Truffe con deepfake vocali: una parola segreta per proteggere azienda e famiglia

Immaginate questa telefonata: «Papà, ho avuto un problema. Mi servono dei soldi subito. Ti prego, non chiamare nessuno». Dall’altra parte sentite una voce familiare. Oppure siete in amministrazione e arriva un messaggio vocale del titolare: «Fai questo bonifico adesso, poi ti spiego». Sono due scene esemplificative, non il racconto di episodi che mi sono accaduti. Ma pongono una domanda molto concreta: basta riconoscere una voce per sapere chi sta parlando?

Con i deepfake vocali, la risposta è no. E una delle contromisure più accessibili consiste nel concordare in anticipo una parola segreta, o meglio una breve frase segreta, con i propri familiari. In azienda un accordo simile può aiutare, purché resti dentro una procedura di verifica. Mi piace questa soluzione perché si può spiegare senza aprire un manuale di informatica. Però va usata bene: una parola corretta non è un lasciapassare per un bonifico.

Che cosa sono le truffe con deepfake vocali

Un deepfake vocale è un audio sintetico o manipolato che imita la voce di una persona. La Federal Trade Commission, l’autorità statunitense per la tutela dei consumatori, spiega che un truffatore può sfruttare una breve registrazione, anche ricavata da contenuti pubblicati online, per simulare la voce di un familiare. Non esiste una durata magica dell’audio che renda ogni imitazione perfetta: la qualità dipende dallo strumento e dal materiale disponibile.

Il messaggio può arrivare come telefonata o nota vocale. Non occorre immaginare sempre una conversazione generata in tempo reale: anche un breve audio preparato può servire a rendere credibile una richiesta. Nell’allerta del 15 maggio 2025, il Federal Bureau of Investigation (FBI) ha documentato una campagna di messaggi e audio generati con l’AI che impersonavano alti funzionari statunitensi. La clonazione della voce è dunque anche uno strumento per conquistare fiducia e ottenere accesso agli account.

In famiglia: la falsa emergenza mette fretta

Nel nostro esempio, una figlia dice di avere perso il telefono, di essere bloccata o di aver bisogno di un pagamento urgente. Il genitore prova ad aiutare. Il truffatore aggiunge fretta e isolamento: «Non dirlo alla mamma», «Non chiamarmi, questo telefono non riceve», «Manda subito». Il copione mira a far partire il pagamento prima della verifica.

La FTC descrive proprio le false emergenze familiari rese più convincenti dalla clonazione vocale e raccomanda di contattare la persona usando un numero già noto. Se non risponde, suggerisce di cercarla attraverso altri familiari o amici. È un passaggio essenziale: l’impossibilità di raggiungerla subito non conferma la storia raccontata dal chiamante.

Una parola segreta contro i deepfake vocali: come sceglierla

La proposta non è una mia invenzione. Nell’avviso dell’Internet Crime Complaint Center dell’FBI del 3 dicembre 2024, tra le contromisure compare esplicitamente una parola o frase segreta familiare per verificare l’identità. Lo stesso documento descrive l’uso di audio sintetici per impersonare parenti in difficoltà.

Ecco come propongo di trasformare quel consiglio in un’abitudine concreta:

• Scegliete insieme una breve frase insolita e facile da ricordare. Evitate nomi, compleanni, scuole e informazioni che avete già pubblicato. «Il tostapane va in vacanza» è soltanto un esempio inventato per questo articolo: proprio perché è pubblico, non usatelo.
• Concordatela in un momento tranquillo e riservato. Coinvolgete chi potrebbe ricevere una richiesta, compresi i nonni. Spiegate quando serve e fate una prova.
• Tenetela separata dalle password degli account. Non riutilizzate credenziali, PIN o codici bancari. Non pubblicatela e non lasciatela in messaggi o documenti facilmente accessibili.
• Chiedete la frase senza suggerirla. «Qual è la nostra frase?» è diverso da «La frase era il tostapane, vero?». Se la dite voi, avete appena regalato la risposta.
• Cambiatela se viene esposta. Se l’avete pronunciata a un sospetto truffatore o temete che qualcuno l’abbia letta, concordatene una nuova attraverso un contatto verificato.

Se la persona sbaglia o non ricorda, non concludete automaticamente che l’emergenza sia falsa: una persona davvero in difficoltà potrebbe confondersi. Fermate il pagamento e verificate per un’altra strada. La frase serve ad aggiungere un controllo, non a decidere se qualcuno meriti aiuto.

La regola da ricordare: chiedi, chiudi, richiama

Una richiesta urgente di denaro o dati dovrebbe attivare questa sequenza: chiedi la frase, chiudi la chiamata, richiama il numero che conosci già. Non usare quello indicato nel nuovo messaggio. Se non riesci a verificare, coinvolgi un altro contatto fidato. Anche se la frase è corretta, una richiesta insolita merita conferma.

