I deepfake vocali sono voci imitate con l’intelligenza artificiale e oggi alimentano anche le truffe al telefono contro le aziende: un finto amministratore delegato chiama l’ufficio amministrativo e chiede un bonifico urgente e riservato. La Polizia Postale descrive questa evoluzione della cosiddetta CEO fraud nel suo report annuale 2025. La difesa più efficace non è riconoscere la voce, ma una procedura di verifica che nessuna telefonata può saltare.
In breve
- Secondo la Polizia Postale, con l’AI i criminali possono ricreare la voce o le movenze di un dirigente, partendo da informazioni raccolte da fonti aperte, per far disporre bonifici legati a operazioni presentate come riservate e urgenti.
- Nel 2025 la Polizia Postale ha trattato 27.085 procedimenti di cybercrime economico-finanziario, con somme sottratte superiori a 269 milioni di euro (dati al 21 dicembre 2025).
- Per Europol l’AI generativa rende più realistiche la compromissione delle email aziendali e la CEO fraud, mentre la falsificazione del numero chiamante resta un importante strumento di frode.
- L’ENISA osserva che l’AI è usata in particolare nel vishing, il phishing per telefono, e nelle frodi basate sull’impersonificazione, anche con deepfake.
Cos’è un deepfake vocale e perché funziona al telefono
Un deepfake vocale è un audio generato o modificato con l’AI per imitare la voce di una persona reale: timbro, accento, modo di parlare. Il Servizio di ricerca del Parlamento europeo considera la clonazione della voce la forma di inganno più convincente e difficile da individuare, e ricorda che gli strumenti di rilevamento hanno ancora limiti, soprattutto nelle chiamate.
Al telefono la voce funziona come una firma: se suona come quella del titolare, si tende a fidarsi. Si aggiungono la fretta, la richiesta di riservatezza e spesso un numero sul display che sembra quello giusto. Europol segnala che lo spoofing, cioè la falsificazione del numero che compare a chi riceve la chiamata, continua a favorire le frodi, e che i criminali usano sempre più spesso chatbot vocali per selezionare le vittime su scala industriale.
Le truffe più comuni: finto CEO, finto fornitore, finto ente
Gli schemi cambiano nei dettagli, ma si ripetono:
- Finto CEO: qualcuno si presenta come dirigente o amministratore e convince un dipendente ad autorizzare un pagamento urgente o a fornire dati riservati, sfruttando l’autorevolezza di chi chiama. È la definizione usata dalla Polizia Postale.
- Finto fornitore: spesso parte dalla compromissione di una casella email (la cosiddetta BEC, business email compromise), che serve a raccogliere informazioni su ordini, fatture e interlocutori. Immagina una mail del fornitore abituale con nuove coordinate bancarie, seguita da una telefonata con una voce familiare che «conferma» il cambio.
- Finto ente o finta banca: chiamate, SMS e mail che sembrano arrivare da ministeri, enti pubblici o istituti di credito per ottenere password, codici e credenziali. Europol cita anche l’impersonificazione assistita dall’AI di operatori bancari e forze dell’ordine.
La Polizia Postale sottolinea che queste campagne colpiscono persone, PMI e grandi società, e che il cybercrime finanziario attira ormai anche gruppi della criminalità organizzata.
Cosa dicono Europol, ENISA e Polizia Postale
Il rapporto IOCTA 2026 di Europol indica la frode come l’area della criminalità organizzata in più rapida crescita e spiega che l’AI generativa abbassa la soglia di ingresso e rende l’ingegneria sociale più personalizzata e credibile. L’ENISA, nel Threat Landscape 2025, indica il phishing, vishing compreso, come principale via d’ingresso degli attaccanti, con circa il 60% dei casi osservati; nel rapporto 2026 aggiunge che gli attaccanti usano soprattutto strumenti di AI di largo consumo per potenziare competenze che già avevano.
La Polizia Postale porta il punto di vista italiano: oltre alla CEO fraud potenziata dall’AI, segnala i deepfake con volti e voci di personaggi noti usati per pubblicizzare falsi investimenti, e ricorda che il legislatore ha introdotto un reato specifico contro queste manipolazioni digitali.
