Una telefonata dal direttore finanziario che chiede un bonifico urgente. La voce è la sua, il tono è quello giusto, l’accento è inconfondibile. Ma non è lui: è un deepfake vocale generato dall’intelligenza artificiale. Questo scenario, fino a pochi anni fa relegato alla fantascienza, è oggi una realtà concreta che ha già causato danni per milioni di euro a livello globale.
Cosa sono i deepfake vocali
Un deepfake vocale (voice deepfake o voice clone) è una riproduzione sintetica della voce di una persona reale, generata da modelli di intelligenza artificiale addestrati su campioni audio della voce originale. Le tecnologie di sintesi vocale basate su deep learning sono in grado di replicare non solo il timbro, ma anche l’intonazione, il ritmo, le pause e le inflessioni dialettali di un individuo.
La qualità dei deepfake vocali è migliorata drasticamente negli ultimi due anni. Nel 2026, diversi sistemi commerciali sono in grado di produrre cloni vocali convincenti a partire da soli 3 secondi di audio originale. I campioni vocali necessari per l’addestramento si trovano facilmente: interviste, podcast, riunioni registrate, messaggi vocali, video sui social media.
Come funziona la tecnologia
I sistemi di clonazione vocale si basano su architetture di reti neurali (tipicamente modelli text-to-speech con componenti di voice conversion) che operano in due fasi principali:
Fase di addestramento
Il modello analizza i campioni audio della voce bersaglio ed estrae le caratteristiche distintive: frequenza fondamentale, formanti, prosodia, velocità di eloquio. Queste caratteristiche vengono codificate in un embedding vocale, una rappresentazione matematica che cattura l’identità della voce.
Fase di sintesi
Una volta creato l’embedding, il sistema può generare audio arbitrario con quella voce. L’attaccante digita un testo o parla nel microfono, e il sistema produce in output l’audio corrispondente con la voce clonata. Le soluzioni più avanzate operano in tempo reale, consentendo conversazioni telefoniche interattive con la voce di qualcun altro.
I tool per la clonazione vocale sono accessibili a costi minimi. Esistono piattaforme commerciali che offrono voice cloning come servizio, e diversi progetti open source permettono a chiunque abbia competenze tecniche di base di generare deepfake vocali sul proprio computer.
Le truffe con voce clonata: come operano i criminali
I criminali utilizzano i deepfake vocali principalmente per due tipologie di frode.
CEO fraud (frode del dirigente)
L’attaccante clona la voce di un dirigente aziendale (CEO, CFO, direttore generale) e chiama un dipendente autorizzato a eseguire pagamenti, tipicamente in contabilità o tesoreria. La richiesta è sempre urgente e riservata: un bonifico da eseguire immediatamente, un pagamento a un nuovo fornitore, il saldo di una fattura su coordinate bancarie diverse dal solito.
La combinazione di voce riconoscibile, senso di urgenza e rapporto gerarchico rende questa truffa estremamente efficace. Il dipendente si trova nella posizione di dover decidere in fretta se eseguire la richiesta del proprio superiore o metterla in discussione.
Truffe familiari
L’attaccante clona la voce di un familiare (figlio, nipote, genitore) e chiama la vittima simulando una situazione di emergenza: un incidente, un arresto, un ricovero. La richiesta è di inviare denaro immediatamente, spesso tramite ricarica su carta prepagata o bonifico istantaneo. Questa tipologia colpisce in particolare le persone anziane.
Casi reali documentati
I deepfake vocali sono passati dalla teoria alla pratica criminale da diversi anni, con episodi di crescente gravità.
- 2019, Regno Unito: il CEO della filiale britannica di un gruppo energetico tedesco trasferì 220.000 euro (circa 243.000 dollari) dopo una telefonata in cui la voce clonata del CEO della casa madre ordinava un pagamento urgente a un fornitore ungherese. È considerato il primo caso documentato di CEO fraud con deepfake vocale. I fondi furono rapidamente trasferiti dal conto ungherese verso il Messico e altre destinazioni.
- 2020, Emirati Arabi Uniti: il direttore di una filiale bancaria autorizzò trasferimenti per 35 milioni di dollari dopo una telefonata con quella che riteneva essere la voce di un dirigente aziendale cliente della banca. I criminali avevano clonato la voce e preparato email di conferma da un falso avvocato. La frode coinvolse almeno 17 persone e portò a un’indagine internazionale tra Emirati Arabi Uniti e Stati Uniti.
- 2024, Italia: la Polizia Postale segnalò un aumento significativo delle truffe telefoniche con voce sintetica ai danni di aziende italiane, con richieste di bonifici verso conti esteri.
