Il telefono squilla, è la voce del titolare dello studio: “Sono in riunione, non posso parlare. Devi fare subito un bonifico per chiudere un’operazione riservata, ti mando i dati”. La voce è proprio la sua, il tono anche. Ma non è lui. È la truffa deepfake con voce clonata, una delle minacce che l’intelligenza artificiale ha reso più accessibili.
Cos’è un deepfake vocale?
Un deepfake vocale è una voce sintetica, generata con l’intelligenza artificiale, che imita in modo realistico la voce di una persona reale. Per crearla bastano campioni audio spesso facili da trovare: un video sui social, un’intervista, un webinar, un messaggio vocale. Lo stesso vale per i video: esistono strumenti capaci di sostituire il volto in tempo reale durante una videochiamata.
Come funziona la truffa del CEO
La truffa del CEO (o CEO fraud) esiste da anni: il criminale si finge il vertice di un’azienda e chiede a un collaboratore un pagamento urgente e riservato. La sua variante via email si chiama BEC (business email compromise): una casella di posta viene violata o imitata per inviare fatture con un IBAN diverso.
Lo schema tipico ha quattro ingredienti:
- Autorità: la richiesta arriva da qualcuno a cui non si dice di no (titolare, cliente importante, istituzione).
- Urgenza: “Entro un’ora”, “prima della chiusura”.
- Riservatezza: “Non parlarne con nessuno, è un’operazione delicata”.
- Canale insolito: un numero sconosciuto, WhatsApp, una nuova email.
L’IA aggiunge un ingrediente potentissimo: la voce o il volto giusti.
Casi reali
- Arup (Hong Kong, 2024). Un dipendente della multinazionale di ingegneria ha partecipato a una videochiamata con quelli che sembravano il direttore finanziario e altri colleghi. Erano tutti falsi. Risultato: 15 bonifici per circa 200 milioni di dollari di Hong Kong, circa 25 milioni di dollari USA. L’azienda ha confermato l’uso di “voci e immagini false”.
- Italia, febbraio 2025. Alcuni noti imprenditori hanno ricevuto telefonate in cui la voce, riprodotta con l’IA, era quella del ministro della Difesa Guido Crosetto, che chiedeva denaro per liberare presunti giornalisti rapiti. Secondo la stampa, uno degli imprenditori ha effettuato due bonifici per circa 900.000 euro; la Procura di Milano ha aperto un’indagine.
Se la truffa funziona con manager esperti e grandi imprenditori, può funzionare anche con la segreteria di uno studio.
Come riconoscere una voce clonata?
È sempre più difficile, e non conviene affidarsi all’orecchio. Alcuni indizi possono comparire (pause innaturali, tono piatto, risposte evasive alle domande fuori copione, audio “pulito” in modo strano), ma i sistemi migliorano di mese in mese.
Molto più affidabili sono i segnali di contesto: urgenza, segretezza, richiesta di denaro o dati, numero sconosciuto, impossibilità di essere richiamati. Gli stessi segnali del phishing via email.
Le 5 regole che bloccano la truffa
- Nessun pagamento su richiesta telefonica o via chat, senza eccezioni. Ogni richiesta di bonifico deve passare dal canale ufficiale dello studio.
- Verifica sempre su un secondo canale. Riattacca e richiama il titolare o il cliente al numero che conosci già, non a quello che ti ha chiamato.
- Concorda una parola d’ordine. Una parola o una domanda segreta, nota solo alle persone autorizzate, da chiedere in caso di richieste insolite. Funziona anche in famiglia.
- Doppia firma per i pagamenti sopra una certa soglia e per ogni cambio di IBAN di un fornitore.
- Nessuno viene rimproverato per aver verificato. Il titolare deve dirlo chiaramente: “Se ti chiamo per un bonifico urgente, richiamami sempre”. La paura di disturbare è l’alleato migliore del truffatore.
E la frode via email (BEC)?
La versione via email è ancora più diffusa: una fattura “aggiornata” con un nuovo IBAN, inviata da una casella violata del fornitore vero o da un indirizzo quasi identico. Le contromisure:
- verifica telefonica di ogni variazione di coordinate bancarie, al numero già in anagrafica;
- autenticazione a due fattori sulla posta dello studio, perché sia la tua casella a non essere usata contro i tuoi clienti (→ guida a password e MFA);
- attenzione a regole di inoltro comparse all’improvviso nella casella: sono un segnale di violazione.
Cosa fare se hai già pagato
- Chiama subito la banca e chiedi il richiamo del bonifico: nelle prime ore a volte è possibile bloccarlo.
- Denuncia alla Polizia Postale.
- Conserva tutto: numeri, registrazioni, messaggi, email.
- Avvisa il titolare e, se coinvolti, i clienti o i fornitori di cui è stata usata l’identità.
La procedura completa è nella guida attacco informatico: cosa fare subito.
Il ruolo della tecnologia
Contro la voce clonata la prima difesa è la procedura. La tecnologia aiuta però a chiudere le porte da cui i truffatori raccolgono informazioni o violano le caselle di posta: una rete che si accorge di accessi sospetti o di collegamenti verso siti malevoli, e lo segnala subito al titolare, riduce il rischio che la truffa parta da dentro lo studio. È ciò che fa Strega Defence. Per capire come l’IA sta cambiando le minacce, leggi anche intelligenza artificiale e cybersecurity; per fare il punto sulla sicurezza dello studio, la checklist in 10 domande.
Domande frequenti
Quanto audio serve per clonare una voce?
Con gli strumenti attuali possono bastare pochi secondi di registrazione per ottenere un’imitazione credibile, e qualche minuto per una molto realistica. Video sui social, webinar e messaggi vocali sono fonti facili da reperire.
Come posso verificare se chi mi chiama è davvero il mio titolare o il mio cliente?
Chiudi la chiamata e richiama la persona a un numero che conosci già, oppure fai una domanda o chiedi una parola d’ordine concordata in anticipo. Non usare mai il numero o i contatti forniti durante la chiamata sospetta.
Cos’è la truffa del CEO?
È una frode in cui il criminale si finge il titolare o un dirigente dell’organizzazione e chiede a un collaboratore un pagamento urgente e riservato. Oggi può avvenire via email, telefono, messaggi o videochiamata, anche con voce e volto falsificati dall’intelligenza artificiale.
Si può recuperare un bonifico fatto per una truffa?
A volte sì, se si agisce entro poche ore: la banca può tentare il richiamo del bonifico prima che i fondi vengano spostati. Più tempo passa, più diventa difficile. Bisogna sempre sporgere denuncia alla Polizia Postale.
Anche le videochiamate possono essere false?
Sì. Esistono strumenti in grado di sostituire volto e voce in tempo reale durante una videochiamata, come dimostra il caso Arup del 2024. Per le richieste di denaro vale la stessa regola: verifica su un secondo canale.
Fonti e approfondimenti
- Il caso Arup: truffa deepfake da 25 milioni di dollari a Hong Kong (in inglese) — CNN, 16 maggio 2024.
- Truffa con la voce di Crosetto: le vittime — Calcio e Finanza, 11 febbraio 2025.
- Truffa Crosetto agli imprenditori — Il Giorno.
- Vishing — Garante per la protezione dei dati personali.
- Cybercrime, il report 2025 della Polizia Postale — Sky TG24, 10 gennaio 2026.
- Commissariato di PS Online – segnalazioni — Polizia Postale.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
