da prefissi simili a quelli tedeschi, come il Madagascar (00261) e Coblenza (0261).
SMS pumping (traffico gonfiato artificialmente)
Qui i bot attaccano moduli web che inviano un codice via SMS – registrazione, login, richiesta di demo. Inseriscono migliaia di numeri da fasce costose; ogni SMS ti costa denaro e il truffatore incassa la sua parte. La guida di Twilio sull'SMS pumping lo descrive come traffico falso generato per gonfiare i costi.
Perché la telefonia IA è un nuovo punto d'ingresso per il toll fraud?
La telefonia IA è esposta al toll fraud perché un agente vocale può comporre con un clic, 24 ore su 24 e senza controllo umano – qualsiasi numero fornito da un modulo, da un'API o da una lista CRM. Una persona esiterebbe se le chiedessero di chiamare 40 volte di fila un numero in Africa orientale. Un sistema non protetto no.
Punti di attacco tipici nella telefonia IA:
- Moduli di richiamata e chiamate demo: «Inserisci il tuo numero e la nostra IA ti chiama» è un ottimo argomento di vendita – e un invito per i bot a inserire numeri di destinazione costosi.
- Codici via SMS o chiamata: la conferma tramite codice protegge dai numeri di terzi, ma genera a sua volta costi. Senza limiti, l'invio dei codici diventa un bersaglio di pumping.
- API e automazioni: gli ordini di chiamata da CRM, flussi Zapier o strumenti MCP partono senza che nessuno guardi il numero. Una chiave API rubata basta per centinaia di chiamate.
- Inoltri di chiamata: molti agenti vocali passano la chiamata a una persona su richiesta. Se il numero di inoltro viene cambiato in un numero a sovrapprezzo, ogni chiamante finisce lì a tue spese.
- Durata lunga: i truffatori tengono aperta la linea con annunci registrati. Un agente IA educato senza limite di tempo ascolta pazientemente – minuto dopo minuto.
La conseguenza: la telefonia IA ha bisogno delle stesse protezioni di un centralino tradizionale, ma applicate con più rigore, perché non c'è più una persona in mezzo.
Trappole di costo tipiche: numeri a sovrapprezzo, destinazioni estere, inoltri
In Germania queste numerazioni sono particolarmente rilevanti per il toll fraud. Hanno usi legittimi, ma un agente vocale aziendale non ha praticamente mai bisogno di chiamarle:
| Numerazione (Germania) | Uso | Rischio di toll fraud |
|---|---|---|
| 0900 | Servizi a sovrapprezzo (premium) | Tariffe al minuto elevate, versate direttamente al fornitore |
| 0137 / 0138 | Servizi di chiamata di massa (es. televoto) | Addebito per chiamata, facile da generare in massa |
| 0180 / 0181 | Numeri di servizio e reti virtuali internazionali | Più cari di una normale chiamata fissa |
| 019x | Servizi online e speciali | Raramente legittimi nel B2B |
| 0700 | Numeri personali | Possono inoltrare verso qualsiasi destinazione, anche costosa |
| 118xx | Servizi di informazione elenco abbonati | Tariffe alte, spesso con trasferimento |
| Estero | Soprattutto destinazioni con tariffe di terminazione alte | Bersaglio principale dell'IRSF |
La Bundesnetzagentur descrive lo schema nella sua pagina sull'hacking dei router: i criminali accedono al router o al centralino e chiamano numeri esteri, (0)180 o (0)900. Spesso nessuno se ne accorge finché l'operatore non segnala connessioni insolite o arriva la bolletta.
Tre trappole spesso trascurate:
- Fasce mobili e a sovrapprezzo nei paesi consentiti: anche se un paese è abilitato, alcune numerazioni possono essere a sovrapprezzo.
- Numeri di inoltro e di richiamata: spesso si controlla solo il numero che l'agente compone – non quello verso cui inoltra.
- Prefissi ingannevoli: un prefisso estero simile a uno locale supera un controllo visivo.
Come ti proteggi dal toll fraud? La checklist
La protezione più efficace contro il toll fraud è abilitare solo i paesi di destinazione necessari, bloccare di default i numeri speciali, controllare ogni numero prima di comporlo e limitare rigidamente i costi con soglie e credito prepagato. Nessuna misura basta da sola; solo la combinazione rende la frode telefonica poco conveniente.
