Il motivo è semplice: permettono a criminali e reti organizzate di imitare voci reali, tenere le vittime al telefono e spingerle a consegnare denaro, codici o dati personali.

Bastano pochi secondi presi da un video sui social, da un vocale o da una registrazione pubblica perché un software di clonazione vocale riesca a produrre una voce molto simile all’originale. È il salto che preoccupa autorità, società di sicurezza informatica e associazioni dei consumatori. Le vecchie telefonate automatiche, un tempo facili da smascherare per il tono metallico e le pause innaturali, oggi possono parlare con inflessioni, esitazioni e accenti familiari. Non sempre la truffa riesce. Ma quando riesce, può fare danni in pochi minuti.

Il copione, nella parte visibile, è lineare. Arriva una chiamata da un numero sconosciuto, oppure da un contatto falsificato con tecniche di spoofing telefonico. Dall’altra parte c’è una voce registrata, o guidata in tempo reale, che chiede di agire subito. “Sono io, ho bisogno di aiuto”, “c’è un problema sul conto”, “serve confermare un codice”. Frasi brevi, pressione alta, poco tempo per ragionare. Secondo gli esperti di cybersecurity, il pericolo non sta solo nella tecnologia, ma nell’incrocio tra voce credibile, dati personali già disponibili online e reazioni emotive della vittima.

Dalle truffe familiari ai finti operatori: gli scenari più rischiosi

Lo scenario più temuto resta quello delle truffe familiari. Una voce clonata si presenta come un figlio, un nipote o un coniuge in difficoltà. La telefonata, spesso, arriva in un momento studiato: la sera, durante l’orario di lavoro, oppure quando la persona presa di mira è più sola. “Ho avuto un incidente”, “mi hanno rubato il telefono”, “devi mandare subito soldi”. Il copione cambia poco, ma l’effetto può essere forte, soprattutto sugli anziani. In quei secondi, se la voce sembra quella giusta, le difese si abbassano.

C’è poi il fronte dei finti operatori bancari, già molto diffuso anche prima dell’IA. Qui la voce artificiale può fingersi un addetto dell’istituto di credito, un tecnico antifrode o un impiegato del servizio clienti. La richiesta riguarda quasi sempre codici temporanei, conferme sull’app, bonifici “di sicurezza” o credenziali di accesso.

Le banche lo ripetono da tempo: nessun operatore chiede al telefono password, Pin o codici Otp. Eppure, se la chiamata sembra arrivare da un numero noto e la voce è calma, competente, magari persino gentile, la trappola diventa più difficile da riconoscere.

Un altro terreno delicato riguarda aziende e studi professionali. Un dipendente può ricevere una telefonata che imita la voce di un dirigente e ordina un pagamento urgente, magari verso un fornitore estero o un nuovo Iban. In questi casi si parla spesso di frodi BEC, cioè compromissione della comunicazione aziendale, oggi rese più insidiose dalla componente audio.

Non servono sempre grandi organizzazioni criminali: a volte bastano un profilo LinkedIn, il video di una conferenza e qualche informazione recuperata da una mail finita fuori controllo.

Quando la voce sembra vera: come riconoscere una chiamata sospetta

La prima difesa contro le robocall con voce clonata è il tempo. Fermarsi trenta secondi, chiudere la conversazione, richiamare la persona su un numero già salvato in rubrica: gesti banali, ma spesso decisivi. Investigatori e associazioni dei consumatori invitano a diffidare delle richieste che mettono insieme urgenza, segretezza e denaro. Se chi chiama dice “non avvisare nessuno”, “fallo subito”, “non riagganciare”, il campanello d’allarme deve suonare. Forte.

Un sistema pratico, suggerito da diversi esperti, è concordare in famiglia una parola di sicurezza o una domanda privata che non si possa ricavare dai social. Non il nome del cane, se compare su Instagram. Meglio un dettaglio di casa, un ricordo condiviso, qualcosa che non sia pubblico. Anche nelle aziende serve una regola chiara: nessun bonifico disposto solo a voce, doppia verifica su un canale diverso, conferma scritta da indirizzi controllati. È un passaggio in più, certo. Ma può evitare guai seri.

Occhio anche ai segnali tecnici. Le voci generate dall’intelligenza artificiale possono avere pause strane, risposte fuori tema, cambi improvvisi di tono o difficoltà davanti a domande inattese. Non succede sempre, perché i sistemi migliorano in fretta. Però una domanda laterale — “dove ci siamo visti ieri?”, “che cosa dovevi dirmi stamattina?” — può mettere in difficoltà un audio preregistrato o un truffatore che lo sta guidando. E se il dubbio resta, meglio chiudere. Senza discutere.

Regole, piattaforme e contromisure: come arginare i cloni vocali

Il contrasto alle truffe telefoniche con IA passa da più fronti: norme, controlli sugli operatori, strumenti tecnici e informazione dei cittadini. In Europa, l’AI Act introduce obblighi di trasparenza per alcuni contenuti generati artificialmente. Intanto le autorità nazionali per le comunicazioni e la privacy continuano a intervenire su telemarketing aggressivo, numerazioni falsificate e uso illecito dei dati. Il problema, però, corre più veloce delle regole. E spesso supera i confini.

Le piattaforme che offrono strumenti di sintesi vocale sono chiamate a rafforzare verifiche, filtri e tracciamento degli abusi. Alcune aziende hanno già introdotto watermark audio, limiti alla clonazione di voci senza consenso e sistemi per riconoscere i contenuti artificiali. Non basta, spiegano gli analisti. Molti strumenti circolano anche in versioni poco controllate, oppure vengono usati da gruppi che agiscono fuori dalle giurisdizioni europee. La tecnologia aiuta, ma non chiude la partita.

Resta decisivo il comportamento di chi riceve la chiamata. Segnalare telefonate sospette alla propria banca, all’operatore telefonico, alla Polizia postale o alle autorità competenti aiuta a ricostruire schemi e numeri usati nelle campagne di frode. Conservare screenshot, orari, numeri e messaggi può essere utile in caso di denuncia. La regola finale è meno tecnica di quanto sembri: una voce familiare, da sola, non è più una prova di identità. Nel dubbio, si riaggancia e si verifica. Prima di pagare, prima di cliccare, prima di fidarsi.