Nei mesi tra il 2024 e il 2025 AGCOM ha condotto in parallelo due distinti procedimenti sanzionatori connessi al fenomeno detto “CLI spoofing” (messaggi e chiamate da numeri contraffatti, in breve) che, se letti insieme, raccontano qualcosa di più complesso di una semplice sequenza di sanzioni.
Raccontano la costruzione in fieri di un sistema di enforcement multilivello e che usa sia la sanzione che gli impegni come strumenti complementari per modificare i comportamenti degli operatori. E così cercare di bonificare l’ecosistema delle comunicazioni da alcuni problemi purtroppo noti a tutti.
Il primo procedimento riguarda Agile Telecom S.p.A.: fornitore di transito di medie dimensioni, ha veicolato SMS fraudolenti con un alias imputato all’istituto di credito BNL (ovviamente del tutto estraneo), proveniente da un operatore maltese non autorizzato. L’esito è una sanzione da 240.000 euro con la delibera 21/25/CIR dell’11 giugno 2025, pubblicata il 16 marzo 2026.
Il secondo provvedimento riguarda Telecom Italia Sparkle S.p.A. (“TIS”): uno dei principali carrier internazionali, in Italia, ha permesso chiamate provenienti da due società estere non autorizzate – Marfox Ltd. (UK) e Voip Albano Sh.p.k. (Albania) – usando numerazione geografica italiana già assegnata a terzi. Esito: impegni riparatori assunti dall’azienda e approvati con la delibera 36/24/CIR del 13 novembre 2024, procedimento archiviato con la delibera 8/26/CIR del 26 febbraio 2026 per aver adempiuto a tali impegni.
Stessa violazione sostanziale (traffico spoofing instradato da operatori internazionali, non autorizzati) trattata con strumenti diversi, con esiti diversi. Capire perché è essenziale per comprendere dove sta andando la regolazione italiana in questo settore.
Indice degli argomenti
Il fenomeno: cos’è il CLI spoofing e perché è così pericoloso
Il CLI spoofing, dall’inglese Calling Line Identification, è la manipolazione dell’identificativo del mittente in una comunicazione elettronica. Chi chiama, o chi invia un SMS, può alterare artificialmente il numero o il nome che appare sul display del destinatario, sostituendolo con uno a propria scelta.
Il risultato sono i cosiddetti smishing (phishing via SMS) e vishing (phishing vocale): il destinatario riceve un messaggio apparentemente da BNL, oppure per es. da Poste Italiane o dal numero del proprio medico, e abbassa le difese. È uno degli strumenti più efficaci dell’ingegneria sociale applicata alle frodi digitali.
La caratteristica che rende il fenomeno particolarmente insidioso è la sua natura transnazionale: i soggetti che manipolano il CLI operano spesso dall’estero, nascondendosi dietro catene di operatori interposti distribuiti in più giurisdizioni. Il traffico fraudolento entra nella rete italiana attraverso carrier internazionali, scivola lungo la filiera e arriva all’utente finale con un mittente apparentemente legittimo.
Individuare i responsabili originari è oggettivamente difficile, responsabilizzare chi nella catena italiana aveva gli strumenti per bloccarlo è, al contrario, molto più praticabile — ed è esattamente la scelta strategica di AGCOM che comincia a dare frutti.
Il contesto: un decennio di tentativi parziali
Il problema delle chiamate indesiderate e fraudolente non è nuovo e non è nemmeno privo di una storia regolatoria. Ciò che manca, fino ad oggi, sono stati risultati stabili e misurabili.
Il primo strumento sistematico è stato il Registro Pubblico delle Opposizioni (RPO), istituito dal D.P.R. 178/2010, inizialmente limitato alle utenze fisse e al marketing telefonico “tradizionale”. Il meccanismo era lineare: chi non voleva essere contattato si iscriveva, gli operatori di telemarketing erano tenuti a consultare il registro prima di comporre il numero.
