Truffe con l’intelligenza artificiale: come riconoscere voci clonate, deepfake e falsi messaggi nel 2026

Una telefonata con la voce di tuo figlio. Un video del tuo capo. Un messaggio WhatsApp di una persona che conosci. Una mail scritta perfettamente, senza gli errori che fino a qualche anno fa rendevano certe truffe facili da riconoscere.

Nel 2026 le truffe AI stanno diventando più convincenti perché l’intelligenza artificiale può aiutare i criminali a imitare voce, immagini, stile di scrittura e identità digitali.

Questo non significa che qualsiasi telefonata strana sia stata generata dall’AI. Significa però che alcuni vecchi segnali di allarme non bastano più.

La regola più importante sta diventando un’altra:

Non fidarti soltanto di quello che senti, leggi o vedi: verifica attraverso un secondo canale.

In questa guida vediamo quali sono le forme più comuni di truffa, come funzionano le voci clonate e i deepfake, quali segnali dovrebbero insospettirti e cosa fare se hai già cliccato, pagato o comunicato informazioni personali.

Perché si parla così tanto di truffe AI nel 2026?

Il fenomeno è legato a due tendenze che si stanno incontrando.

Da una parte, gli strumenti di intelligenza artificiale generativa sono diventati molto più accessibili e capaci di produrre testi, immagini, audio e video realistici.

Dall’altra, nel dark web continuano a circolare enormi quantità di informazioni rubate: email, password, numeri di telefono e altri dati che possono aiutare un truffatore a rendere credibile una storia falsa.

Secondo l’Osservatorio Cyber CRIF sul primo semestre 2026, phishing, smishing, vishing e spear phishing continuano a rappresentare minacce significative, alle quali si aggiungono attacchi che utilizzano deepfake audio e video e comunicazioni generate con l’intelligenza artificiale.

Il punto importante è questo: l’AI non sostituisce necessariamente le vecchie truffe. Spesso le rende semplicemente più credibili.

1. La voce clonata: “Mamma, ho bisogno di soldi”

Una delle truffe che colpisce maggiormente l’immaginazione è quella della voce clonata.

Lo schema è semplice: la vittima riceve una telefonata o un messaggio audio che sembra provenire da un figlio, un nipote, un partner o un’altra persona conosciuta.

La voce può dire di avere avuto un incidente, di essere stata arrestata, di aver perso il telefono oppure di avere bisogno urgentemente di denaro.

La tecnologia di voice cloning può creare una voce simile a quella di una persona partendo da campioni audio. Questi campioni possono essere reperiti, per esempio, da video pubblicati sui social o da altri contenuti accessibili online.

La Federal Trade Commission avverte che i truffatori possono utilizzare l’AI per imitare la voce di un familiare e consiglia di non fidarsi esclusivamente della voce sentita al telefono.

Se ricevi una telefonata del genere:

• non inviare immediatamente denaro;
• chiudi la chiamata;
• chiama direttamente la persona al numero che conosci già;
• se non risponde, contatta un altro familiare;
• non utilizzare il numero fornito durante la telefonata sospetta.

2. La parola segreta di famiglia può essere ancora utile

Una misura molto semplice può diventare sorprendentemente utile: concordare con le persone più vicine una parola o domanda di verifica che non venga pubblicata online.

Non deve essere necessariamente una password complessa.

Può essere una domanda alla quale soltanto voi conoscete la risposta.

Per esempio, se qualcuno telefona sostenendo di essere tuo figlio e chiede urgentemente denaro, puoi chiedere una conferma che un estraneo difficilmente conosce.

Naturalmente nessun sistema è infallibile, soprattutto se la risposta è ricavabile dai social o da informazioni pubbliche. La verifica migliore resta richiamare la persona attraverso un contatto conosciuto.

3. Deepfake video: vedere non significa più necessariamente credere

I deepfake non riguardano soltanto le celebrità.

L’AI può essere utilizzata per creare o modificare video nei quali una persona sembra dire o fare qualcosa che non è mai avvenuto.

In una truffa il video può mostrare:

• un dirigente aziendale che chiede un pagamento;
• un personaggio famoso che promuove un investimento;
• una persona conosciuta che chiede aiuto;
• un falso consulente finanziario;
• una falsa videochiamata.

Il problema è che cercare soltanto difetti grafici non è più sufficiente.

Mani strane, labbra fuori sincrono o movimenti innaturali possono ancora essere indizi, ma la qualità dei sistemi generativi continua a migliorare.

Il controllo più importante non è quindi:

“Sembra vero?”

È:

“Posso verificare questa richiesta in un altro modo?”

4. Falsi messaggi WhatsApp e SMS scritti molto meglio di prima

Per anni uno dei consigli più diffusi contro il phishing era cercare errori grammaticali, frasi tradotte male e formattazioni strane.

Quel consiglio non è più sufficiente.

Un truffatore può utilizzare l’intelligenza artificiale per produrre un messaggio grammaticalmente corretto, con tono professionale e perfettamente adattato alla lingua della vittima.

Per questo bisogna guardare soprattutto al contenuto della richiesta.

