# Deepfake vocali e truffe al telefono: come difendere l’azienda

> Deepfake vocali e truffe al telefono con finto CEO o finto fornitore: cosa dicono Polizia Postale, Europol ed ENISA e le procedure per proteggere l’azienda.

Sicurezza · pubblicato il 15 ottobre 2026 · https://aimazing.it/blog/deepfake-vocali-e-truffe-al-telefono-come-difendere-lazienda/

I **deepfake vocali** sono voci imitate con l’intelligenza artificiale e oggi alimentano anche le truffe al telefono contro le aziende: un finto amministratore delegato chiama l’ufficio amministrativo e chiede un bonifico urgente e riservato. La Polizia Postale descrive questa evoluzione della cosiddetta CEO fraud nel suo report annuale 2025. La difesa più efficace non è riconoscere la voce, ma una **procedura di verifica** che nessuna telefonata può saltare.

## In breve

- Secondo la Polizia Postale, con l’AI i criminali possono **ricreare la voce o le movenze** di un dirigente, partendo da informazioni raccolte da fonti aperte, per far disporre bonifici legati a operazioni presentate come riservate e urgenti.
- Nel 2025 la Polizia Postale ha trattato **27.085 procedimenti** di cybercrime economico-finanziario, con somme sottratte superiori a 269 milioni di euro (dati al 21 dicembre 2025).
- Per Europol l’AI generativa rende più realistiche la compromissione delle email aziendali e la CEO fraud, mentre la **falsificazione del numero chiamante** resta un importante strumento di frode.
- L’ENISA osserva che l’AI è usata in particolare nel vishing, il phishing per telefono, e nelle frodi basate sull’impersonificazione, anche con deepfake.

## Cos’è un deepfake vocale e perché funziona al telefono

Un deepfake vocale è un audio generato o modificato con l’AI per imitare la voce di una persona reale: timbro, accento, modo di parlare. Il Servizio di ricerca del Parlamento europeo considera la clonazione della voce la forma di inganno più convincente e difficile da individuare, e ricorda che gli strumenti di rilevamento hanno ancora limiti, soprattutto nelle chiamate.

Al telefono la voce funziona come una firma: se suona come quella del titolare, si tende a fidarsi. Si aggiungono la fretta, la richiesta di riservatezza e spesso un numero sul display che sembra quello giusto. Europol segnala che lo **spoofing**, cioè la falsificazione del numero che compare a chi riceve la chiamata, continua a favorire le frodi, e che i criminali usano sempre più spesso **chatbot vocali** per selezionare le vittime su scala industriale.

## Le truffe più comuni: finto CEO, finto fornitore, finto ente

Gli schemi cambiano nei dettagli, ma si ripetono:

- **Finto CEO**: qualcuno si presenta come dirigente o amministratore e convince un dipendente ad autorizzare un pagamento urgente o a fornire dati riservati, sfruttando l’autorevolezza di chi chiama. È la definizione usata dalla Polizia Postale.
- **Finto fornitore**: spesso parte dalla compromissione di una casella email (la cosiddetta BEC, business email compromise), che serve a raccogliere informazioni su ordini, fatture e interlocutori. Immagina una mail del fornitore abituale con nuove coordinate bancarie, seguita da una telefonata con una voce familiare che «conferma» il cambio.
- **Finto ente o finta banca**: chiamate, SMS e mail che sembrano arrivare da ministeri, enti pubblici o istituti di credito per ottenere password, codici e credenziali. Europol cita anche l’impersonificazione assistita dall’AI di operatori bancari e forze dell’ordine.

La Polizia Postale sottolinea che queste campagne colpiscono persone, **PMI** e grandi società, e che il cybercrime finanziario attira ormai anche gruppi della criminalità organizzata.

## Cosa dicono Europol, ENISA e Polizia Postale

Il rapporto IOCTA 2026 di Europol indica la frode come l’area della criminalità organizzata in più rapida crescita e spiega che l’AI generativa abbassa la soglia di ingresso e rende l’ingegneria sociale più personalizzata e credibile. L’ENISA, nel Threat Landscape 2025, indica il phishing, vishing compreso, come principale via d’ingresso degli attaccanti, con circa il 60% dei casi osservati; nel rapporto 2026 aggiunge che gli attaccanti usano soprattutto strumenti di AI di largo consumo per potenziare competenze che già avevano.

La Polizia Postale porta il punto di vista italiano: oltre alla CEO fraud potenziata dall’AI, segnala i deepfake con volti e voci di personaggi noti usati per pubblicizzare falsi investimenti, e ricorda che il legislatore ha introdotto un **reato specifico** contro queste manipolazioni digitali.

## Le procedure che proteggono davvero

Nessuna di queste regole richiede tecnologia costosa. Servono decisioni scritte e rispettate da tutti, titolare compreso.