Il risultato pratico è stato deludente per ragioni strutturali: le iscrizioni non vincolano chi chiama da numeri falsi, da centrali estere o attraverso catene di sub-appalto opache. Il D.P.R. 26/2022 ha in seguito esteso il RPO alle numerazioni mobili e alle comunicazioni cartacee, con decorrenza luglio 2022 – un’evoluzione attesa che però non ha inciso il problema alla radice.
La ragione è semplice: il RPO presuppone che il chiamante sia identificabile e raggiungibile giuridicamente, nel caso dello spoofing nessuno dei due presupposti è soddisfatto.
Sul fronte della tutela della privacy, il Garante ha costruito nel tempo un corpus sanzionatorio di tutto rispetto contro pratiche di telemarketing illecito e persino uno sportello dedicato alle chiamate abusive. Ma, anche qui, la deterrenza si è dimostrata spesso inefficace, con il chiamante materiale, spesso irraggiungibile perché operante all’estero attraverso numeri contraffatti.
La catena di responsabilità – call center estero, traffico “spoofed” – è rimasta sostanzialmente intatta.
AGCOM stessa aveva già tentato un approccio diretto con la delibera 112/19/CIR, con la quale nel 2019 aveva diffidato formalmente tutti gli operatori autorizzati ad adottare ogni misura utile a garantire la correttezza del CLI. Era un avvertimento chiaro, accompagnato dall’indicazione degli strumenti tecnici disponibili.
L’esito, come dimostrano i procedimenti qui analizzati, è stato di attuazione incompleta: la diffida era rimasta – per Agile come per TIS – un obbligo formale non accompagnato da meccanismi di verifica sistematica né da conseguenze immediate in caso di inottemperanza.
Il tratto comune di questi tentativi è la loro natura reattiva e frammentata: ogni strumento aggredisce una parte del fenomeno senza incidere sulla struttura complessiva della filiera. Il RPO tutela ex post i diritti dell’utente ma non blocca ex ante il traffico. Le sanzioni privacy colpiscono il mandante (se in Italia e identificato), ma non il vettore (estero).
Un tentativo di coordinamento più ambizioso e promettente è stato il Codice di condotta per le attività di telemarketing e teleselling, promosso dal Garante per la protezione dei dati personali e adottato nel 2023 ai sensi dell’art. 40 del GDPR.
Il Codice ha introdotto regole puntuali sulla gestione dei consensi, sulla durata della loro validità, sulla tracciabilità delle cessioni dei database e sulle modalità di contatto. Il meccanismo è strutturalmente più sofisticato del RPO e tenta di creare una filiera certificata di operatori conformi, in cui la provenienza del dato e la catena delle autorizzazioni siano verificabili.
Nella pratica, però, il Codice ha mostrato alcuni limiti tipici degli strumenti di autoregolazione: l’adesione rimane parziale, i soggetti più problematici – call center esteri, aggregatori di liste illecite, operatori che lavorano nel sottobosco – non vi partecipano e non hanno certo incentivi a farlo.
Il quadro normativo: una struttura a tre livelli
Venendo agli strumenti utili per comprendere quanto in esame, la fonte primaria è il D.Lgs. 259/2003 – il cosiddetto Codice delle Comunicazioni Elettroniche (“CCE”) – profondamente riformato dal D.Lgs. 8 novembre 2021, n. 207, e che ha recepito nell’ordinamento italiano la Direttiva (UE) 2018/1972 (Codice Europeo delle Comunicazioni Elettroniche), sostituendo integralmente i primi 98 articoli del CCE originario.
Il processo di riordino si è completato con il D.Lgs. 24 marzo 2024, n. 48, decreto correttivo che ha riassorbito in un corpus unitario tutte le modifiche accumulate nel tempo, rendendo finalmente leggibile un testo diventato un reticolo di rinvii sovrapposti.
