Squilla il telefono. Una voce in lacrime, agitata, identica a quella di tuo figlio: "Mamma, ho avuto un incidente, mi serve aiuto, sono in caserma." Sembra davvero lui. La cadenza, l'accento, persino il modo in cui trascina certe parole. Riattacchi solo dopo aver promesso di mandare denaro. Pochi minuti dopo lo chiami sul suo numero: risponde tranquillo, è in ufficio, non sa di cosa parli.
Hai appena sfiorato una truffa con deepfake vocale, una delle minacce cresciute di più negli ultimi due anni in Italia. La clonazione della voce ha raggiunto un livello in cui bastano pochi secondi di audio per produrre una replica convincente. Non è fantascienza, è il presente.
Quello che non ti dicono i titoli allarmistici è la cosa più utile: contro questa truffa non serve un orecchio da fonico. Riconoscere il falso "al suono" è quasi impossibile, e diventerà del tutto impossibile. La voce clonata copia il timbro, non la memoria e non l'imprevisto. La difesa numero uno resta banale e vecchia come il telefono: riaggancia e richiama tu la persona vera. Tutto il resto - i segnali, le app, le leggi - è di contorno.
Come si arriva a clonare una voce in pochi secondi
Le tecnologie di sintesi vocale basate su intelligenza artificiale, il cosiddetto voice cloning, sono migliorate in fretta. Oggi generare un audio sintetico non richiede competenze tecniche: bastano un servizio online e un campione della voce da imitare.
Il "kit" del truffatore ha tre pezzi:
- Un campione vocale. Pochi secondi bastano, spesso prelevati da video su Instagram, TikTok o YouTube. Anche un auguri di compleanno postato sui social è abbastanza.
- Un servizio di clonazione. Nato per usi legittimi come audiolibri e doppiaggio, ma piegato allo scopo dai criminali.
- Un copione di emergenza. Frasi standard modulate sulla voce clonata e riprodotte al telefono, a volte quasi in tempo reale.
Il dettaglio più sgradevole è che i modelli recenti riproducono anche l'emozione: paura, pianto, affanno. Non è solo una voce, è una piccola recita costruita per farti perdere lucidità nel momento peggiore.
Le prime truffe documentate in Italia
Le segnalazioni italiane sono ancora poche rispetto al fenomeno globale, ma il trend è in salita. Polizia Postale e CSIRT Italia hanno iniziato a registrare casi negli ultimi anni. Il copione ricalca quello già diffuso negli Stati Uniti, dove le autorità hanno emesso allerte specifiche.
Lo schema tipico in Italia segue questa sequenza:
- I criminali scelgono una vittima anziana con figli o nipoti adulti, incrociando social, fughe di dati e segnalazioni di altre vittime.
- Raccolgono qualche secondo di voce del figlio o del nipote da contenuti social pubblici.
- Generano l'audio clonato con un copione di emergenza: incidente, arresto, ospedale.
- Chiamano la vittima, spesso sul fisso, da un numero italiano falsificato.
- La voce finta si appoggia a voci reali di "figure autorevoli" - un finto avvocato, un finto carabiniere - per chiudere la partita.
È la versione potenziata di una truffa vecchia. La classica truffa del finto nipote funzionava con un attore che imitava alla meglio; ora la voce è quella vera della persona, e questo abbatte le difese di chi ascolta.
Come riconoscere un deepfake vocale (e perché non basta)
I sistemi di clonazione hanno ancora dei punti deboli. Servono a insospettirti, non a darti una certezza.
| Segnale | Come si manifesta |
|---|---|
| Pause innaturali | Ritardo tra le frasi più lungo del normale, soprattutto alle domande impreviste |
| Cadenza piatta | Il ritmo è uniforme, mancano i micro-scarti di un parlato vero |
| Risposte vaghe ai dettagli personali | Chiedi "cosa abbiamo mangiato a Natale?" e il sistema fatica a improvvisare |
| Audio di fondo strano | Eco artificiale, rumore "generico" o silenzio assoluto |
| Pianto in loop | Le emozioni sembrano forzate e lo stesso singhiozzo si ripete uguale |
| Non ti fa parlare | Il copione è lineare: se chiedi particolari, l'altro "non sente" e tira dritto |
A nostro avviso questa lista va usata al contrario. Non sprecare secondi preziosi a fare l'analista dell'audio: se ti insospettisci anche solo un po', salta direttamente alla verifica. Il test più affidabile è una domanda imprevedibile su un dettaglio vostro: il nome del cane, la via della scuola elementare, un soprannome di famiglia. La macchina non li conosce, e balbetta.
La difesa numero uno: la parola d'ordine familiare
Le autorità italiane e straniere convergono su un metodo semplice: una parola d'ordine familiare, condivisa solo tra parenti stretti. Una parola qualsiasi, non un nome e non un dato deducibile, che chi chiama in una vera emergenza deve pronunciare subito.
