Negli ultimi due anni il confine tra una telefonata autentica e una costruita ad arte da un'intelligenza artificiale si è quasi dissolto. Bastano pochi secondi di audio pubblico, presi da un video sui social o da una segreteria telefonica, per generare un clone vocale capace di ingannare un familiare, un collega o persino un dirigente bancario. A questo si aggiungono truffe telefoniche più tradizionali, come lo spoofing del numero e il phishing via SMS, che oggi vengono scritte, tradotte e rese più credibili proprio grazie agli stessi strumenti di intelligenza artificiale generativa nati per scopi legittimi.
In questa guida analizziamo come funzionano davvero le truffe telefoniche, i deepfake vocali e il phishing potenziato dall'IA, quali segnali permettono di riconoscerli in tempo, cosa prevede la normativa italiana ed europea in materia e quali passi concreti seguire per proteggere denaro, dati personali e persone care.
Indice dei Contenuti
- Truffe Telefoniche, Deepfake Vocali e Phishing AI, un Fenomeno in Crescita
- Come Funzionano le Truffe Telefoniche Tradizionali, Spoofing e Vishing
- Deepfake Vocali, Come l'Intelligenza Artificiale Clona una Voce in Pochi Secondi
- Il Caso Crosetto, Quando il Deepfake Vocale Ha Colpito l'Italia
- Phishing e Smishing Potenziati dall'Intelligenza Artificiale
- I Numeri del Fenomeno, Dati Italiani e Internazionali a Confronto
- Riconoscere l'Inganno, Esperienze, Domande e Pareri degli Esperti
- I Segnali per Riconoscere una Truffa Telefonica o un Deepfake Vocale
- Come Proteggere Soldi, Dati e Famiglia, Strategie Pratiche
- Cosa Fare se Sei Già Stato Vittima di una Truffa
- Il Quadro Normativo, AI Act, Legge 132 del 2025 e Tutele in Italia
- FAQ, Domande Frequenti
- Conclusione
Truffe Telefoniche, Deepfake Vocali e Phishing AI, un Fenomeno in Crescita
Fino a qualche anno fa una truffa telefonica si riconosceva quasi sempre da alcuni indizi evidenti, un accento innaturale, un copione recitato male, un numero straniero sospetto. L'arrivo di strumenti di intelligenza artificiale generativa accessibili a chiunque ha cambiato radicalmente le regole del gioco. Oggi un malintenzionato può clonare una voce, scrivere un messaggio di phishing privo di errori grammaticali e persino sostenere una videochiamata con un volto sintetico, il tutto con un investimento economico minimo e senza competenze tecniche avanzate.
La Polizia Postale segnala da tempo l'evoluzione delle tecniche di spoofing telefonico, in cui il numero mostrato sul display corrisponde a quello reale di una banca, di un ufficio pubblico o persino della Polizia stessa, grazie a tecnologie VoIP che permettono di falsificare l'identificativo del chiamante. A questo scenario si è aggiunta negli ultimi due anni la variabile dell'intelligenza artificiale, che rende i contenuti fraudolenti sempre più difficili da distinguere da quelli autentici, sia nella forma scritta che in quella vocale.
Come Funzionano le Truffe Telefoniche Tradizionali, Spoofing e Vishing
Il vishing, contrazione di voice e phishing, è la truffa condotta tramite una telefonata in cui il criminale si finge un operatore bancario, un tecnico di un gestore telefonico o un funzionario delle forze dell'ordine. La Polizia Postale ha documentato diverse varianti attive in Italia, tra cui chiamate che si spacciano per finti operatori antifrode, che convincono la vittima a effettuare un bonifico su un conto presentato come sicuro proprio nel momento in cui viene segnalato un fantomatico attacco informatico al proprio conto corrente.
Un elemento che rende queste truffe particolarmente insidiose è lo spoofing del numero, una tecnica che sfrutta la tecnologia VoIP per far comparire sul display un numero reale, appartenente magari a un contatto già presente in rubrica o a un ufficio della Polizia Postale. In alcuni casi documentati dalla Questura di Milano, i truffatori hanno replicato il numero autentico di un ufficio della Polizia Postale per rendere credibile la richiesta di bonifico. La regola che le forze dell'ordine ripetono costantemente è che nessuna autorità richiede mai per telefono l'esecuzione di bonifici o la comunicazione di codici di accesso al conto corrente.
