Deepfake e truffe vocali: come difendersi e come agire dopo

Fino a poco tempo fa, una voce clonata al telefono era un'esca rozza: si riconosceva l'artificialita'. Con i modelli generativi la barriera e' caduta, e la truffa vocale e' diventata tecnicamente indistinguibile da una voce autentica. Questo cambia la strategia difensiva, ma non la rende impossibile.

Il meccanismo della truffa vocale

Lo schema piu' diffuso prevede tre fasi: la raccolta di materiale voce della vittima (messaggi vocali, video, social), la clonatura e l'uso in una chiamata a nome di un congiunto o di un funzionario, con la richiesta urgente di un bonifico. Le truffe multicanale osservate nel 2026 combinano voce, SMS ed email per costruire una credibilita' complessiva.

La difesa non e' piu' 'riconosci la voce', ma 'verifica la richiesta attraverso un canale indipendente'. La regola e' semplice e va applicata senza eccezioni: se qualcuno chiede un trasferimento urgente, si richiama su un numero gia' noto, non su quello fornito dalla chiamata.

La responsabilita' penale dell'autore

Il profilo penale dell'agente che realizza la frode non e' mutato nella struttura: si tratta di truffa (art. 640 c.p.) e, in caso di accesso illecito a un sistema informatico, dell'art. 615-ter c.p. Il deepfake non e' un reato: e' il mezzo. E' la frode, con i suoi profili propri, a costituire l'illecito.

Sul piano della prova, pero', l'uso dell'intelligenza artificiale introduce un onere probatorio specifico: la dimostrazione che l'autore abbia utilizzato un sistema generativo. E' un elemento che va accertato con perizia, e che concorre con la prova dell'identita' e dell'elemento soggettivo.

La responsabilita' della banca: il quadro dei principi

Sul fronte civilistico si applica il quadro gia' consolidato in materia di frode informatica: l'onere della prova grava sulla banca, che deve dimostrare la regolarita' tecnica dell'operazione e l'adozione di sistemi idonei a prevenire o limitare l'uso fraudolento degli strumenti di pagamento. La colpa grave del cliente resta l'unica ipotesi di esclusione della responsabilita' della banca.

La novita' introdotta dalla truffa vocale e' che il dolo o la colpa grave del correntista sono difficilmente ipotizzabili: il cliente ha eseguito un bonifico autorizzato, con codice e autenticazione, perche' la voce era indistinguibile da quella vera. La frode non si nasconde nella negligenza del titolare del conto, ma nella manipolazione del terzo.

Cosa fare concretamente dopo la truffa

Denuncia immediata alla Polizia Postale, che e' competente per le truffe informatiche, con denuncia di furto o clonazione di identita' digitale. Denuncia all'istituto di credito, con richiesta formale di blocco e di pagamento/reporting, che va formulata tempestivamente. Segnalazione al Certificatore delle firme elettroniche se sono stati usati strumenti di firma. E, dove ricorrano i presupposti, segnalazione all'AGCOM per i casi di call center truffaldini.

Sul piano civile, la domanda di risarcimento va costruita sull'elemento decisivo: l'autorevolezza del sistema di pagamento e l'inesistenza di una colpa grave del cliente. E' un percorso che richiede documentazione precisa dei fatti in ordine cronologico.

Prevenzione: la checklist

Verificare sempre le richieste urgenti su un canale indipendente. Segnalare i numeri sospetti e i messaggi, anche quando non si e' vittime dell'attacco: la segnalazione anticipata e' uno degli strumenti piu' efficaci per interrompere le campagne. Non condividere codici di autenticazione o selfie con nessuno. Considerare l'attivazione di filtri antifrode avanzati presso il proprio istituto, che riducono la superficie d'attacco. Nel dubbio, non effettuare il bonifico: il tempo che sembra premere e' il tempo che serve all'avversario, non a te.