VPN e numeri virtuali: perché chi ti attacca non è davvero invisibile

Chi subisce molestie online, una gogna o una campagna d’odio sente spesso la stessa frase: «Tanto non mi trovano». Messaggi da numeri stranieri, chiamate a ogni ora, account che spariscono e ricompaiono. A volte sono gli aggressori stessi a vantarsene: «Uso la VPN».

Questo articolo spiega cosa nascondono davvero queste tecnologie, come puoi proteggerti e perché una denuncia può arrivare dove tu, da solo, non arrivi.

Perché sembrano intoccabili

Sembrare irraggiungibili fa parte dell’attacco: se pensi che denunciare sia inutile, chi ti attacca ha già ottenuto qualcosa.

Ma «nascosto a te» non vuol dire «nascosto a tutti». Dietro ogni VPN, numero virtuale o account c’è un’azienda che ha dei dati. E molte aziende li consegnano quando a chiederli è un’autorità giudiziaria.

Cosa nasconde una VPN, e cosa no

Una VPN (rete privata virtuale) è un servizio che fa passare la connessione da un server intermedio. Siti e app vedono l’indirizzo IP di quel server, non quello reale. L’indirizzo IP è il numero che identifica una connessione a internet in un certo momento.

Una VPN però non cancella le tracce. Le sposta:

Il fornitore della VPN vede l’indirizzo IP reale di chi si collega, e può conservarlo se le sue regole non lo escludono.
Il pagamento con carta o conto lascia dati su chi paga.
Gli account restano account. Le piattaforme conservano dati come numero di telefono, email e indirizzi IP degli accessi. Basta un accesso fatto senza VPN perché l’indirizzo reale possa restare nei loro registri.
Il telefono o il computer restano gli stessi, e si possono sequestrare.

L’EFF, un’organizzazione per i diritti digitali, lo scrive senza giri di parole: «una VPN non è uno strumento per l’anonimato».

Ci sono anche fornitori che davvero non conservano i registri dei collegamenti: chiedere a loro non porta a niente. Per questo le indagini non si fermano alla VPN e cercano le altre tracce.

Un esempio italiano. All’inizio del 2024 la Polizia Postale di Roma ha reso noto l’arresto di un uomo accusato di perseguitare un’ex collega da due mesi. Usava una VPN rumena, scriveva da un indirizzo email estero anonimo e pagava con canali esteri: all’inizio non era identificabile. La svolta è arrivata quando la donna ha denunciato un nuovo episodio, un regalo costoso recapitato a casa sua. Il procedimento era allora nella fase delle indagini e l’uomo va considerato innocente fino a una condanna definitiva. Ma il caso mostra che la VPN non è bastata.

Numeri virtuali e chiamate dall’estero

Le chiamate VoIP passano da internet invece che dalla rete telefonica classica. Un numero virtuale è un numero noleggiato da un servizio online, che funziona da un’app e non da una SIM. Si può avere un numero inglese o americano vivendo in Italia: il prefisso non dice niente su dove si trova chi chiama.

Anche il numero che vedi sul display si può falsificare: si chiama spoofing. Europol, l’agenzia di polizia dell’Unione europea, spiega che spesso avviene con servizi VoIP e che è «facile da fare ma difficile da indagare».

Difficile però non vuol dire impossibile. Chi fornisce numeri e chiamate via internet di solito ha dati di registrazione, di pagamento e di collegamento all’app, e risponde alle autorità:

Twilio, una grande piattaforma di chiamate e SMS via internet usata da molte aziende, nel 2025 ha ricevuto 4.842 richieste dalle autorità di tutto il mondo e ha fornito dati in 4.285 casi.
TextNow, un servizio di numeri virtuali, accetta richieste dirette solo da Stati Uniti e Canada. Le altre passano dalla rogatoria internazionale, cioè la richiesta di aiuto tra Stati: è più lenta, ma è una strada.
Nel novembre 2022 un’operazione internazionale guidata dal Regno Unito, con il sostegno di Europol, ha chiuso un sito che vendeva chiamate con numero falsificato «in forma anonima»: 142 arresti tra utenti e amministratori.

Per le SIM, in Italia l’operatore deve identificare il cliente con un documento prima di attivarla, anche per le eSIM, la portabilità e il cambio di SIM. In Svizzera vale un obbligo simile. Una SIM però può essere intestata a qualcuno usando documenti altrui, ed è un reato: il numero che ti chiama non dice con certezza chi c’è dietro. Lascialo verificare a chi indaga.

Anche le aziende rispondono alla giustizia

Alcuni casi documentati:

2017, Stati Uniti. Un uomo perseguitava online l’ex coinquilina nascondendosi dietro una VPN. I registri del fornitore, PureVPN, hanno mostrato che lo stesso cliente si collegava da casa sua e dal suo ufficio. Nel 2018 è stato condannato a oltre 17 anni per una lunga serie di reati.
Telegram, dal 2024. Su ordine valido dell’autorità giudiziaria può consegnare indirizzo IP e numero di telefono di chi è sospettato di reati. Secondo i dati del suo bot di trasparenza, raccolti da un archivio indipendente, le richieste italiane soddisfatte sono passate da 6 (gennaio-settembre 2024) a 407 nel solo secondo trimestre 2026.
Meta (Facebook, Instagram, Messenger). Alle autorità può fornire email, dati della carta di credito e, se disponibili, gli indirizzi IP degli accessi recenti. Per le chat cifrate di Messenger non può dare i contenuti, ma fornisce i registri di messaggi e chiamate e gli indirizzi IP. Su richiesta conserva i dati per 90 giorni, in attesa dell’ordine formale.
Pagamenti. Anche PayPal dichiara di comunicare dati a tribunali e forze dell’ordine quando la legge lo richiede.
VPN «per criminali» chiuse da operazioni internazionali sostenute da Europol: Safe-Inet nel dicembre 2020, VPNLab nel gennaio 2022, First VPN nel maggio 2026. Nell’ultimo caso gli investigatori hanno ottenuto l’elenco degli utenti e li hanno avvisati che erano stati identificati. L’indagine era iniziata nel dicembre 2021 e vi hanno partecipato anche procura e polizia cantonale di Zurigo. Nel 2022 la polizia di Hannover ha commentato che i servizi che aiutano attività illegali e non rispondono alle richieste delle autorità «non sono a prova di proiettile».