Due disposizioni del CCE riformato sono centrali per entrambi i casi:
- l’art. 11 istituisce il regime dell’autorizzazione generale per la fornitura di reti e servizi di comunicazione elettronica in Italia. Qualunque soggetto – italiano o estero – che voglia operare nel mercato italiano deve essere in possesso di questo titolo rilasciato dal MIMIT. È la norma che Marfox, Voip Albano e 42 Telecom Ltd non rispettavano, e che tanto TIS quanto Agile avevano l’obbligo di verificare prima di accettarne il traffico;
- l’art. 30.12 fissa il range sanzionatorio per le violazioni degli obblighi degli operatori: da 240.000 a 5.000.000 di euro. L’art. 70.1, che compare invece nel procedimento TIS, disciplina l’interconnessione, stabilendo che un operatore estero che richiede accesso alla rete italiana senza fornirvi servizi non necessita di autorizzazione – ma che tale esenzione non si applica quando, in realtà, i servizi vengono forniti, sia pure indirettamente attraverso un carrier italiano.
Non solo: fondamentale nel caso TIS è la delibera AGCOM 8/15/CIR del 13 gennaio 2015, ove si adotta il Piano di Numerazione Nazionale e la sua disciplina attuativa. Le norme rilevanti riguardano:
- i diritti d’uso delle numerazioni, concessi esclusivamente a soggetti in possesso di autorizzazione generale. Quindi un carrier che consegna in Italia chiamate usando numerazione geografica nazionale già assegnata, proveniente da soggetti che non hanno titolo, viola il piano di numerazione;
- gli operatori di rete, i quali intervengono nella realizzazione di un servizio devono trasportare e inoltrare correttamente le informazioni CLI; il soggetto che fornisce il servizio al cliente che origina la comunicazione è responsabile della correttezza del CLI. È questa la norma che obbliga TIS a garantire che il CLI del traffico che transita sulla sua rete corrisponda a una numerazione legittimamente assegnata;
- il territorio, suddiviso in distretti con indicativi numerici precisi; le numerazioni geografiche non possono essere usate da chi non ne ha titolo al di fuori del territorio nazionale.
A questi si aggiunge la delibera 112/19/CIR, con cui AGCOM aveva già diffidato tutti gli operatori autorizzati ad adottare ogni misura per garantire la verifica della correttezza del CLI – un avvertimento formale, rimasto parzialmente inascoltato.
Per il caso Agile Telecom il riferimento centrale è invece la delibera AGCOM 12/23/CIR del 3 maggio 2023 che introduce il Regolamento sull’utilizzo dei caratteri alfanumerici (SMS Alias). Il testo definisce i ruoli nella filiera e stabilisce l’obbligo cardine: il fornitore di transito (“FT”) blocca la messaggistica con codifica non decimale ricevuta da soggetti privi di autorizzazione generale MIMIT. I messaggi bloccati devono essere comunicati mensilmente all’Autorità.
Il quadro regolatorio si completa con due provvedimenti fondamentali adottati nel corso del 2025: la delibera 106/25/CONS che introduce il Regolamento CLI, con obblighi tecnici di blocco automatico delle chiamate “spoofed” provenienti dall’estero: blocco delle chiamate con numerazione geografica italiana (in vigore dal 19 agosto 2025) e con numerazione mobile italiana (dal 19 novembre 2025), più requisiti di rilevamento comportamentale degli abusi.
A ciò si aggiunge la delibera 271/25/CONS la quale integra la precedente con disposizioni attuative sulle casistiche specifiche non espressamente disciplinate.
Completa il quadro la L. 689/1981 che governa il procedimento sanzionatorio amministrativo. Il suo art. 11 fornisce i criteri di commisurazione della sanzione (gravità, opera svolta per attenuare le conseguenze, personalità e condizioni economiche dell’agente), mentre l’art. 14-bis del D.L. 223/2006 – convertito in L. 248/2006 – abilita le imprese a presentare impegni nell’ambito di un procedimento sanzionatorio, con effetto sospensivo e possibilità di archiviazione in caso di corretta attuazione. Vedremo tra poco perché sia rilevante.