La checklist per le aziende che usano la telefonia IA o moduli di richiamata:
- Whitelist dei paesi: abilita solo i paesi che chiami davvero. Nella sua documentazione sulle Geo Permissions, Twilio raccomanda esplicitamente di abilitare solo i paesi e le fasce a basso rischio che ti servono.
- Blocco dei numeri speciali: blocca 0900, 0137/0138, 0180/0181, 019x, 0700 e 118xx, oltre alle fasce internazionali premium e a costo condiviso. Secondo la Bundesnetzagentur, gli operatori tedeschi bloccano gratuitamente le numerazioni (0)900 a livello di rete su richiesta.
- Controllare gli inoltri: ogni numero di inoltro passa lo stesso controllo dei numeri composti.
- Limiti di frequenza: soglie per numero di destinazione, per indirizzo IP, per account e per giorno – per chiamate e codici SMS.
- Protezione anti-bot nei moduli: CAPTCHA come Cloudflare Turnstile, campi honeypot e rilevamento di schemi sospetti.
- Doppio opt-in con codice: richiama solo dopo che la persona ha confermato con un codice via SMS o chiamata che il numero è suo.
- Fasce orarie e durata: chiamate solo in orari fissi e con durata massima.
- Prepagato invece di fattura aperta: il credito limita il danno massimo; quando è esaurito, non partono nuove chiamate.
- Blocco dell'account in caso di sospetto: ferma gli account sospetti, in automatico o a mano, prima che il danno cresca.
- Monitoraggio: rendi visibili destinazioni insolite, picchi e attività notturna; controlla regolarmente fatture e tabulati.
- Accessi protetti: password forti e uniche, chiavi API con permessi ristretti, aggiornamenti per router e centralini.
Rischio → misura: il toll fraud in sintesi
| Rischio | Scenario tipico | Misura efficace |
|---|---|---|
| IRSF verso l'estero | Un account violato chiama numeri esteri costosi | Whitelist dei paesi, blocco delle fasce premium |
| Numeri a sovrapprezzo | L'agente deve chiamare un 0900 o un 118xx | Blocco dei numeri speciali in ogni paese |
| Inoltro manipolato | La destinazione dell'inoltro diventa un numero premium | Controllare i numeri di inoltro come quelli composti |
| Abuso del modulo di richiamata | I bot inseriscono numeri di terzi o costosi | CAPTCHA, doppio opt-in con codice, limitazione per paese |
| SMS pumping | Invio massivo di codici di verifica | Limiti per numero, IP e giorno |
| Wangiri | Richiamata di un numero esca | Mai richiamare in automatico numeri esteri sconosciuti |
| Chiave API rubata | Ordini di chiamata automatici senza controllo | Scope, approvazione umana delle liste di chiamata |
| Costi illimitati | La fattura mostra il danno settimane dopo | Credito prepagato, monitoraggio, blocco dell'account |
Cosa fare se sei vittima di una frode telefonica?
Se sei vittima di toll fraud, blocca subito gli accessi coinvolti, cambia password e chiavi, contesta la fattura e segnala il caso alle autorità e alla polizia. Più reagisci in fretta, più il danno resta contenuto.
Per l'hacking di router e centralini in Germania, la Bundesnetzagentur raccomanda in concreto:
- Contestare la fattura: opponiti senza indugio presso l'operatore e chiedi il dettaglio delle chiamate.
- Verificare l'addebito diretto: se hai pagato con addebito diretto, puoi farlo stornare e pagare solo l'importo non contestato.
- Presentare un reclamo: segnala il caso alla Bundesnetzagentur con fattura e tabulato. Può disattivare numeri e vietare fatturazione e incasso.
- Sporgere denuncia: alla polizia, perché dietro la frode telefonica c'è di norma un reato.
Per la telefonia cloud e le piattaforme IA, segnala l'incidente anche direttamente al fornitore, così può bloccare account, numeri e chiavi API. Poi verifica che paesi, inoltri e limiti siano impostati correttamente.
