Dieci secondi di voce registrata bastano a costruire un clone convincente. Non è fantascienza: è già successo in Italia, a persone comuni, con numeri di telefono familiari. Questa guida spiega come funziona, perché funziona, e cosa fare — prima e dopo.
01 — Cosa succede esattamente: il film in due minuti
Il telefono squilla. Il numero è quello di tuo figlio — lo vedi sullo schermo. La voce è la sua, inconfondibile: il timbro, l'accento regionale, perfino il modo di dire "senti, papà". Ti racconta di essere in difficoltà: un incidente, un portafoglio rubato, un fermo della polizia straniera. Ha bisogno di soldi subito, in contanti o tramite ricarica. Ti chiede di non dire niente alla mamma per non spaventarla.
Quello che stai ascoltando non è tuo figlio. È un file audio generato da un programma di intelligenza artificiale, addestrato su pochi secondi della sua voce — presi da un video su Instagram, da un vocale WhatsApp, da un intervento in una riunione Zoom. Il truffatore ha composto il numero di tuo figlio in modo che appaia sul tuo display, o ha clonato la SIM. Il risultato è una telefonata che suona vera al cento per cento.
Questo schema si chiama "vishing con voice cloning". In Italia, i casi segnalati alla Polizia Postale sono in crescita costante dal 2023. Le vittime non sono ingenui: sono persone attente, spesso istruite, che semplicemente non sapevano che questa tecnologia esistesse. Sapere che esiste è già metà della difesa.
02 — Perché funziona: la leva emotiva che azzera il giudizio
Il cervello umano riconosce la voce di una persona cara in modo quasi automatico, prima ancora che il pensiero razionale abbia il tempo di intervenire. Non è una debolezza: è un meccanismo evolutivo. Per millenni, sentire la voce di un figlio in pericolo ha significato agire subito, senza fare domande. I truffatori lo sanno e costruiscono la telefonata proprio per tenere attivata quella risposta di allarme per tutta la durata della chiamata.
L'urgenza è lo strumento principale. Ogni secondo che passa senza che tu abbia trasferito il denaro è un secondo in cui potresti riflettere, chiamare qualcun altro, insospettirti. Per questo la narrazione accelera: "non ho tempo", "la polizia mi aspetta", "se non arriva entro un'ora perdo tutto". L'urgenza non è un dettaglio della storia: è il meccanismo che impedisce la verifica.
Si aggiunge la vergogna anticipata: "non dirlo alla mamma, si preoccupa". Questo isola la vittima. Se non coinvolgi nessun altro, nessuno può fermarti. È la stessa tecnica usata nelle truffe romantiche e nei raggiri porta a porta: mantenere la vittima sola, in una bolla emotiva, finché la transazione non è completata.
Conoscere queste leve non significa diventare cinici o smettere di fidarsi dei propri cari. Significa riconoscere il momento in cui una telefonata sta cercando di cortocircuitare il tuo giudizio. Quel momento è esattamente quando devi fermarti tre secondi e fare una verifica.
03 — Tre varianti italiane documentate
Il caso più comune in Italia riguarda la dinamica nonno-nipote. Una signora di Torino, 72 anni, ha ricevuto nel 2024 una chiamata dalla voce — chiarissima — di suo nipote universitario a Bologna. Il ragazzo diceva di aver investito una persona in motorino e di aver bisogno di tremila euro per evitare il fermo del mezzo prima dell'udienza. La nonna ha riconosciuto persino il modo in cui il nipote la chiama per nome. Ha versato il denaro tramite ricarica PostePay prima di riuscire a parlare con i suoi figli.
Una seconda variante usa il profilo di un figlio che lavora all'estero — situazione sempre più comune. La voce clonata chiama dal "numero del figlio" (numero che in realtà viene falsificato tramite tecniche di spoofing) e racconta di un problema burocratico in Germania, Svizzera o Spagna. La distanza geografica giustifica l'impossibilità di tornare, e rende meno strano che non si possa verificare di persona.
Una terza variante più recente non riguarda solo i familiari. Alcune aziende italiane di medie dimensioni hanno ricevuto chiamate con la voce clonata di un amministratore delegato o di un direttore finanziario, che ordinava un bonifico urgente a un fornitore estero. In questi casi il bersaglio è un dipendente, spesso in ufficio da solo, che non ha motivo di mettere in dubbio l'identità del proprio superiore. Questa variante si chiama "CEO fraud" e combina il cloning audio con l'ingegneria sociale classica.