Accanto al vishing classico si sono diffuse varianti più elaborate, come le chiamate che promettono una finta proposta di lavoro ricevuta dopo l'invio di un curriculum mai spedito, oppure i messaggi WhatsApp che, sfruttando contatti già presenti in rubrica di persone i cui telefoni sono stati compromessi, invitano a votare per un fantomatico concorso cliccando su un link fraudolento.
Deepfake Vocali, Come l'Intelligenza Artificiale Clona una Voce in Pochi Secondi
Un deepfake vocale è un audio sintetico generato da un modello di intelligenza artificiale addestrato a riprodurre timbro, cadenza e inflessioni di una voce reale. Secondo i test tecnici condotti da McAfee, sono sufficienti circa tre secondi di audio della voce originale per ottenere un clone con un livello di somiglianza molto elevato, materiale che nella maggior parte dei casi viene reperito da video pubblicati sui social network, storie, reel o semplici messaggi vocali condivisi online.
Il funzionamento tipico di una truffa basata su deepfake vocale segue uno schema riconoscibile. Il criminale identifica un bersaglio e una persona di cui clonare la voce, spesso un familiare stretto o un superiore in ambito lavorativo, quindi costruisce una situazione di emergenza che spinge la vittima ad agire rapidamente, senza il tempo di verificare. È lo schema alla base delle cosiddette truffe del finto parente in difficoltà, in cui una voce che sembra quella di un figlio o di un nipote chiede con urgenza denaro per un incidente, una fideiussione o un arresto improvviso.
In ambito aziendale lo schema si trasforma nella variante nota come CEO fraud potenziata dal deepfake, in cui un dipendente del reparto finanziario riceve istruzioni, spesso rafforzate da una videochiamata con volti e voci sintetici di dirigenti reali, per autorizzare un bonifico urgente verso un conto estero. Il caso più citato a livello internazionale riguarda la società di ingegneria Arup, che nel gennaio 2024 ha subito una perdita di 25,6 milioni di dollari dopo che un dipendente ha partecipato a una videoconferenza in cui ogni partecipante, incluso l'apparente direttore finanziario, era generato dall'intelligenza artificiale.
Il Caso Crosetto, Quando il Deepfake Vocale Ha Colpito l'Italia
Nel febbraio 2025 l'Italia ha avuto il proprio caso di riferimento sul tema. Diversi imprenditori sono stati contattati telefonicamente da una voce clonata attraverso l'intelligenza artificiale, costruita per imitare quella del Ministro della Difesa Guido Crosetto, che chiedeva un contributo economico urgente presentato come necessario per liberare giornalisti italiani sequestrati all'estero. Uno degli imprenditori coinvolti ha effettivamente versato circa un milione di euro prima che la truffa venisse scoperta.
L'episodio è considerato un punto di svolta nella percezione pubblica del rischio in Italia, perché ha dimostrato che non è servito alcun malware né alcuna violazione informatica per portare a termine la frode: è bastata una voce sintetica sufficientemente convincente da superare la naturale diffidenza verso una richiesta economica insolita. Da allora il caso è diventato un riferimento ricorrente nelle comunicazioni di sensibilizzazione di forze dell'ordine e aziende di cybersicurezza italiane, proprio perché coinvolge l'identità di una delle massime cariche dello Stato.
Riconoscere l'Inganno, Esperienze, Domande e Pareri degli Esperti
Chi si occupa quotidianamente di segnalazioni e assistenza alle vittime osserva alcuni schemi che si ripetono con grande costanza, indipendentemente dal livello di istruzione o dall'età di chi viene colpito.
Un imprenditore contattato da una voce che sembrava quella di un familiare in difficoltà ha raccontato di essersi fermato solo perché la richiesta di denaro doveva essere trasferita su un conto mai utilizzato in precedenza dalla famiglia, un dettaglio che ha insospettito più della voce stessa, praticamente identica all'originale.