Come fa anicall.io
anicall.io è un assistente telefonico IA per aziende dell'area DACH (Germania, Austria, Svizzera), gestito da mysoftwarelab GmbH di Worms, in Germania. Poiché i nostri agenti vocali compongono da soli, la protezione dalle frodi tariffarie è integrata e non opzionale:
- Protezione di composizione per numeri speciali: numeri a sovrapprezzo, speciali, di servizio e di emergenza (es. 0900, 0137/0138, 0180/0181, 019x, 0700, 118xx) non vengono mai chiamati – in nessun paese. Inoltre sono bloccati tutti i numeri classificati come premium o a costo condiviso.
- Paesi di destinazione per account: di default Germania, Austria e Svizzera. Altri paesi si possono abilitare solo da un elenco fisso (nucleo UE, Regno Unito, USA, Canada).
- Anche gli inoltri vengono controllati: il numero per il trasferimento in diretta a una persona passa lo stesso controllo di ogni numero composto.
- Richiamata demo solo dopo conferma con codice: la chiamata demo sulla homepage avviene solo dopo che il numero è stato confermato con un codice via SMS o chiamata. Le chiamate avvengono solo in orari fissi e con limiti massimi.
- Approvazione umana: le liste di chiamata da API, CRM o MCP partono solo dopo l'approvazione di una persona. C'è anche una lista «non chiamare» valida per tutto l'account.
- Blocco dell'account in caso di sospetto: gli account possono essere bloccati in caso di sospetto abuso.
- Token prepagati invece di fattura aperta: nessun canone, nessun abbonamento. 1 token corrisponde a 1 centesimo netto; le chiamate in entrata costano 13 token al minuto, quelle in uscita verso fissi 16 e verso cellulari o l'estero 62 token. Quando il saldo è esaurito non partono nuove chiamate; una chiamata in corso è limitata al saldo residuo.
Un esempio di calcolo dalla pagina prezzi: 300 minuti in entrata al mese più un numero fanno 300 × 13 + 180 = 4.080 token, cioè 40,80 € netti. Sai in anticipo qual è il caso peggiore. Per database, crittografia e approvazioni trovi tutto in Sicurezza e privacy; come l'agente in uscita chiama in modo lecito lo spiega la pagina del setter IA.
Domande frequenti
Qual è la differenza tra toll fraud e IRSF?
Toll fraud è il termine generale per la frode tariffaria in telefonia. L'IRSF (International Revenue Share Fraud) ne è la forma più diffusa: i truffatori generano chiamate verso costosi numeri internazionali e ricevono una parte dei ricavi.
Chi paga in caso di toll fraud?
Di norma il titolare della linea o dell'account da cui sono partite le chiamate. Fornitori di telefonia come Twilio rendono i clienti esplicitamente responsabili di tutto l'utilizzo. Per questo blocchi e limiti conviene impostarli prima che succeda qualcosa.
Basta bloccare i numeri 0900?
No. Lo 0900 è solo una delle numerazioni costose, e gran parte dell'IRSF passa da destinazioni estere. Ti servono anche una whitelist dei paesi, il controllo dei numeri di inoltro e dei limiti.
Come proteggo un modulo di richiamata dagli abusi?
Combina protezione anti-bot (es. CAPTCHA), conferma del numero con codice via SMS o chiamata, limitazioni per paese e limiti per numero, IP e giorno. Richiama solo a numero confermato e limita fasce orarie e durata delle chiamate.
Il prepagato protegge davvero dalla frode telefonica?
Il prepagato non impedisce l'attacco, ma limita il danno massimo al credito disponibile. Con una fattura aperta il toll fraud emerge spesso settimane dopo; con il prepagato tutto si ferma al più tardi quando il saldo è a zero.
Metti alla prova la protezione: prova la demo dal vivo su anicall.io: chiama la reception IA direttamente dal browser o richiedi una chiamata demo – che arriva solo dopo aver confermato il tuo numero con un codice. Poi puoi iniziare gratis su anicall.io: il test dell'agente nel browser non costa nulla e i token ti servono solo per le chiamate reali. Gli agenti telefonici parlano per ora tedesco.