04 — Come riconoscere un audio clonato: i segnali acustici
I cloni audio di nuova generazione sono molto migliorati rispetto a quelli di due anni fa. Tuttavia, alcuni segnali residui sono ancora rilevabili se sai dove cercare. Il primo è la respirazione: nelle voci umane reali, il respiro è irregolare, si sente tra una frase e l'altra, cambia con lo stato emotivo. Negli audio sintetici la respirazione è assente, oppure troppo regolare — inserita meccanicamente a intervalli fissi.
Il secondo segnale riguarda la prosodia emotiva. Una voce umana in preda alla paura o allo stress ha variazioni di tono imprevedibili: la voce si inceppa, si alza in modo non controllato, trema in certi punti. I modelli AI tendono a generare un'emozione "media" — la voce suona preoccupata in modo uniforme per tutta la durata della telefonata, senza i picchi e le cadute naturali.
Il terzo segnale è il silenzio. Quando fai una domanda inattesa — soprattutto una domanda personale che richiede un ricordo specifico — una voce clonata si ferma in modo anomalo. Non la pausa di chi pensa: un breve vuoto, come se il sistema stesse cercando la risposta giusta. A volte il truffatore dall'altro lato interviene in carne e ossa per coprire questo vuoto.
Attenzione però: questi segnali non sono infallibili. La tecnologia migliora ogni mese. Non fare affidamento soltanto sull'ascolto. Usa questi segnali come primo campanello, poi passa alla verifica attiva descritta nella sezione successiva.
05 — La parola in codice: la difesa più semplice che esiste
La contromisura più efficace contro il voice cloning non è tecnologica: è una parola concordata in famiglia. Scegli una parola qualunque, bizzarra e non deducibile dal contesto: "melanzana", "pagaia", "trampolino". Condividila solo con le persone di fiducia strette. Se ricevi una chiamata sospetta da un familiare, chiedi quella parola. Se non la sa, la telefonata è falsa — indipendentemente da quanto la voce suoni autentica.
La parola in codice funziona per un motivo semplice: il truffatore non può sapere qualcosa che non è mai stato detto o scritto in un canale pubblico o facilmente intercettabile. Evita parole legate a ricorrenze familiari ("Natale", il nome del cane, il paese d'origine) perché un truffatore preparato potrebbe averle dedotte dai profili social.
Stabilire questa parola è una conversazione che vale la pena fare adesso, con calma, come si fa con il codice PIN dell'allarme di casa. Non aspettare di ricevere una chiamata sospetta per pensarci. Bastano cinque minuti attorno a un tavolo, e una parola scritta su un foglietto conservato in un posto sicuro — non nel telefono.
06 — Tre regole operative da mettere in pratica oggi
**Regola uno: riattacca e richiama.** Se ricevi una chiamata urgente da un familiare che chiede denaro o dati, riattacca — anche se sembra scortese — e richiama tu il numero che hai in rubrica. Non rispondere alla chiamata in arrivo: chiama tu. Se la persona è davvero in difficoltà, risponderà. Se la linea è occupata o non risponde, scrivi un messaggio WhatsApp o SMS con una domanda personale che solo lui o lei può conoscere.
**Regola due: stabilisci un canale di verifica alternativo.** Ogni famiglia dovrebbe avere un secondo contatto di riferimento per le emergenze — un fratello, un cugino, il medico di base. Prima di fare qualunque trasferimento di denaro, chiama quella persona. Il truffatore può clonare una voce, ma difficilmente ha clonato tutta la rete di relazioni.
**Regola tre: il denaro urgente è un segnale, non una notizia.** Ogni volta che una telefonata inizia con "ho urgente bisogno di soldi" o "non ne parlare con nessuno", trattalo come un campanello automatico. Non come prova di truffa, ma come segnale che richiede verifica prima di qualsiasi azione. Anche se quella voce è davvero quella di tuo figlio, aspettare cinque minuti per verificare non cambierà l'esito di una vera emergenza.