Cosa cambia in Europa e in Svizzera

Unione europea. Dal 18 agosto 2026 si applica il regolamento europeo sulle prove elettroniche (e-Evidence). Un magistrato italiano può ordinare direttamente a un’azienda che offre servizi nell’UE, anche se ha sede altrove, di consegnare i dati: entro 10 giorni, entro 8 ore se c’è un pericolo imminente per la vita o l’incolumità di una persona. I dati che servono a identificare chi c’è dietro un account (dati dell’abbonato, indirizzi IP con data e ora) si possono chiedere per qualsiasi reato. Il regolamento vale solo nei procedimenti penali e solo per i dati che l’azienda ha ancora quando arriva l’ordine.

Italia. Gli operatori conservano i dati del traffico telefonico per 24 mesi, quelli del traffico internet per 12 mesi e quelli delle chiamate senza risposta solo per 30 giorni. La legge prevede espressamente che il giudice ne autorizzi l’acquisizione anche per minacce e molestie gravi fatte al telefono.

Svizzera. Non fa parte dell’UE, quindi le autorità svizzere non possono usare l’e-Evidence. Come spiega Proton, servizio di posta svizzero noto per la privacy, un’azienda svizzera non può consegnare dati direttamente a una polizia straniera: la richiesta passa dalle autorità svizzere con l’assistenza giudiziaria internazionale. Italia e Svizzera hanno ratificato la Convenzione di Budapest del Consiglio d’Europa sulla criminalità informatica, nata per far collaborare i paesi contro questi reati. Nell’aprile 2025 il Consiglio federale ha chiesto di valutare regole più semplici per le prove elettroniche e una collaborazione più stretta con l’UE.

È più lento, ma funziona. Nel 2021 Proton Mail ha ricevuto un ordine vincolante delle autorità svizzere, nato da un’indagine francese, e non ha potuto opporsi: secondo la stampa ha consegnato l’indirizzo IP dell’account. Le email, cifrate, sono rimaste illeggibili. Nel 2025 Proton Mail ha eseguito 8.313 ordini delle autorità svizzere.

Come proteggerti

Non rispondere a numeri sconosciuti o stranieri e non richiamarli.
Su WhatsApp attiva «Silenzia chiamate da sconosciuti» (Impostazioni › Privacy › Chiamate). Le chiamate non squillano ma restano nell’elenco: ti servono come prova.
Su Telegram, in Impostazioni › Privacy e sicurezza, scegli chi vede il tuo numero, chi può trovarti con il numero e chi può chiamarti. Nelle impostazioni delle chiamate scegli l’opzione più restrittiva per il «peer-to-peer»: così le chiamate passano dai server di Telegram e l’altra persona non vede il tuo indirizzo IP.
Salva tutto prima di bloccare: screenshot dell’elenco chiamate con numero, data e ora, messaggi, link. Poi segnala e blocca. Qui spieghiamo come conservare le prove su Telegram.
Non aprire i link che ti mandano. Ogni sito vede l’indirizzo IP di chi lo visita, e un link preparato apposta può servire proprio a raccoglierlo.
Proteggi gli account con la verifica in due passaggi tramite un’app di autenticazione, non con gli SMS.
Proteggi la tua SIM. Chiedi al tuo operatore quali protezioni offre per le operazioni sulla linea, come un PIN aggiuntivo. Se il telefono perde all’improvviso il segnale, chiama subito l’operatore: qualcuno potrebbe aver chiesto una nuova SIM a tuo nome (SIM swap).
Non cercare di smascherarli da solo. Rischi di accusare un innocente, di raccogliere prove che non valgono e di finire tu nei guai. Ne parliamo qui.

Perché denunciare serve davvero

Le aziende consegnano i dati alle autorità, non alle vittime. Senza una denuncia nessuno può chiederli.

Il tempo conta. In Italia i dati delle chiamate senza risposta si conservano solo 30 giorni, e l’ordine europeo funziona solo sui dati che esistono ancora. Denuncia presto, anche contro ignoti, e denuncia ogni nuovo episodio: nel caso di Roma è stato decisivo.

Cosa aiuta chi indaga:

i numeri esatti, con data, ora e fuso orario di ogni chiamata o messaggio;
per Telegram l’ID numerico dell’account, che non cambia come il nome o lo username;
link, username e screenshot completi;
l’elenco di tutti gli account e i numeri, anche se pensi che siano della stessa persona;
le altre vittime: più denunce con lo stesso schema rendono il caso più grave e più facile da collegare.

Siamo onesti: l’identificazione non è garantita. Possono volerci mesi o anni, e a volte non si arriva a un nome. Ma la denuncia resta agli atti, si collega a quelle future e, se emergono elementi nuovi, un’indagine archiviata si può riaprire.

Non devi affrontarlo da solo. Segnalaci il tuo caso o trova chi può aiutarti.