Spoofing e chiamate abusive: il caso Agile Telecom
La filiera ricostruita da AGCOM nel caso Agile è la seguente: Agile, nel ruolo di fornitore di transito, ha ricevuto SMS con alias “BNL” da 42 Telecom Ltd – società maltese priva di autorizzazione MIMIT – e li ha instradati verso la rete italiana senza verificare la posizione autorizzatoria del mittente. Gli SMS in questione contenevano, secondo quanto accertato, un tentativo di truffa.
La violazione contestata è l’art. 7.1 della delibera 12/23/CIR: obbligo di blocco della messaggistica con codifica non decimale ricevuta da soggetti non autorizzati. Agile ha tentato di difendersi invocando la sentenza TAR Lazio n. 1692/2024, la quale aveva parzialmente annullato la stessa delibera.
AGCOM ha smontato l’argomento: quella sentenza aveva eliminato le norme discriminatorie verso operatori esteri, non l’obbligo di verifica delle autorizzazioni – anzi, il testo stesso della pronuncia lo ribadisce espressamente.
Agile non ha depositato memorie difensive, avendo scelto il ricorso per ottemperanza al TAR. Il procedimento – vincolato al termine perentorio di 150 giorni – si è concluso con la sanzione nel minimo edittale: 240.000 euro, motivata dalle ridotte dimensioni dell’azienda (17 dipendenti), dalla limitata estensione dei fatti (due messaggi indagati) e dall’assenza di precedenti.
Spoofing e chiamate abusive: il caso Telecom Italia Sparkle
Il procedimento TIS presenta una struttura completamente diversa, e il suo esito finale – l’archiviazione del gennaio 2026 – merita un’analisi separata.
Con la prima contestazione TIS, operatore di transito internazionale, ha diffuso in Italia chiamate provenienti da Marfox Ltd. (UK) e Voip Albano Sh.p.k. (Albania), usando numerazione geografica italiana già assegnata a terzi. Le due società estere non erano operatori autorizzati: erano mere clienti commerciali di TIS, trattati come utenti finali pur svolgendo, in realtà, attività da carrier. Questo ha consentito il CLI spoofing verso utenti italiani, con il numero del destinatario che appariva appartenere a qualcun altro.
La violazione è costruita in modo diverso da quella di Agile, toccando la regolazione del Piano di Numerazione. Il problema si incentra sulla numerazione geografica usata impropriamente da soggetti non autorizzati attraverso un carrier italiano compiacente – o quantomeno negligente.
Dopodiché TIS, convocata in audizione AGCOM, ha scelto la strada degli impegni. La proposta definitiva, presentata dopo un articolato negoziato con AGCOM, prevede quattro misure vincolanti:
- clausole nei nuovi contratti di interconnessione internazionale che riservano a TIS il diritto di bloccare il traffico non conforme al CLI e di risolvere il contratto in caso di violazioni gravi e reiterate, con diffida formale alla prima violazione;
- per i nuovi partner UE, consultazione obbligatoria del database GADB gestito dal BEREC prima della firma del contratto; per gli operatori extra-UE, dichiarazione formale attestante il possesso dell’autorizzazione nazionale, con obbligo di produrre certificazione su richiesta e risoluzione del rapporto in caso di dichiarazione scorretta;
- implementazione di filtri per singola interconnessione internazionale che bloccano le chiamate prive del formato E.164, quelle con solo codice area senza numero abbonato, quelle senza campo CLI e quelle con solo prefisso +39;
- costituzione di una struttura con due rappresentanti TIS e un membro AGCOM, con report semestrali per due anni e funzione di supervisione attiva sull’attuazione degli impegni.
In parallelo agli impegni TIS ha consegnato ad AGCOM una tabella completa di tutti gli operatori interconnessi con TIS che hanno generato traffico verso l’Italia nell’anno, con Paese di appartenenza e volumi. Un atto di trasparenza significativo ed anche uno strumento operativo per l’eventuale monitoraggio.