07 — Cosa fare con i tuoi dati vocali: la prevenzione a monte
Per clonare una voce, i truffatori hanno bisogno di un campione audio. La fonte più comune sono i social network: video su Facebook, Instagram Reels, TikTok, interventi in diretta streaming, messaggi vocali lasciati in chat pubbliche o semipubbliche. Anche dieci secondi di voce chiara sono sufficienti per i sistemi più avanzati.
Non è necessario sparire dai social. Basta qualche accorgimento: controlla chi può vedere i tuoi video su Facebook (in "Impostazioni" puoi limitare la visibilità a "Amici" anziché "Tutti"). Su WhatsApp, i messaggi vocali nelle chat di gruppo potrebbero essere ascoltati da persone che non conosci direttamente — pensa a chi c'è in quel gruppo prima di mandare un vocale lungo.
Se usi piattaforme di videochiamata per il lavoro (Zoom, Teams, Meet), sappi che le registrazioni delle sessioni sono spesso conservate nel cloud. Non è necessario smettere di usarle, ma è utile sapere che ogni registrazione condivisa all'esterno è un possibile campione vocale. La consapevolezza, ancora una volta, è la prima forma di protezione.
08 — Se ci sei cascato: le prime azioni nelle prime 24 ore
Prima di tutto: non sentirti in colpa. Queste truffe funzionano perché sono costruite su meccanismi psicologici profondi, non sulla ingenuità delle vittime. Riconoscere di essere stati truffati è già un atto di lucidità, e la velocità con cui agisci nelle ore successive può fare la differenza.
Se hai effettuato un bonifico bancario, chiama immediatamente la tua banca — anche fuori orario, il numero di emergenza è attivo 24 ore. Chiedi il blocco del pagamento o il richiamo dei fondi: se il bonifico non è ancora stato accreditato sul conto del destinatario, c'è una finestra di tempo (a volte di poche ore) per bloccarlo. Non aspettare il mattino seguente.
Se hai fatto una ricarica su carta prepagata (PostePay, Hype, Satispay), contatta il servizio clienti dell'emittente e segnala la transazione come fraudolenta. Le probabilità di recupero sono basse, ma esistono, soprattutto se agisci in giornata. Conserva tutti gli screenshot, i riferimenti della transazione, il numero chiamante.
Sporgi denuncia alla Polizia Postale — lo puoi fare anche online su commissariatodips.it, senza doverti recare fisicamente in ufficio. La denuncia è importante non solo per il tuo caso, ma per permettere alle autorità di tracciare i pattern e proteggere altre persone. Porta con te: numero chiamante, orario, importo trasferito, metodo di pagamento.
09 — Come parlarne in famiglia senza creare ansia
Uno degli ostacoli più comuni alla prevenzione è la difficoltà di affrontare il tema senza spaventare i propri cari, soprattutto i genitori anziani. Molte persone evitano la conversazione proprio per non preoccupare chi amano. Il risultato è che le persone più vulnerabili restano senza strumenti.
Un approccio efficace è presentare la parola in codice non come una misura di emergenza, ma come un gioco pratico: "Ho letto una cosa interessante, facciamo una cosa — decidiamo una parola nostra, da usare se qualcuno ci chiama da un numero strano." Nessun allarmismo, nessuna spiegazione tecnica necessaria. Basta la parola.
Se vuoi condividere questa guida con un familiare, puoi usarla come punto di partenza per una conversazione leggera. Non serve diventare esperti di intelligenza artificiale. Basta sapere che esiste questo tipo di truffa, e avere uno strumento semplice — la parola in codice, l'abitudine di richiamare — per non farsi trovare impreparati.
10 — Una regola sola, da ricordare sempre
Di tutto quello che hai letto, se ne resta una sola nella memoria, che sia questa: una voce convincente non è una prova. Nemmeno la voce di tuo figlio, di tua madre, del tuo direttore. La tecnologia ha reso possibile copiare la voce di chiunque. Ma non può copiare la parola in codice che avete concordato di persona, né la telefonata di verifica che fai richiamando tu.
Il meccanismo di difesa non è la diffidenza verso le persone che ami. È un piccolo protocollo — riattacca, richiama, chiedi la parola — che attivi solo nei momenti in cui qualcosa suona strano. La stragrande maggioranza delle chiamate non richiederà nulla di tutto questo. Ma per quel caso su cento, vale la pena averci pensato prima.
Tre secondi. Fanno la differenza.