Truffe con videochiamate deepfake: come riconoscerle e proteggersi

Le truffe con videochiamate deepfake usano l'intelligenza artificiale per sostituire volto e voce di chi truffa con una copia convincente di qualcuno di cui ti fidi: un collega, un dirigente, un familiare o una persona con cui hai un legame sentimentale. La tecnologia è arrivata al punto in cui un deepfake in tempo reale risulta indistinguibile a un occhio non allenato durante una videochiamata dal vivo. In un caso molto discusso, un responsabile finanziario ha disposto il bonifico di una somma ingente verso un conto fraudolento dopo aver partecipato a quella che sembrava a tutti gli effetti una riunione video con i vertici aziendali: ogni persona presente a quella chiamata era un deepfake. Capire come funzionano queste truffe e quali segnali cercare è ormai indispensabile per chiunque comunichi in video.

Che cos'è una truffa con videochiamata deepfake

A differenza dei video deepfake preregistrati, le chiamate deepfake dal vivo permettono a chi truffa di interagire in modo dinamico: rispondere alle domande, reagire in modo naturale e reggere l'illusione per l'intera conversazione. La tecnologia parte da immagini e audio pubblicamente disponibili di una persona reale per costruire una copia generata dall'IA che può essere usata in tempo reale da qualsiasi parte del mondo.

Le truffe con videochiamate deepfake servono a due scopi principali. Il primo è la frode finanziaria: impersonare dirigenti, colleghi o figure di autorità per far autorizzare bonifici o farsi consegnare credenziali. Il secondo è lo sfruttamento personale, cioè impersonare partner o contatti fidati per manipolare emotivamente la vittima o ottenere contenuti intimi. In entrambi i casi la truffa funziona perché il cervello umano è costruito per fidarsi di un volto e di una voce familiari, anche quando qualcosa sembra leggermente fuori posto.

Come funzionano queste truffe

Le truffe deepfake seguono un processo prevedibile, articolato in fasi. Capire ogni fase aiuta a riconoscere e interrompere l'attacco prima che produca danni.

Raccolta dei dati

Chi truffa raccoglie immagini, video e registrazioni audio pubblicamente disponibili della persona da imitare: profili social, LinkedIn, YouTube, siti aziendali, registrazioni di conferenze. Più materiale di partenza c'è, più il deepfake è convincente. Bastano pochi secondi di audio nitido per clonare una voce. È per questo che le persone più esposte pubblicamente, cioè dirigenti, creator e professionisti con una presenza online, sono le più spesso impersonate.

Addestramento del modello

Usando reti generative avversarie (GAN), l'IA si addestra sui dati raccolti e impara la struttura del volto, le espressioni, il timbro, l'intonazione, l'accento e i modi di fare della persona. Gli strumenti attuali producono risultati convincenti nel giro di poche ore, il che rende questi attacchi accessibili anche a gruppi criminali con risorse tecniche modeste.

La chiamata

Durante la chiamata dal vivo, il flusso della webcam di chi truffa viene intercettato da un software di face swapping che sovrappone in tempo reale il volto generato dall'IA. Anche la voce viene clonata e sintetizzata. A quel punto chi truffa impersona la persona scelta per chiedere bonifici, credenziali, informazioni riservate o contenuti intimi, spesso creando un'urgenza artificiale per impedire qualsiasi verifica.

Chi viene preso di mira

Queste truffe colpiscono soprattutto tre gruppi. I dipendenti di azienda ricevono chiamate da finti dirigenti che chiedono bonifici urgenti o accessi a sistemi. I privati ricevono chiamate da finti familiari che dichiarano un'emergenza. E le vittime di truffe sentimentali vengono manipolate da finti interessi amorosi che usano tecniche di ricatto tramite videochiamata per reggere l'illusione prima di chiedere denaro. In tutti i casi il filo comune è l'impersonificazione di una persona fidata unita all'urgenza.

Come riconoscere una videochiamata deepfake

La tecnologia attuale, per quanto impressionante, lascia ancora artefatti individuabili. Abituati a notare questi segnali durante qualsiasi videochiamata inattesa o dalle conseguenze importanti:

• Sincronizzazione labiale imperfetta: parlato e movimento delle labbra leggermente sfasati, soprattutto sulle parole rapide o complesse
• Ammiccamento innaturale: troppo raro, troppo frequente o con tempi strani
• Illuminazione incoerente: il volto appare illuminato diversamente rispetto allo sfondo o al corpo
• Bordi sfocati: leggera sfocatura o sfarfallio all'attaccatura dei capelli, alle orecchie o al collo
• Cadenza vocale meccanica: anche le buone clonazioni possono suonare piatte o monotone, in particolare sui contenuti emotivi
• Espressioni congelate: gamma di espressioni limitata a quelle strettamente necessarie a parlare
• Risoluzione discordante: il volto appare leggermente più nitido o più sfocato del resto dell'inquadratura

Una tecnica di verifica semplice: chiedi alla persona di girarsi di lato o di guardare di sbieco. Il face swapping fatica con le angolazioni non frontali e spesso si deforma ai bordi. Puoi anche chiederle di passare una mano davanti al viso, perché l'IA ha difficoltà a rendere in modo naturale una mano che si sovrappone a un volto deepfake. In alternativa, concorda in anticipo una parola in codice con colleghi e familiari da usare per verificare l'identità durante videochiamate inattese. Man mano che il rilevamento migliora, chi truffa si adatta: nessun singolo indizio è definitivo, ma più artefatti contemporaneamente indicano con forza un deepfake.