Il risultato di tale percorso, verificato dopo un anno di monitoraggio intenso è positivo su tutti i fronti: la percentuale di traffico anomalo transitato sulla rete TIS è scesa dallo 0,33% iniziale all’0,01%, per poi azzerarsi completamente a giugno 2025. TIS ha implementato i blocchi tecnici nei tempi previsti, ha verificato i titoli autorizzatori di soggetti che rappresentano il 95% del traffico terminato in Italia attraverso la sua rete, e ha aggiornato i contratti di interconnessione con le clausole anti-spoofing. Il procedimento è stato così archiviato il 26 febbraio 2026.
Va segnalato un elemento rilevante: nel corso del monitoraggio è emerso che l’impegno all’integrazione contrattuale era stato di fatto superato dalla sopravvenuta delibera 106/25/CONS, la quale ha imposto a tutti i carrier internazionali obblighi di blocco ancora più stringenti di quelli volontariamente assunti da TIS.
Sanzione vs impegni: due modelli a confronto
Se dobbiamo confrontare i due casi, potremmo riassumere così: Agile ha optato per la resistenza, persino rinunciando ai propri diritti difensivi nel procedimento amministrativo, puntando tutto sul ricorso giurisdizionale – ha ottenuto una sanzione sì nel minimo edittale ma anche un precedente formale a proprio carico.
TIS invece ha scelto la collaborazione con l’autorità: ha depositato memorie, si è presentata alle audizioni, ha proposto impegni strutturati, ha consegnato il proprio elenco operatori, ha risolto i contratti con i partner irregolari già nel giugno 2024.
Alla fine, non ha subito nessuna sanzione pecuniaria, il procedimento risulta archiviato, e – non da ultimo – ha instaurato un sistema di presidio interno che nel frattempo ha portato il traffico anomalo a zero.
La lettura di tali risultati deve essere sfumata: la scelta degli impegni comporta oneri reali, non è una via d’uscita “gratuita” – è un investimento in compliance che AGCOM ha ritenuto equivalente, sul piano degli effetti, alla sanzione pecuniaria. Il modello degli impegni funziona quando l’operatore è genuinamente collaborativo e le misure proposte hanno sostanza tecnica reale.
Uno degli aspetti meno discussi ma più significativi del caso TIS è l’uso del Piano di Numerazione Nazionale, di fatto, come strumento anti-spoofing. La delibera 8/15/CIR è uno strumento di regolazione del mercato delle telecomunicazioni – il contrasto al CLI spoofing non si esaurisce nel Regolamento Alias e nel Regolamento CLI, avendo radici più profonde.
Lo scenario penale: chi risponde e di cosa
Non sfugge che vi possano essere, in aggiunta, conseguenze penali da ponderare per le condotte illustrate sopra. Il quadro ipotizzabile è articolato e varia significativamente in funzione del ruolo nella catena.
Per chi ha materialmente generato il traffico fraudolento il diritto italiano consente di ipotizzare truffa aggravata (art. 640 c.p., con il mittente contraffatto qualificabile come “artifizio”), frode informatica (art. 640-ter c.p., per la manipolazione del sistema telematico di identificazione) e l’aggravante dell’utilizzo dell’identità digitale altrui (art. 640-ter, comma 3 c.p.), con pene detentive fino a cinque anni. A questi potrebbero aggiungersi l’accesso abusivo a sistema informatico (art. 615-ter) e il trattamento illecito di dati personali (art. 167 D.Lgs. 196/2003).
Per i carrier italiani – Agile e TIS – la responsabilità penale pare molto più difficile da configurare: il concorso nel reato richiede la prova del dolo, mentre i provvedimenti AGCOM qualificano in entrambi i casi come condotta colposa (omessa verifica, negligenza nella gestione dei partner). Sul piano amministrativo, invece, la responsabilità è pacifica: l’omissione è accertata, documentata e sanzionabile indipendentemente dall’intento.
