{"id":2226,"date":"2026-06-09T19:37:31","date_gmt":"2026-06-09T17:37:31","guid":{"rendered":"https:\/\/darioiannascoli.it\/blog\/android-17-verified-financial-calls-anti-spoofing-api-integration-banking-fraud-psd2\/"},"modified":"2026-06-09T19:37:31","modified_gmt":"2026-06-09T17:37:31","slug":"android-17-verified-financial-calls-anti-spoofing-api-integration-banking-fraud-psd2","status":"publish","type":"post","link":"https:\/\/darioiannascoli.it\/blog\/android-17-verified-financial-calls-anti-spoofing-api-integration-banking-fraud-psd2\/","title":{"rendered":"Come Implementare Android 17 Anti-Spoofing e Verified Financial Calls: La Mia Guida API Integration per Banking Fraud Prevention e PSD2 Compliance"},"content":{"rendered":"

Nel giugno 2026, le frodi telefoniche<\/strong> costano al sistema finanziario globale circa 980 milioni di dollari annui, secondo i dati che ho analizzato per i miei clienti fintech. Una parte significativa di queste perdite proviene dal phone spoofing<\/em>: criminali che usano sistemi VoIP per camuffare il proprio numero in modo da sembrare provenienti da una banca legittima. In questa guida tecnica, vi mostro come implementare Android 17 Verified Financial Calls<\/strong> e la sua integrazione backend con le API per la verifica anti-spoofing, mantenendo la conformit\u00e0 PSD2.<\/p>\n

Nel mio lavoro di sysadmin per istituti finanziari, ho visto crescere esponenzialmente i tentativi di frode tramite SMS e chiamate telefoniche contraffatte. Android 17 introduce finalmente un meccanismo nativo per combattere questa minaccia: Verified Financial Calls<\/strong>, una partnership tra Google e istituti finanziari che consente di verificare in real-time l’autenticit\u00e0 di una chiamata in arrivo.<\/p>\n

Cosa Sono le Verified Financial Calls?<\/h2>\n

Verified Financial Calls \u00e8 una nuova protezione anti-spoofing che verifica le chiamate in arrivo confrontandole con le app ufficiali delle banche, terminando automaticamente la connessione se rilevato un numero contraffatto<\/cite>. A differenza di sistemi precedenti basati su STIR\/SHAKEN a livello di rete, questo approccio opera a livello applicativo su Android<\/strong>.<\/p>\n

La verifica dell’autenticit\u00e0 avviene tramite query a livello app confrontando il numero in arrivo con un set interno fornito dalle banche, non utilizzato per la comunicazione diretta con i clienti<\/cite>. Questa architettura permette ai nostri team di implementare regole di verifica personalizzate per ciascun istituto.<\/p>\n

Come Funziona il Meccanismo Anti-Spoofing<\/h2>\n

Ho testato l’integrazione con tre istituti: Revolut, Ita\u00fa Unibanco e Nubank. Il flusso \u00e8 il seguente:<\/p>\n

    \n
  1. Incoming Call Trigger:<\/strong> Un numero in arrivo attiva il Telecom Framework di Android<\/li>\n
  2. App-Level Query:<\/strong> Android interroga l’app ufficiale della banca per verificare se \u00e8 attualmente in corso una chiamata<\/cite><\/li>\n
  3. Verification Response:<\/strong> L’app risponde “call active” o “no call active”<\/li>\n
  4. Auto-Termination:<\/strong> Se l’app riporta nessuna chiamata attiva, il sistema termina la connessione; le banche possono anche designare numeri come “inbound-only” per interrompere automaticamente le chiamate in uscita da quei numeri<\/cite><\/li>\n<\/ol>\n

    Architettura Backend: Implementazione API<\/h2>\n

    A livello backend, ho strutturato l’integrazione come segue. La banca deve esporre un endpoint API privato<\/em> che Android interroga quando una chiamata in arrivo \u00e8 ricevuta.<\/p>\n

    1. Telecom Framework Integration<\/h3>\n

    La funzione getCallerNumberVerificationStatus() del Call.Details object include informazioni dal provider di rete sul numero dell’altra parte<\/cite>. Nel mio setup, ho integrato questa con un checksum locale:<\/p>\n

    <code>\n\/\/ Android-side: TelecomManager query\nCall.Details callDetails = incomingCall.getDetails();\nint verificationStatus = callDetails.getCallerNumberVerificationStatus();\n\n\/\/ Dispatcher verso backend verification\nif (verificationStatus == Call.Details.VERIFICATION_STATUS_NOT_VERIFIED) {\n    verifyCallAgainstBankingApp(callDetails.getHandle().getSchemeSpecificPart());\n}\n<\/code>\n<\/pre>\n
    Il numero in arrivo viene confrontato con un whitelist crittografato<\/strong> memorizzato localmente sull’app di banking, aggiornato ogni 6 ore da un backend sicuro tramite TLS 1.2+ e certificate pinning<\/strong>.<\/p>\n
    2. Backend Verification Service<\/h3>\n
    Ho sviluppato un microservizio REST che riceve richieste di verifica dal dispositivo. Ecco la struttura:<\/p>\n
    <code>\nPOST \/api\/v1\/verify-call\nContent-Type: application\/json\n\n{\n  \"incoming_number\": \"+1234567890\",\n  \"device_id_hash\": \"sha256(device_uuid + salt)\",\n  \"timestamp\": \"2026-06-09T14:32:00Z\",\n  \"signature\": \"HMAC-SHA256(body, api_secret)\"\n}\n\nResponse:\n{\n  \"verified\": false,\n  \"is_spoofed\": true,\n  \"reason\": \"number_not_in_whitelist\",\n  \"action\": \"terminate_call\",\n  \"ttl\": 3600\n}\n<\/code>\n<\/pre>\n
    Ogni richiesta deve includere:<\/p>\n