# Cos'è lo spoofing dell'ID mittente?

> Lo spoofing dell'ID mittente consiste nell'invio di un SMS con un mittente falsificato, che appare come `BANK-OF-X`, `DHL` o `MyBrand`, quando il mittente non è autorizzato a utilizzare tale stringa. È l'equivalente via SMS del phishing via e-mail ed è il principale vettore di attacchi di smishing a livello globale. La debolezza del protocollo: gli SMS GSM non prevedono un'autenticazione end-to-end del mittente, quindi l'SMSC accetta qualsiasi ID mittente venga inviato dall'ESME di origine.

- URL canonico: https://www.broadnet.me/it/answers/what-is-sender-id-spoofing
- Lingua: it
- Ultima revisione: 2026-09-26
- Editore: BroadNet (https://www.broadnet.me)

## Come gli aggressori simulano

Tre schemi ricorrenti. Inviano messaggi tramite un aggregatore con controlli deboli che non impone la whitelist dell'ID mittente ai proprietari registrati (questo non dovrebbe mai accadere, ma accade). Instradano i messaggi attraverso un percorso SS7 esterno che aggira i controlli locali dell'ID mittente (per lo più bloccati da firewall conformi allo standard FS.07). Abusano dell'infrastruttura delle SIM box per inviare messaggi da un MSISDN reale a cui sovrappongono, tramite codifica alfanumerica, una stringa di marca falsa (alcuni stack di aggregatori lo consentono).

## Come gli operatori si difendono

Registrazione dell'ID mittente (la difesa fondamentale). Applicazione dell'ID mittente in uscita presso l'aggregatore: il gateway di invio di BroadNet rifiuta qualsiasi submit_sm il cui campo mittente alfanumerico non sia presente nella whitelist dell'ID mittente approvato dal cliente per il paese di destinazione. Validazione dell'ID mittente in entrata presso il firewall dell'operatore: verifica incrociata del mittente dichiarato del traffico A2P in entrata rispetto al proprietario registrato per paese.

## Cosa dovrebbero aspettarsi gli acquirenti dal loro aggregatore

Rigoroso sistema di whitelisting. Se il tuo aggregatore ti permette di impostare l'ID mittente su una stringa arbitraria al momento della chiamata API senza previa approvazione, quell'aggregatore rappresenta un rischio di smishing per il resto dell'ecosistema. Gli aggregatori affidabili richiedono la pre-registrazione dell'ID mittente. Punto.

## Stato regolatore

Le autorità di regolamentazione del Medio Oriente e del Nord Africa (TDRA, CST, NTRA, TRC) sono diventate sempre più aggressive nei confronti dello spoofing dell'ID mittente. Gli operatori nei mercati dell'UE stanno implementando la convalida dell'ID mittente tramite SMS nell'ambito del quadro normativo NIS2 dell'UE. RCS Business Messaging sta gradualmente sostituendo gli SMS, che sono fondamentali per la fiducia, proprio perché il mittente viene verificato crittograficamente.

## Correlati

- [Tutte le risposte](https://www.broadnet.me/it/answers)
- [Glossario](https://www.broadnet.me/it/answers)
- [Registrazione dell'ID mittente negli Emirati Arabi Uniti: la procedura TDRA](https://www.broadnet.me/it/answers/sender-id-registration-uae-tdra)
- [Che cos'è RCS Business Messaging (RBM)?](https://www.broadnet.me/it/answers/what-is-rcs-business-messaging)
- [Che cos'è un firewall SMS?](https://www.broadnet.me/it/answers/what-is-sms-firewall)
- [SMS Firewall (operators)](https://www.broadnet.me/it/operators/sms-firewall)