- 2025-2026: molteplici segnalazioni in tutta Europa di truffe familiari con voce clonata, con danni unitari da poche migliaia a decine di migliaia di euro.
Come riconoscere un deepfake vocale
Riconoscere un deepfake vocale al telefono è difficile, ma non impossibile. Esistono alcuni indicatori a cui prestare attenzione.
Segnali tecnici
- Qualità audio innaturalmente uniforme, senza i rumori di fondo tipici di una telefonata reale.
- Micro-pause o latenze anomale nelle risposte, dovute ai tempi di elaborazione del modello.
- Leggere distorsioni su alcune consonanti o vocali, artefatti della sintesi.
- Prosodia leggermente meccanica: il ritmo e l’intonazione possono risultare troppo regolari.
- Difficoltà a gestire interruzioni, sovrapposizioni di voce o cambi di argomento improvvisi.
Segnali comportamentali
- Richiesta di denaro urgente e riservata, con pressione a non coinvolgere altri.
- Coordinate bancarie nuove o diverse dal solito.
- Rifiuto di comunicare tramite altri canali (email, videochiamata, incontro di persona).
- Uso di informazioni generiche che chiunque potrebbe conoscere, evitando dettagli privati specifici.
Contromisure: come proteggersi
La difesa dai deepfake vocali richiede un approccio che combina procedure organizzative, consapevolezza delle persone e, dove possibile, strumenti tecnologici.
Procedure di verifica
- Callback di verifica: mai eseguire pagamenti sulla base di una sola telefonata. Richiamare il presunto richiedente al numero già noto (non quello mostrato dal chiamante) per confermare la richiesta.
- Parola chiave concordata: stabilire in anticipo una parola o frase di sicurezza con colleghi e familiari, da utilizzare per verificare l’identità in situazioni critiche.
- Doppia autorizzazione: i pagamenti sopra una certa soglia devono richiedere la conferma di almeno due persone attraverso canali diversi.
- Verifica su canale alternativo: se la richiesta arriva per telefono, verificare via email o messaggio. Se arriva via email, verificare per telefono.
Consapevolezza e formazione
Tutti i dipendenti che gestiscono pagamenti devono sapere che la clonazione vocale esiste ed è accessibile. La formazione deve includere esercitazioni pratiche con scenari simulati di CEO fraud. Anche in ambito familiare è importante parlare di queste truffe con i parenti più vulnerabili, in particolare con le persone anziane.
Limitare l’esposizione della propria voce
Ridurre la quantità di campioni vocali pubblicamente disponibili è una misura di contenimento del rischio. Video, podcast, interviste e messaggi vocali sui social media sono tutte potenziali fonti per l’addestramento di un clone vocale. Questo non significa smettere di comunicare, ma essere consapevoli che ogni registrazione pubblica della propria voce può essere utilizzata.
Strumenti di rilevamento
Il mercato degli strumenti di deepfake detection per l’audio è in rapida evoluzione. Diverse aziende e centri di ricerca stanno sviluppando soluzioni in grado di analizzare una traccia audio e determinare se è stata generata sinteticamente. Tuttavia, al momento nessuno strumento garantisce una precisione del 100%: la corsa tra generazione e rilevamento è continua.
Il quadro normativo
L’AI Act europeo (Regolamento UE 2024/1689) classifica i deepfake come contenuti soggetti a obblighi di trasparenza: chi genera o diffonde contenuti sintetici che riproducono sembianze o voci di persone reali deve indicarne chiaramente la natura artificiale. Ovviamente, i criminali non rispettano questo obbligo, ma il quadro normativo fornisce una base per azioni legali e investigative.
In Italia, le truffe con deepfake vocale configurano reati di truffa aggravata (art. 640 c.p.) e sostituzione di persona (art. 494 c.p.). La Polizia Postale e delle Comunicazioni è l’organo competente per le indagini. In caso di tentativo o truffa riuscita, è fondamentale sporgere denuncia e conservare ogni elemento utile: registrazioni delle chiamate, log telefonici, dettagli delle transazioni.
Conclusione
I deepfake vocali hanno reso obsoleto il principio secondo cui una voce riconosciuta al telefono è garanzia di identità. Nel 2026, chiunque gestisca denaro o informazioni sensibili deve partire dal presupposto che una telefonata, da sola, non è sufficiente per verificare l’identità del chiamante. La combinazione di procedure di verifica multi-canale, formazione continua e consapevolezza del rischio è la difesa più efficace contro una minaccia che diventa ogni giorno più sofisticata e accessibile.