- Scegli una parola insieme alla famiglia: meglio un oggetto concreto e non scontato ("girasole", "tarocco", "biblioteca").
- Spiega la regola a tutti: nell'emergenza vera, la parola si dice per prima.
- Se arriva una chiamata drammatica e la parola non c'è, chiedila: "Dimmi la parola d'ordine."
- Se l'altro non sa rispondere, riaggancia e chiama tu il numero abituale.
- Aggiornala ogni tanto, soprattutto se temi di averla pronunciata in un audio finito sui social.
Le famiglie con persone anziane ne traggono il beneficio maggiore. Una sola parola in testa vale più di dieci ore di corsi sulla cybersicurezza, perché funziona proprio quando la paura spegne il ragionamento.
Ridurre i campioni della tua voce
L'altra metà della difesa è togliere materia prima ai truffatori. Non è semplice in un mondo che spinge al video, ma qualcosa si può fare.
- Rendi privati i profili social più esposti, soprattutto Instagram, TikTok e YouTube. Un profilo chiuso offre molti meno campioni raccoglibili.
- Evita video lunghi in cui parli a ruota libera. Bastano pochi secondi al criminale, ma perché regalargliene di più.
- Diffida delle app che chiedono campioni vocali per "creare avatar" o "voci personalizzate": quei dati finiscono in archivi non sempre protetti.
- Parla con i più giovani: i loro video possono essere usati per colpire i nonni.
- Ricontrolla le impostazioni privacy ogni tanto. Le piattaforme cambiano i valori predefiniti senza avvisare.
Cosa dice la legge europea sull'AI
Nel 2024 è entrato in vigore il Regolamento europeo sull'intelligenza artificiale, noto come AI Act. Tocca da vicino anche il voice cloning.
- I sistemi che generano audio sintetico devono prevedere forme di etichettatura che segnalino l'origine artificiale del contenuto.
- L'uso di deepfake per ingannare o truffare è vietato.
- Chi sviluppa questi modelli deve adottare misure per ridurne l'abuso.
L'applicazione pratica è ancora in rodaggio e le sanzioni previste sono pesanti, ma la verità è che nessuna norma ti proteggerà nei quindici secondi di una telefonata. La legge inquadra il problema; a difenderti, nel momento, sei solo tu con la tua procedura.
Cosa fare se sospetti una truffa con deepfake
- Riaggancia e richiama il numero della persona dal tuo registro. Verifica prima di tutto.
- Non inviare denaro né dati finché non hai sentito la persona vera.
- Conserva la registrazione della chiamata, se il telefono lo consente: serve alle indagini.
- Sporgi denuncia alla Polizia Postale, segnalando esplicitamente il sospetto di deepfake vocale.
- Segnala al CSIRT Italia per la parte tecnica e di allerta cyber.
- Avvisa i familiari anziani: sapere che la truffa esiste è già mezza difesa.
Se hai davvero fornito dati o denaro, il protocollo minuto per minuto è nella nostra guida sulle prime 24 ore dopo aver dato dati al telefono.
Domande frequenti sul deepfake vocale
Quanti secondi di audio servono per clonare una voce?
Le tecnologie più recenti producono voci convincenti con pochi secondi di campione, e risultati ancora migliori con mezzo minuto abbondante. Per chi vuole esporsi meno, la regola è semplice: il meno possibile, e mai in pubblico.
Solo le famiglie ricche sono un bersaglio?
No, spesso le vittime sono famiglie di ceto medio. I criminali ragionano sul rapporto tra sforzo e incasso: se con poche ore di lavoro tecnico ottengono una cifra media da una famiglia comune, lo fanno senza problemi.
La banca o l'operatore possono riconoscere una voce clonata?
Alcune banche stanno integrando sistemi che rilevano voci sintetiche nelle verifiche telefoniche, ma sono strumenti giovani. Per ora la difesa vera è personale: verificare in modo indipendente chi ti sta chiamando.
Esistono app che smascherano i deepfake?
Le soluzioni in circolazione sono pensate per le aziende, non per i privati. Per te il metodo casalingo - domanda imprevedibile più parola d'ordine familiare - resta il più efficace e non costa nulla.
Come spiego il rischio ai miei genitori senza spaventarli?
Trasformalo in una regola operativa: "Se ricevi una chiamata di emergenza, riaggancia e chiama tu prima di fare qualsiasi cosa. Se non risponde, chiama un altro parente." Una persona anziana si difende molto meglio con una procedura chiara che con un discorso sull'intelligenza artificiale.
In sintesi
Il deepfake vocale rende la truffa del finto nipote quasi perfetta all'orecchio, e presto lo sarà del tutto. Per questo non affidarti alla capacità di sentire il falso: la tua difesa è la procedura, non l'udito. Riaggancia e richiama il numero vero, tieni una parola d'ordine di famiglia e riduci i campioni di voce che lasci in giro. La voce si può clonare, i vostri ricordi condivisi no.