Diffida dei messaggi che creano urgenza e chiedono di:

• cliccare immediatamente un link;
• aggiornare dati bancari;
• pagare una piccola somma;
• inserire credenziali;
• comunicare un codice ricevuto via SMS;
• installare un’app;
• scaricare un allegato;
• spostare denaro “per sicurezza”.

5. Il falso rimborso è uno dei temi più usati in Italia

Le campagne di phishing continuano ad adattarsi all’attualità.

Il CERT-AGID pubblica regolarmente analisi delle campagne malevole rivolte agli utenti italiani, comprese campagne di phishing che sfruttano falsi rimborsi, comunicazioni bancarie, enti pubblici e servizi conosciuti.

È un esempio utile perché mostra come una truffa non debba necessariamente parlare di AI per sfruttarla.

L’intelligenza artificiale può essere utilizzata dietro le quinte per generare testi più convincenti, creare varianti dello stesso messaggio e produrre comunicazioni più credibili.

6. Phishing, smishing e vishing: cosa significano?

Le parole cambiano in base al mezzo utilizzato.

• Phishing: messaggi fraudolenti, spesso via email, che cercano di rubare dati o indurre a compiere un’azione.
• Smishing: phishing attraverso SMS o messaggi simili.
• Vishing: frode attraverso telefonate o comunicazioni vocali.
• Spear phishing: attacco più personalizzato, costruito intorno a una persona o organizzazione specifica.

L’AI può rendere tutte queste tecniche più convincenti perché permette di adattare rapidamente il linguaggio alla vittima.

7. Il falso operatore di banca o assistenza clienti

Un’altra truffa frequente consiste nel fingersi un operatore di banca, carta di credito, corriere, compagnia telefonica o servizio online.

Il truffatore può conoscere già alcune informazioni personali e usarle per guadagnare fiducia.

Potrebbe dire:

“Abbiamo rilevato un pagamento sospetto. Per bloccarlo devo verificare la sua identità.”

Da quel momento può cercare di ottenere:

• codici OTP;
• numero completo della carta;
• password;
• credenziali dell’home banking;
• accesso remoto al dispositivo;
• autorizzazione a un trasferimento.

Se hai dubbi, interrompi la comunicazione e contatta autonomamente l’azienda utilizzando il numero presente sul sito ufficiale, sull’app o sulla carta.

8. Attenzione al numero che compare sul display

Vedere il nome della banca o un numero apparentemente conosciuto non è una prova assoluta dell’identità di chi chiama.

Esistono tecniche di spoofing che possono alterare l’identificativo mostrato durante una chiamata o utilizzare numerazioni costruite per sembrare credibili.

Per questo, davanti a una richiesta economica o di credenziali, è più sicuro chiudere la chiamata e contattare direttamente il servizio utilizzando un recapito ufficiale.

9. I truffatori possono conoscere già il tuo nome, email e telefono

Una delle domande più comuni è:

“Come facevano a conoscere tutti quei dati su di me?”

Il fatto che qualcuno conosca nome, email o numero di telefono non significa che sia un interlocutore legittimo.

Questi dati possono provenire da:

• vecchi data breach;
• database rubati;
• social network;
• elenchi pubblici;
• malware;
• servizi compromessi;
• informazioni acquistate o scambiate illegalmente.

Se vuoi approfondire questo tema, leggi anche la nostra guida su come Apple, Google e altri servizi scoprono una password compromessa.

10. Infostealer: il malware che ruba informazioni dal dispositivo

Una delle minacce più importanti è rappresentata dagli infostealer.

Sono malware progettati per sottrarre informazioni dai dispositivi infetti.

Possono cercare dati come:

• credenziali salvate;
• cookie di sessione;
• informazioni del browser;
• dati relativi ad account;
• altre informazioni memorizzate localmente.

Una volta rubate, queste informazioni possono essere utilizzate direttamente oppure rivendute ad altri criminali.

Per ridurre il rischio:

• scarica software da fonti affidabili;
• evita versioni pirata o crack;
• mantieni sistema operativo e browser aggiornati;
• usa l’autenticazione a due fattori;
• non ignorare gli avvisi di sicurezza del browser o dell’antivirus.

11. La truffa può iniziare da un account realmente compromesso

Un messaggio può arrivare davvero dall’account WhatsApp, email o social di una persona che conosci.

Questo rende la truffa particolarmente credibile.

Per esempio, potresti ricevere da un conoscente:

“Puoi votarmi in questo concorso?”

oppure:

“Mi mandi il codice che ti è appena arrivato? Ho inserito per errore il tuo numero.”

Il mittente può essere reale, ma l’account potrebbe essere sotto il controllo di un’altra persona.

Se la richiesta è insolita, confermala con un secondo mezzo di comunicazione.

12. Vecchio numero di telefono: un rischio spesso dimenticato

Un numero telefonico dismesso può in alcuni casi essere riassegnato a un’altra persona.

Se quel numero è ancora collegato a vecchi account, notifiche o sistemi di recupero, può nascere un problema di sicurezza.