1. **Richiamata su un numero noto.** Ogni richiesta di pagamento o di cambio IBAN ricevuta per telefono, vocale o email si verifica richiamando un numero già in anagrafica, mai quello indicato nella chiamata o nel messaggio.
2. **Doppia approvazione.** Bonifici sopra una soglia decisa dall’azienda e variazioni delle coordinate bancarie dei fornitori richiedono il via libera di due persone.
3. **Nessuna eccezione per l’urgenza.** «È riservato, non dirlo a nessuno» e «va fatto entro un’ora» sono segnali d’allarme, non motivi per saltare la procedura.
4. **Parola di controllo.** Tra titolare e amministrazione si può concordare una domanda o una parola da usare per le richieste fuori dall’ordinario.
5. **Meno informazioni in giro.** Organigrammi, viaggi e interviste aiutano chi prepara la truffa: valuta cosa pubblicare su sito e social.
6. **Allenamento.** Brevi simulazioni con amministrazione e centralino valgono più di una circolare.

## Se la truffa è già avvenuta: i primi passi

- Contatta subito la **banca** per tentare il blocco o il richiamo del bonifico.
- Conserva le prove: numeri, orari, registro chiamate, messaggi ed email con le intestazioni complete.
- Denuncia alla **Polizia Postale**: il portale commissariatodips.it raccoglie anche segnalazioni di phishing e di attacchi informatici.
- Avvisa clienti e fornitori se qualcuno si è spacciato per la tua azienda, e cambia le password se una casella email è stata compromessa.

## Cosa fare adesso

Scrivi in una pagina la procedura per pagamenti e cambi IBAN, con soglie, nomi e numeri di verifica, e falla conoscere a chiunque gestisca pagamenti. Poi forma le persone: un percorso di [formazione sull’AI per le aziende](https://aimazing.it/formazione/) aiuta anche a capire cosa l’AI sa già fare con voci e testi. Se usi un assistente vocale per le chiamate in entrata, come [AVI](https://aimazing.it/avi/), imposta regole chiare: si presenta come assistente virtuale, risponde solo con le informazioni approvate e passa a una persona le richieste delicate, come pagamenti o dati bancari.

Informazioni aggiornate a ottobre 2026.

## Domande frequenti

**Come si riconosce una voce clonata con l’AI?**

Spesso non si riconosce: il Servizio di ricerca del Parlamento europeo considera la clonazione della voce la forma di inganno più difficile da individuare, e gli strumenti di rilevamento hanno ancora limiti nelle chiamate. Per questo conviene affidarsi a una procedura di verifica, non all’orecchio.

**Se sul display compare il numero della banca posso fidarmi?**

No. Il numero mostrato può essere falsificato: Europol indica lo spoofing dell’identificativo del chiamante come un importante strumento di frode. Riattacca e richiama il numero ufficiale che trovi sul sito o sui documenti della banca.

**Cosa fare se un dipendente ha già fatto il bonifico?**

Avvisa subito la banca per tentare il blocco o il richiamo del pagamento, conserva tutte le prove e presenta denuncia alla Polizia Postale. Se è stata compromessa una casella email, cambia le password e avvisa i contatti coinvolti.

**Le piccole imprese sono davvero un bersaglio?**

Sì. Nel report annuale 2025 la Polizia Postale spiega che le campagne di phishing, anche telefonico, sono rivolte a persone fisiche, PMI e grandi società, e che CEO fraud e BEC sono favorite dall’aumento delle comunicazioni digitali nelle transazioni commerciali.

## Fonti

- [Polizia di Stato, Servizio Polizia Postale e per la Sicurezza Cibernetica, «Report annuale 2025», dati al 21 dicembre 2025](https://www.commissariatodips.it/docs/Report__annuale_2025__new.pdf)
- [Europol, «IOCTA 2026. The evolving threat landscape: how encryption, proxies and AI are expanding cybercrime», 2026](https://www.europol.europa.eu/cms/sites/default/files/documents/IOCTA-2026.pdf)
- [ENISA, «ENISA Threat Landscape 2025», ottobre 2025](https://www.enisa.europa.eu/sites/default/files/2025-11/ENISA%20Threat%20Landscape%202025.pdf)
- [ENISA, «ENISA Threat Landscape 2026», settembre 2026](https://www.enisa.europa.eu/sites/default/files/2026-09/ENISA%20Threat%20Landscape%202026_Final.pdf)
- [Parlamento europeo, EPRS, «Scam calls in times of generative AI», ottobre 2025](https://www.europarl.europa.eu/RegData/etudes/ATAG/2025/777940/EPRS_ATA(2025)777940_EN.pdf)

---
Articolo del blog di Aimazing S.r.l. (Terni). Pagina originale: https://aimazing.it/blog/deepfake-vocali-e-truffe-al-telefono-come-difendere-lazienda/