Cosa fare se sei preso di mira

Fermati e verifica in modo indipendente

• Chiudi subito la chiamata e non proseguire il contatto
• Richiama la persona vera a un numero che hai già tu
• Non usare alcun recapito ricavato dalla chiamata sospetta
• Anche sessanta secondi di ritardo possono evitare un danno grave

Documenta tutto

• Registra la chiamata, se nel tuo ordinamento è consentito
• Fai uno screenshot del nome dell'account, della foto profilo e dei dettagli della chiamata
• Annota la piattaforma, l'orario, la durata e che cosa è stato chiesto
• Salva tutte le prove prima di segnalare o bloccare

Segnala l'accaduto

• Segnala alla piattaforma, indicando abuso o impersonificazione
• Sporgi denuncia alla Polizia Postale, attraverso il portale del Commissariato di PS online o presso qualsiasi commissariato o comando dei Carabinieri. Se il caso ha una componente statunitense, puoi segnalare anche su IC3.gov
• Contatta subito la tua banca se hai condiviso informazioni finanziarie

Se sono stati chiesti o condivisi contenuti intimi

• Non pagare: il pagamento fa salire le richieste, non le ferma mai
• Documenta tutto prima di bloccare chi ti ha contattato
• Rivolgiti ai servizi di rimozione del revenge porn se i contenuti sono già stati diffusi

Come proteggersi dalle truffe con videochiamate deepfake

La prevenzione comincia molto prima che arrivi la chiamata. I passaggi qui sotto coprono tre livelli di protezione: ridurre il materiale grezzo che serve a chi attacca, costruire abitudini di verifica che bloccano la truffa a metà strada e riconoscere le leve psicologiche su cui si regge.

Riduci la tua impronta digitale pubblica

Un deepfake è convincente quanto lo sono i dati su cui è stato addestrato. Controlla la tua presenza online e agisci così:

• Rimuovi o limita i video e le registrazioni audio ad alta qualità dai profili social pubblici
• Evita di pubblicare video con la tua voce ben udibile se non è necessario
• Se sei un dirigente o una figura pubblica, rivedi i contenuti indicizzati che forniscono dati biometrici, come ritratti, interventi a convegni e partecipazioni a podcast
• Non devi sparire da internet: devi solo rendere più difficile il lavoro a chi attacca

Definisci procedure di verifica

La difesa più efficace è un'abitudine, non una tecnologia: non agire mai su richiesta di una videochiamata senza una verifica indipendente.

• In azienda, stabilisci la regola che nessun bonifico, nessuna credenziale e nessuna decisione sensibile possono essere autorizzati sulla sola base di una videochiamata
• Richiedi una richiamata a un numero noto o una parola di sicurezza concordata prima di qualsiasi azione
• In famiglia, concordate una frase in codice per le chiamate di emergenza: se chi chiama non la sa, la chiamata è sospetta
• Non usare mai, per verificare, i recapiti forniti durante la chiamata sospetta stessa

Attiva le funzioni di sicurezza

• Tieni aggiornati i software di videoconferenza, perché le piattaforme correggono attivamente le vulnerabilità e aggiungono rilevamento dei deepfake
• Attiva l'autenticazione a due fattori su tutti gli account di comunicazione
• Negli ambienti a rischio elevato, valuta strumenti di rilevamento basati sull'IA che analizzano le chiamate in tempo reale

Fidati del tuo istinto

Chi truffa scavalca il tuo giudizio con urgenza, autorità e segretezza. Attenzione a frasi come:

• "Deve succedere entro mezz'ora"
• "Non parlarne ancora con nessuno"
• "Ti spiego dopo, adesso fallo e basta"

Sono leve di pressione, non richieste legittime. Se qualcosa non torna, la voce suona un po' piatta, il volto non si muove in modo naturale, la richiesta sembra fuori carattere, fermati e verifica in modo indipendente. Una persona vera non avrà mai nulla da obiettare.

Chiedere aiuto dopo una truffa deepfake

Se sei vittima di una truffa con videochiamata deepfake, agisci subito. Denuncia alle autorità, contatta la banca se è stato disposto un pagamento e rivolgiti a servizi di rimozione se sono stati creati o diffusi contenuti deepfake che ti riguardano. Gli specialisti della rimozione dei deepfake possono coordinare le richieste di rimozione sulle varie piattaforme mentre le indagini proseguono. Se dall'attacco è derivata una frode d'identità, documenta ogni uso non autorizzato della tua immagine e rivolgiti a un avvocato esperto di impersonificazione digitale e reati informatici, che puoi individuare attraverso l'Ordine degli Avvocati della tua città.

Le truffe deepfake sono sofisticate e la tecnologia avanza in fretta: essere preso di mira non è un errore di valutazione. Queste truffe sono costruite per ingannare anche persone tecnicamente preparate. Segnala, documenta e cerca un supporto professionale. Se sei vittima di sextortion con l'IA, un aiuto specializzato è disponibile 24 ore su 24. Uscirne è possibile, e intervenire presto migliora sensibilmente l'esito.