Un responsabile amministrativo di una piccola azienda ha riferito di aver ricevuto una richiesta di bonifico urgente apparentemente dal titolare, con toni di urgenza insoliti rispetto alle normali comunicazioni interne, e di aver evitato la truffa solo richiamando il numero già salvato in rubrica anziché quello indicato nel messaggio.
Una persona anziana contattata da un finto operatore bancario ha raccontato di essere stata rassicurata dal fatto che sul display comparisse il numero reale della propria filiale, un elemento che oggi non garantisce più nulla a causa dello spoofing telefonico.
Un dipendente che ha ricevuto un'email di phishing scritta in italiano perfetto, priva dei tradizionali errori grammaticali un tempo tipici di questo genere di messaggi, ha notato l'inganno solo controllando manualmente l'indirizzo email del mittente, diverso di un solo carattere da quello ufficiale.
Domande e Risposte Rapide
Un deepfake vocale può ingannare anche chi conosce bene la voce clonata? Sì, la tecnologia attuale è in grado di riprodurre timbro e intonazione con un livello di fedeltà che rende la sola voce insufficiente per verificare l'identità dell'interlocutore.
Basta guardare il numero sul display per essere sicuri di chi chiama? No, lo spoofing telefonico permette di far comparire numeri reali appartenenti a banche, enti pubblici o contatti in rubrica, quindi il numero da solo non è una prova di autenticità.
Le email di phishing scritte bene sono più pericolose di quelle con errori? Sì, l'intelligenza artificiale generativa ha ridotto drasticamente gli errori grammaticali che in passato aiutavano a riconoscere un tentativo di truffa, rendendo necessario affidarsi ad altri segnali.
Il Parere delle Autorità Competenti
La Polizia Postale, attraverso il Commissariato di P.S. Online, ribadisce costantemente una regola considerata la base di ogni difesa efficace: nessun ente serio, banca, Poste Italiane o forza dell'ordine, chiede mai dati sensibili, codici OTP o l'esecuzione di bonifici tramite email, SMS o telefonata. L'Agenzia per la Cybersicurezza Nazionale segnala inoltre che l'intelligenza artificiale è ormai un fattore presente in una quota rilevante degli attacchi informatici registrati in Italia, e promuove attività di sensibilizzazione rivolte a cittadini e imprese. Il Garante per la protezione dei dati personali, dal canto suo, ha più volte ricordato che l'uso di voci e immagini reali per generare contenuti sintetici senza consenso può costituire una violazione del trattamento dei dati personali, oltre a possibili fattispecie di reato.
I Segnali per Riconoscere una Truffa Telefonica o un Deepfake Vocale
Anche i deepfake vocali più sofisticati tendono a presentare alcune imperfezioni, soprattutto quando la generazione avviene in tempo reale durante una conversazione. Prestare attenzione a piccoli dettagli come inflessioni innaturali, pause leggermente fuori tempo, parole pronunciate in modo insolito o una qualità audio con un sottofondo troppo pulito rispetto al contesto dichiarato dalla persona che chiama può fare la differenza tra riconoscere l'inganno e caderne vittima.
Un secondo gruppo di segnali riguarda la costruzione della richiesta più che la voce in sé. Le truffe, sia telefoniche sia basate su deepfake, puntano quasi sempre su tre leve psicologiche: urgenza estrema, richiesta di segretezza e pressione emotiva. Una richiesta di denaro che deve essere eseguita entro pochi minuti, che non può essere discussa con altri familiari o colleghi, o che viene accompagnata da minacce implicite, è quasi sempre un segnale d'allarme, indipendentemente da quanto la voce sembri autentica.
Infine, vale la pena diffidare di ogni comunicazione, telefonica o scritta, che chiede di cambiare in autonomia le coordinate bancarie di un pagamento già concordato, di effettuare un bonifico verso un conto mai utilizzato in precedenza o di fornire codici OTP ricevuti via SMS, poiché nessun ente legittimo richiede questo tipo di operazioni con quelle modalità.