Il nodo pratico rimane l’irraggiungibilità (giuridica) dei responsabili materiali, transnazionali e spesso operanti in giurisdizioni scarsamente cooperative. La strategia regolatoria di AGCOM – responsabilizzare i nodi italiani della catena – è in parte una risposta a questo limite strutturale dell’ordinamento giuridico e dei suoi principi.
Conclusioni
Letti insieme le delibere 21/25/CIR, 36/24/CIR e 8/26/CIR delineano un sistema che ha alcune caratteristiche precise.
Anzitutto la responsabilità è distribuita lungo la filiera, non concentrata solo sull’autore materiale. Chi instrada traffico da soggetti non autorizzati risponde, a prescindere dal fatto che sapesse del contenuto fraudolento – il carrier non è un vettore che può dirsi neutrale, spettandogli obblighi di verifica nella sua posizione qualificata.
Inoltre, il sistema tollera percorsi diversi verso la compliance: la sanzione e gli impegni sono strumenti calibrati sul comportamento dell’operatore nel procedimento. Chi collabora, propone misure concrete e le attua ottiene un trattamento diverso da chi resiste. Questo è un incentivo alla compliance, a patto che le misure proposte abbiano contenuto reale e non meramente formale.
Poi il database BEREC emerge come strumento operativo concreto: la verifica delle autorizzazioni degli operatori UE attraverso tale registro centralizzato, gestito dall’organismo europeo dei regolatori delle telecomunicazioni (il BEREC, appunto), è passata dall’essere un’iniziativa volontaria di TIS a un elemento che verosimilmente diventerà standard nel settore.
I numeri confermano che il sistema può funzionare: il traffico anomalo sulla rete TIS è azzerato, i filtri dei principali gestori mobili bloccano milioni di chiamate “spoofed” al giorno. Questi sono risultati da non minimizzare, dimostrando che le misure tecniche, quando imposte o adottate, hanno effetto reale.
Rimane però un dubbio sulla capacità del sistema di scoraggiare i comportamenti non conformi prima che si verifichino, non solo di correggerli a posteriori. La sanzione inflitta ad Agile nel minimo edittale è proporzionata alla dimensione dell’operatore e ai fatti accertati – però il segnale che può trasmettere al mercato, in termini di deterrenza, rischia di essere attenuato dall’entità contenuta. Operatori di maggiori dimensioni, con margini più elevati su un traffico di volumi enormi, potrebbero calcolare che il rischio sanzionatorio sia un costo accettabile della non conformità.
Il modello degli impegni, applicato a TIS, risulta efficace, se condiviso da un operatore già orientato alla collaborazione. Non funzionerebbe, realisticamente, con un soggetto che sceglie deliberatamente la resistenza e il contenzioso.
La vera deterrenza verrà probabilmente dai due fattori combinati: la sistematicità dell’enforcement – più procedimenti, più rapidamente, verso più operatori – e l’eventuale utilizzo del range sanzionatorio nella sua fascia più alta per i casi recidivi o di maggiore gravità. Il range da 240.000 a 5 milioni di euro è ampio, fino ad ora AGCOM si è contenuta ma potrebbe innalzare la propria severità.
In definitiva, l’analisi dei provvedimenti in parola restituisce un quadro più ricco e più promettente di quanto una singola sanzione possa suggerire: AGCOM ha costruito, in meno di tre anni, un sistema normativo coerente che copre la messaggistica, le chiamate vocali, il piano di numerazione. Ha usato entrambi gli strumenti disponibili – sanzione e impegni – con logiche diverse ma complementari. Ha sia verificato sul campo, attraverso mesi di monitoraggio su TIS, che le misure tecniche funzionassero davvero, sia costruito un precedente sanzionatorio quale chiaro messaggio agli operatori.
Lo spoofing non è certo sconfitto però, per la prima volta in Italia, si vedono risultati di un sistema che lo combatte seriamente, su più fronti, e che potrebbe essere prodromico (finalmente) a una riduzione del fenomeno delle chiamate abusive (per non dire truffaldine).
È un inizio che merita di essere riconosciuto come promettente.
