Il CLI spoofing è la tecnica con cui chi telefona fa comparire sul display un numero diverso da quello reale. La usano call center abusivi e truffatori per farsi rispondere o per spacciarsi per un’azienda conosciuta. Nel 2026 il Garante privacy ne ha documentato l’uso nel telemarketing e AGCOM è intervenuta con delibere dedicate: ecco cosa sapere e cosa fare, sia se la tua azienda fa chiamate sia se le riceve.
In breve
- CLI sta per Calling Line Identification, l’identificazione della linea chiamante: lo spoofing la altera per mascherare chi chiama.
- Il 23 luglio 2026 il Garante ha sanzionato TIM per 9.516.000 euro; tra i fatti, circa 7.000 chiamate indesiderate nel 2025 da numeri non censiti nel ROC o alterati.
- Nel 2025 il Garante ha ricevuto oltre 104.000 segnalazioni di chiamate indesiderate, e più di 37.000 nei primi sette mesi del 2026.
- Il Registro pubblico delle opposizioni vale anche per i cellulari e revoca i consensi al telemarketing dati in precedenza.
Che cos’è il CLI spoofing e perché funziona
Quando arriva una chiamata, il telefono mostra il numero della linea chiamante. Con lo spoofing quel numero viene camuffato: può sembrare un numero locale, un cellulare qualunque o il centralino di un’azienda nota. Nei provvedimenti del Garante si parla di «tecniche di camuffamento del numero chiamante» e di «numerazioni non rintracciabili o alterate».
Funziona perché ci fidiamo del numero: rispondiamo più volentieri a un prefisso conosciuto e richiamiamo un numero che sembra familiare. Per le aziende il danno è doppio. Chi fa telemarketing in modo corretto si trova in concorrenza con chi lo fa in modo illegale, e chi riceve chiamate rischia di dare informazioni o eseguire richieste a un interlocutore che non è chi dice di essere.
Le misure AGCOM e il ruolo del ROC
AGCOM, l’Autorità per le garanzie nelle comunicazioni, è intervenuta sul fenomeno con le delibere n. 106/25/CONS e n. 271/25/CONS. Nel procedimento chiuso dal Garante a luglio 2026 l’operatore sanzionato le ha richiamate come esempio di interventi regolatori di sistema contro lo spoofing, sostenendo che finora si siano rivelate solo parzialmente efficaci «a causa della capacità adattiva delle reti illecite». Il Garante non si è pronunciato su queste misure e ha comunque ritenuto l’azienda responsabile dei controlli sulla propria filiera. Per contenuti tecnici e date di applicazione fai riferimento ai testi delle delibere pubblicati da AGCOM.
L’altro riferimento è il ROC, il Registro degli operatori di comunicazione. Gli operatori di call center sono tenuti a iscriversi, come ricorda il Garante richiamando una comunicazione AGCOM del 13 febbraio 2017. Una chiamata commerciale da un numero che non risulta legato a un operatore registrato è un primo segnale d’allarme.
Cosa ha accertato il Garante nel caso del telemarketing
Nel provvedimento del 23 luglio 2026 il Garante descrive uno schema in tre passaggi:
- chiamate verso numeri iscritti al Registro delle opposizioni, con il numero chiamante camuffato, per proporre servizi dell’operatore;
- un SMS con il link a una pagina con un modulo, che generava una finta richiesta di contatto;
- una nuova chiamata da un numero registrato nel ROC, che faceva apparire regolare il contratto.
Il Garante ha respinto l’idea che lo spoofing fatto da terzi tolga responsabilità al committente. L’adesione a un codice di condotta «non esonera il titolare del trattamento dall’obbligo di vigilare sull’operato dei propri partner», anche se può essere considerata per calibrare la sanzione. Ha contestato anche procedure di disiscrizione troppo complesse e risposte mancate o tardive alle richieste degli utenti, e ha ordinato di correggere la raccolta dei contatti e rafforzare i controlli sulla rete di vendita.
Registro delle opposizioni e telemarketing in breve
- Il Registro è disciplinato dal DPR 27 gennaio 2022, n. 26 ed è stato esteso a tutti i numeri nazionali, compresi i cellulari. L’iscrizione è gratuita.
- Chi si iscrive non può essere contattato per pubblicità, vendita diretta, comunicazioni commerciali o ricerche di mercato, con operatore o con chiamate automatiche, e i consensi dati in precedenza sono revocati.