Le procedure che proteggono davvero
Nessuna di queste regole richiede tecnologia costosa. Servono decisioni scritte e rispettate da tutti, titolare compreso.
- Richiamata su un numero noto. Ogni richiesta di pagamento o di cambio IBAN ricevuta per telefono, vocale o email si verifica richiamando un numero già in anagrafica, mai quello indicato nella chiamata o nel messaggio.
- Doppia approvazione. Bonifici sopra una soglia decisa dall’azienda e variazioni delle coordinate bancarie dei fornitori richiedono il via libera di due persone.
- Nessuna eccezione per l’urgenza. «È riservato, non dirlo a nessuno» e «va fatto entro un’ora» sono segnali d’allarme, non motivi per saltare la procedura.
- Parola di controllo. Tra titolare e amministrazione si può concordare una domanda o una parola da usare per le richieste fuori dall’ordinario.
- Meno informazioni in giro. Organigrammi, viaggi e interviste aiutano chi prepara la truffa: valuta cosa pubblicare su sito e social.
- Allenamento. Brevi simulazioni con amministrazione e centralino valgono più di una circolare.
Se la truffa è già avvenuta: i primi passi
- Contatta subito la banca per tentare il blocco o il richiamo del bonifico.
- Conserva le prove: numeri, orari, registro chiamate, messaggi ed email con le intestazioni complete.
- Denuncia alla Polizia Postale: il portale commissariatodips.it raccoglie anche segnalazioni di phishing e di attacchi informatici.
- Avvisa clienti e fornitori se qualcuno si è spacciato per la tua azienda, e cambia le password se una casella email è stata compromessa.
Cosa fare adesso
Scrivi in una pagina la procedura per pagamenti e cambi IBAN, con soglie, nomi e numeri di verifica, e falla conoscere a chiunque gestisca pagamenti. Poi forma le persone: un percorso di formazione sull’AI per le aziende aiuta anche a capire cosa l’AI sa già fare con voci e testi. Se usi un assistente vocale per le chiamate in entrata, come AVI, imposta regole chiare: si presenta come assistente virtuale, risponde solo con le informazioni approvate e passa a una persona le richieste delicate, come pagamenti o dati bancari.
Informazioni aggiornate a ottobre 2026.
Domande frequenti
Come si riconosce una voce clonata con l’AI?
Spesso non si riconosce: il Servizio di ricerca del Parlamento europeo considera la clonazione della voce la forma di inganno più difficile da individuare, e gli strumenti di rilevamento hanno ancora limiti nelle chiamate. Per questo conviene affidarsi a una procedura di verifica, non all’orecchio.
Se sul display compare il numero della banca posso fidarmi?
No. Il numero mostrato può essere falsificato: Europol indica lo spoofing dell’identificativo del chiamante come un importante strumento di frode. Riattacca e richiama il numero ufficiale che trovi sul sito o sui documenti della banca.
Cosa fare se un dipendente ha già fatto il bonifico?
Avvisa subito la banca per tentare il blocco o il richiamo del pagamento, conserva tutte le prove e presenta denuncia alla Polizia Postale. Se è stata compromessa una casella email, cambia le password e avvisa i contatti coinvolti.
Le piccole imprese sono davvero un bersaglio?
Sì. Nel report annuale 2025 la Polizia Postale spiega che le campagne di phishing, anche telefonico, sono rivolte a persone fisiche, PMI e grandi società, e che CEO fraud e BEC sono favorite dall’aumento delle comunicazioni digitali nelle transazioni commerciali.
Fonti
- Polizia di Stato, Servizio Polizia Postale e per la Sicurezza Cibernetica, «Report annuale 2025», dati al 21 dicembre 2025
- Europol, «IOCTA 2026. The evolving threat landscape: how encryption, proxies and AI are expanding cybercrime», 2026
- ENISA, «ENISA Threat Landscape 2025», ottobre 2025
- ENISA, «ENISA Threat Landscape 2026», settembre 2026
- Parlamento europeo, EPRS, «Scam calls in times of generative AI», ottobre 2025