Il limite è semplice: un segreto può essere rubato, ascoltato o fatto rivelare con un inganno. Una volta noto, può essere pronunciato anche dalla voce falsa. Per questo considero la parola segreta un controllo in più, non una protezione infallibile. Non comunicate mai codici di accesso temporanei per “dimostrare chi siete”: l’FBI avverte anche del furto dei codici di autenticazione attraverso queste campagne.

In azienda: il capo deve rispettare la procedura

Torniamo al falso titolare. «Sono in riunione, non posso parlare. Paga questo nuovo fornitore». Una frase di verifica concordata con un gruppo ristretto può far emergere un problema, ma non dovrebbe autorizzare un’operazione. Se tutti in azienda conoscono lo stesso segreto e lo scrivono ovunque, quel controllo perde gran parte del suo valore.

Nella guida al Business Email Compromise, le frodi che sfruttano comunicazioni aziendali apparentemente legittime, l’FBI raccomanda di verificare richieste di pagamento e cambiamenti delle coordinate attraverso un contatto diretto, prestando particolare attenzione alla fretta. Il consiglio riguarda le frodi via email, ma applicarlo anche alle richieste vocali è una precauzione organizzativa sensata.

La procedura che suggerisco alle aziende prevede:

• Richiamata su un recapito già verificato per richieste insolite e cambi di IBAN, usando la rubrica aziendale o l’anagrafica del fornitore.
• Seconda approvazione per pagamenti rilevanti o fuori dalle modalità abituali, secondo soglie definite dall’organizzazione.
• Conferma nel sistema previsto per i pagamenti, con verifica di beneficiario, importo e causale. Un audio non deve sostituire l’autorizzazione.
• Possibilità di sospendere l’operazione senza rimproveri. La verifica deve essere consentita anche quando la richiesta sembra arrivare dall’amministratore delegato.

La frase utile per chi lavora in amministrazione è: «Verifico attraverso il canale concordato e poi procedo». Questa può essere pubblica: è una regola di lavoro, non il segreto di autenticazione.

Perché non basta cercare una voce metallica

Accenti strani, pause e risposte incoerenti possono insospettire, ma non sono un test affidabile. Una cattiva connessione può rendere strana anche una chiamata autentica. Il National Cyber Security Centre britannico segnala che i contenuti sintetici diventano più difficili da distinguere e che gli strumenti di rilevamento possono essere inefficaci o inaffidabili. Affidare tutto all’orecchio, o a un’app che promette un verdetto definitivo, lascia quindi un vuoto nella verifica.

Per vedere un esempio giornalistico del problema, questo servizio di NBC News del marzo 2023, in inglese, racconta il rischio delle chiamate che imitano la voce di un familiare. È un approfondimento d’archivio, non una misura della diffusione attuale delle truffe.

Una prova da fare prima della telefonata

Dedicate pochi minuti a una simulazione concordata, senza clonare voci e senza spaventare nessuno. Una persona interpreta una richiesta insolita di denaro; l’altra chiede la frase, interrompe e richiama il contatto già noto. Poi invertite i ruoli. In ufficio aggiungete il passaggio della seconda approvazione. Se durante la prova nessuno sa chi chiamare, avete trovato qualcosa da sistemare prima di una vera emergenza.

Per chi vuole lavorare sul tema con i figli, nel mio corso sull’intelligenza artificiale per genitori con Fastweb Digital Academy c’è anche un modulo dedicato ai deepfake e alla verifica dei contenuti.

Se avete già disposto un pagamento sospetto, contattate subito la banca o il servizio usato per pagare e chiedete quali interventi siano ancora possibili, senza dare per certo il recupero. Conservate messaggi e dettagli dell’operazione; in azienda avvisate immediatamente chi gestisce sicurezza e amministrazione. La tempestività nel contattare l’intermediario è raccomandata anche dalla guida dell’FBI alle frodi BEC.

Il consiglio che lascio è molto pratico: concordate oggi una frase riservata e una procedura di richiamata. Non serve smettere di fidarsi dei familiari o dei colleghi. Serve dare alla fiducia un modo per verificare chi sta davvero chiedendo qualcosa. Una voce può essere imitata; la vostra procedura deve continuare a valere anche quando quella voce sembra perfetta.

Vuoi organizzare un corso sull’AI e sui rischi dei deepfake?

Organizzo corsi e workshop per aziende, enti e associazioni sull’uso consapevole dell’intelligenza artificiale, con esempi pratici e simulazioni. Se vuoi approfondire questi temi con il tuo team o organizzare un incontro per famiglie e genitori, scrivimi usando il modulo qui sotto.

Puoi indicare il pubblico, il tema e il formato dell’incontro che hai in mente.