Come Proteggere Soldi, Dati e Famiglia, Strategie Pratiche
La difesa più efficace contro le truffe telefoniche e i deepfake vocali non è tecnologica ma comportamentale, ed è per questo alla portata di chiunque.
| Strategia | In cosa consiste | Perché funziona |
|---|---|---|
| Parola di sicurezza in famiglia | Una parola o frase concordata in anticipo con i familiari più stretti, da chiedere in caso di richieste urgenti di denaro | Un'intelligenza artificiale può clonare la voce ma non conosce un'informazione mai condivisa online |
| Richiamare sul numero salvato | Interrompere la chiamata sospetta e richiamare la persona o l'ente sul numero già presente in rubrica o sul sito ufficiale | Neutralizza lo spoofing del numero e la pressione a decidere in pochi secondi |
| Pausa prima di agire | Prendersi qualche minuto prima di eseguire un bonifico o comunicare dati, anche di fronte a un'apparente emergenza | I truffatori contano sulla reazione istintiva, non su una verifica razionale |
| Limitare l'audio pubblico | Ridurre la quantità di video e messaggi vocali pubblicati liberamente sui social network | Riduce il materiale disponibile per addestrare un clone vocale credibile |
| Verifica indipendente dei canali | Contattare la propria banca o il proprio ente di riferimento tramite l'app ufficiale o il numero stampato sulla carta, mai tramite link ricevuti | Evita di finire su siti o numeri contraffatti creati appositamente per la truffa |
A queste abitudini si aggiunge un principio più generale, richiamato anche dalla Polizia Postale nelle proprie comunicazioni: qualsiasi richiesta di dati bancari, codici di accesso o trasferimenti di denaro che arrivi in modo inatteso, anche se accompagnata da toni ufficiali o rassicuranti, va sempre verificata attraverso un canale diverso da quello con cui è arrivata la richiesta stessa.
Cosa Fare se Sei Già Stato Vittima di una Truffa
Nel caso in cui una truffa sia già andata a buon fine, o si sospetti che i propri dati siano stati compromessi, agire rapidamente riduce le possibilità di ulteriori danni. Il primo passo è contattare immediatamente la propria banca per richiedere il blocco di un bonifico appena eseguito o la sospensione della carta, poiché nelle prime ore esiste ancora una possibilità concreta di recuperare i fondi prima che vengano trasferiti su ulteriori conti.
Il secondo passo è presentare una denuncia formale alla Polizia Postale, conservando ogni elemento utile alle indagini: screenshot delle conversazioni, registrazioni della chiamata quando disponibili, SMS ricevuti e tabulati telefonici. In parallelo è utile segnalare l'accaduto anche al proprio operatore telefonico e, quando la truffa ha sfruttato l'identità di un ente o di un'azienda, all'azienda stessa, che spesso dispone di canali dedicati per questo tipo di segnalazioni.
Se la truffa ha comportato la diffusione non autorizzata di contenuti generati con l'intelligenza artificiale a partire dalla propria voce o immagine, è possibile inoltre rivolgersi al Garante per la protezione dei dati personali, che ha più volte ribadito la possibilità di intervenire su questo tipo di violazioni.
Il Quadro Normativo, AI Act, Legge 132 del 2025 e Tutele in Italia
Il panorama normativo su deepfake e truffe basate sull'intelligenza artificiale si è evoluto rapidamente. In Italia, la Legge 132 del 2025 ha introdotto nel Codice Penale il reato di diffusione illecita di contenuti generati o manipolati tramite intelligenza artificiale, punito con pene da uno a cinque anni di reclusione, oltre a un'aggravante specifica applicabile quando l'intelligenza artificiale viene utilizzata come mezzo insidioso per commettere altri reati già previsti dall'ordinamento.
A livello europeo, il Regolamento UE 2024/1689, noto come AI Act, impone obblighi di trasparenza per i contenuti sintetici, con l'obbligo di etichettatura che si applica dal 2 agosto 2026, rendendo obbligatorio segnalare in modo chiaro quando un contenuto audio, video o immagine è stato generato o manipolato tramite intelligenza artificiale.
In Italia la vigilanza è affidata a un sistema duale, in cui l'ACN, Agenzia per la Cybersicurezza Nazionale, è competente sul fronte della sicurezza informatica, mentre il Garante per la protezione dei dati personali interviene sul fronte della tutela dei dati e dei diritti fondamentali delle persone coinvolte. Proprio il Garante, con un comunicato del maggio 2026, ha chiesto poteri di intervento più rapidi per bloccare le piattaforme di intelligenza artificiale generativa che rendono semplice creare deepfake non autorizzati a partire da voci e immagini reali.