- Restano possibili le chiamate legate a contratti attivi o cessati da non più di 30 giorni e quelle basate su un consenso specifico dato dopo l’iscrizione.
- Per le violazioni si applicano le sanzioni del GDPR, fino a 20 milioni di euro o, se superiore, al 4% del fatturato mondiale annuo.
- Il codice di condotta per telemarketing e teleselling è stato approvato dal Garante il 9 marzo 2023, con efficacia legata all’accreditamento dell’organismo di monitoraggio, avvenuto con il provvedimento del 7 marzo 2024, come ricorda anche la relazione del Garante sul 2024.
Cosa fare se la tua azienda fa telemarketing o lo affida a partner
- Lavora solo con partner iscritti al ROC e fatti dare l’elenco dei numeri che useranno. Vieta per contratto i numeri alterati.
- Verifica consensi e Registro delle opposizioni prima di ogni campagna.
- Controlla le anomalie: il Garante indica, ad esempio, volumi di contatti superiori ai contatti richiesti.
- Rendi semplice la disiscrizione e rispondi nei tempi alle richieste di accesso, cancellazione e opposizione.
- Pubblica sul sito i numeri ufficiali da cui chiami, così i clienti possono verificarli.
Cosa fare se la tua azienda riceve chiamate
Il numero sul display non è una prova di identità. Per richieste delicate, come il cambio di un IBAN, un pagamento urgente o la comunicazione di dati riservati, chiudi e richiama tu il numero ufficiale dell’interlocutore. Spiega ai clienti quali dati non chiederai mai al telefono e mettilo per iscritto nelle comunicazioni.
Lo stesso vale se usi un agente vocale per rispondere alle chiamate in entrata, come AVI: il numero chiamante può aiutare a riconoscere un cliente, ma per dati riservati o modifiche servono verifiche ulteriori o il passaggio a una persona. Gli assistenti che configuriamo si presentano come assistenti virtuali e passano la conversazione a un operatore quando serve.
Per le chiamate indesiderate, il Garante consiglia di rivolgersi prima all’azienda per cui si chiama, opponendosi a nuovi contatti, e di segnalare al Garante con il servizio online se le chiamate continuano.
Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale: verifica sempre i testi aggiornati di Garante e AGCOM.
Domande frequenti
Come capisco se una chiamata usa un numero falsificato?
Spesso non è possibile capirlo dal display. Sono segnali di allarme l’urgenza, la richiesta di dati o pagamenti e un numero che sembra familiare ma non corrisponde a quelli ufficiali. Nel dubbio chiudi e richiama il numero pubblicato sul sito dell’azienda.
Il Registro delle opposizioni ferma anche le chiamate con numero falsificato?
Il Registro vieta di usare i numeri iscritti per il telemarketing e il Garante sanziona chi lo viola. Chi usa numeri alterati però agisce già nell’illegalità: per questo contano anche le misure regolatorie, i controlli sulle filiere e le segnalazioni.
Se un call center esterno usa numeri alterati per conto mio, sono responsabile?
Secondo il Garante il committente deve vigilare sui propri partner e l’adesione a un codice di condotta non lo esonera. Nel caso del luglio 2026 la sanzione è stata applicata proprio all’azienda committente.
Dove si segnalano le chiamate indesiderate?
Prima all’azienda per cui viene fatta la promozione, chiedendo se ha il tuo consenso e opponendoti a nuovi contatti. Se le chiamate continuano, puoi segnalarle al Garante privacy con il servizio online dedicato.
Fonti
- Garante privacy, «Telemarketing, il Garante privacy sanziona Tim per 9,5 milioni di euro», 31 luglio 2026
- Garante privacy, «Provvedimento del 23 luglio 2026» (TIM S.p.A.)
- Garante privacy, «Telemarketing, nei primi 7 mesi del 2026 più di 37 mila segnalazioni di chiamate indesiderate», 20 ottobre 2026
- Garante privacy, «Telemarketing (chiamate indesiderate)», pagina tematica
- Garante privacy, «Call center», pagina tematica
- Garante privacy, «Provvedimento di approvazione del codice di condotta per le attività di telemarketing e teleselling», 9 marzo 2023
- Garante privacy, «Relazione sull’attività 2024 - Sintesi per la stampa e documenti», 15 luglio 2025