FAQ, Domande Frequenti
Quanto audio serve per clonare una voce con l'intelligenza artificiale?
Secondo i test tecnici condotti da McAfee, bastano circa tre secondi di audio della voce originale per generare un clone vocale con un livello di somiglianza molto elevato, motivo per cui anche brevi video pubblicati sui social possono costituire materiale sufficiente.
È vero che negli Stati Uniti le truffe con finti operatori sono la categoria di frode più segnalata?
Sì. Secondo il report della Federal Trade Commission relativo al 2025, gli imposter scam, ossia le truffe con finti operatori, sono stati la categoria di frode più segnalata dell'anno, con perdite complessive dichiarate pari a 3,5 miliardi di dollari.
Il numero che compare sul display del telefono garantisce che la chiamata sia autentica?
No. Attraverso la tecnica dello spoofing telefonico i truffatori possono far comparire sul display un numero reale, appartenente a una banca, a un ente pubblico o persino a un ufficio della Polizia Postale, senza che questo abbia effettuato realmente la chiamata.
Cosa fare se si riceve una richiesta urgente di denaro da un familiare al telefono?
Interrompere la chiamata e richiamare la persona sul numero già salvato in rubrica, oppure contattarla tramite un altro canale già in uso, prima di eseguire qualsiasi trasferimento di denaro.
I deepfake vocali sono reato in Italia?
Sì. La Legge 132 del 2025 ha introdotto nel Codice Penale, all'articolo 612 quater, il reato di diffusione illecita di contenuti generati o manipolati con intelligenza artificiale, con pene che vanno da uno a cinque anni di reclusione.
Dove si segnala una truffa telefonica o un tentativo di phishing in Italia?
Le segnalazioni vanno indirizzate alla Polizia Postale, attraverso il Commissariato di P.S. Online, conservando screenshot, SMS, eventuali registrazioni della chiamata e tabulati telefonici utili alle indagini.
Conclusione
Le truffe telefoniche non sono un fenomeno nuovo, ma l'intelligenza artificiale ha reso gli strumenti a disposizione dei criminali molto più accessibili, veloci ed efficaci, trasformando tecniche già note, come lo spoofing e il phishing, in minacce capaci di superare barriere che fino a poco tempo fa sembravano solide, prima fra tutte il riconoscimento della voce di una persona cara. Il caso italiano legato al Ministro Crosetto ha mostrato con chiarezza che nessuno può considerarsi immune, indipendentemente dal ruolo o dalla notorietà.
La buona notizia è che le difese più efficaci restano semplici e alla portata di tutti: una parola di sicurezza condivisa in famiglia, l'abitudine di richiamare su un numero verificato prima di agire, e la consapevolezza che nessun ente legittimo chiederà mai con urgenza dati bancari o bonifici per telefono. Accanto a queste abitudini, il quadro normativo italiano ed europeo si sta muovendo per offrire strumenti di tutela più solidi, dalla nuova fattispecie di reato introdotta nel 2025 agli obblighi di trasparenza previsti dall'AI Act europeo in vigore dall'agosto 2026.
Fonti e Riferimenti
- Polizia di Stato, Commissariato di P.S. Online, Comunicazioni ufficiali su truffe telefoniche, spoofing e phishing, commissariatodips.it
- Agenzia per la Cybersicurezza Nazionale, Strategia Nazionale di Cybersicurezza e comunicati sulle minacce IA, acn.gov.it
- Garante per la Protezione dei Dati Personali, Comunicati stampa su deepfake e intelligenza artificiale, 2026, garanteprivacy.it
- Federal Trade Commission, Consumer Sentinel Network e report sulle truffe con finti operatori, 2025, ftc.gov
- Federal Bureau of Investigation, Internet Crime Complaint Center, Internet Crime Report, ic3.gov
- Commissione Europea, AI Act, Regolamento UE 2024/1689, digital-strategy.ec.europa.eu
- Consumer Reports, Studio e petizione sulla clonazione vocale tramite intelligenza artificiale, advocacy.consumerreports.org