Ne abbiamo parlato nella guida Vecchio numero di telefono: può finire a un’altra persona?.

Quando cambi numero, ricordati quindi di aggiornare banche, email, social network e account importanti.

13. Come riconoscere una truffa AI: 8 segnali pratici

Non esiste un indicatore infallibile, ma questi segnali meritano attenzione:

1. Urgenza: devi decidere immediatamente.
2. Paura: incidente, arresto, conto bloccato, pagamento sospetto.
3. Segretezza: “non dirlo a nessuno”.
4. Pagamento insolito: criptovalute, gift card o trasferimenti immediati.
5. Richiesta di codici: OTP, PIN o codici ricevuti via SMS.
6. Link inatteso: devi accedere subito da un collegamento ricevuto.
7. Installazione di software: ti chiedono di installare un’app per “assistenza”.
8. Impossibilità di verificare: cercano di impedirti di richiamare o controllare.

14. Il trucco più efficace: interrompere l’urgenza

Molte frodi funzionano perché impediscono alla vittima di fermarsi a ragionare.

Il criminale vuole creare una situazione nella quale sembra che ogni secondo sia importante.

Per questo una delle migliori difese è estremamente semplice:

Fermati, chiudi la comunicazione e verifica.

Una banca, un familiare o un’azienda reale continueranno a esistere anche dopo cinque minuti di controllo.

15. Non richiamare usando il numero fornito dal sospetto

Se una persona dice di chiamare dalla tua banca e ti fornisce un numero da richiamare, non utilizzare quel recapito.

Cerca autonomamente il numero:

• nell’app ufficiale;
• sul retro della carta;
• sul sito ufficiale digitato manualmente;
• nei documenti originali del servizio.

Lo stesso principio vale per corrieri, enti pubblici e servizi online.

16. Mai comunicare un codice OTP ricevuto sul telefono

I codici temporanei servono proprio a confermare che sei tu a eseguire un’operazione.

Se qualcuno ti chiede di leggere un codice appena ricevuto, fermati.

Quel codice potrebbe servire ad autorizzare:

• un accesso;
• un reset della password;
• un pagamento;
• l’attivazione di un nuovo dispositivo.

Leggi sempre anche il testo del messaggio che accompagna il codice.

17. Cosa fare se hai già cliccato sul link?

Cliccare un link sospetto non significa automaticamente essere stati compromessi.

Il rischio dipende da ciò che è successo dopo.

Se hai soltanto aperto una pagina e non hai inserito dati, chiudila e non scaricare nulla.

Se invece hai inserito una password:

1. cambia subito la password dal sito ufficiale;
2. se la stessa password era usata altrove, cambiala anche sugli altri servizi;
3. attiva l’autenticazione a due fattori;
4. controlla accessi e sessioni attive;
5. verifica eventuali email di modifica dell’account.

18. Cosa fare se hai comunicato dati bancari o autorizzato un pagamento?

In questo caso il tempo può essere importante.

Contatta subito la banca o il gestore della carta utilizzando i canali ufficiali e spiega cosa è accaduto.

Chiedi quali operazioni possono essere bloccate, contestate o monitorate.

Se hai comunicato credenziali, modifica anche le password coinvolte e controlla se sono stati aggiunti nuovi dispositivi o metodi di recupero.

19. Cosa fare se hai installato un programma indicato dal truffatore?

Alcune truffe convincono la vittima a installare software di controllo remoto oppure programmi presentati come strumenti di sicurezza.

Se è successo:

• interrompi la connessione con il sospetto;
• rimuovi il programma se sai identificarlo;
• esegui una scansione di sicurezza;
• da un dispositivo affidabile cambia le password più importanti;
• controlla email, banca e account principali;
• se non sei sicuro dello stato del dispositivo, chiedi assistenza tecnica qualificata.

20. Le AI possono aiutare anche a difendersi?

Sì, ma con cautela.

Gli strumenti AI possono aiutare a spiegare un messaggio sospetto, individuare elementi insoliti o tradurre comunicazioni.

Non dovresti però incollare in un servizio AI password, numeri completi di carte, documenti riservati o codici OTP.

E soprattutto non bisogna trasformare la risposta di un chatbot in una garanzia assoluta.

Quando sono coinvolti soldi o account importanti, la verifica deve essere effettuata attraverso il canale ufficiale dell’organizzazione coinvolta.

Una voce perfetta non è una prova d’identità

Questa è probabilmente la nuova regola da ricordare.

Fino a poco tempo fa potevamo pensare:

“Riconosco la sua voce, quindi è lui.”

Oggi è più prudente pensare:

“Riconosco la voce, ma se mi sta chiedendo qualcosa di insolito verifico comunque.”

Lo stesso vale per foto e video.

Checklist anti-truffa da ricordare

Prima di inviare denaro o condividere dati:

• ☐ fermati qualche minuto;
• ☐ verifica la persona attraverso un altro canale;
• ☐ richiama usando un numero che conosci già;
• ☐ non comunicare OTP o codici di sicurezza;
• ☐ non installare software su richiesta di uno sconosciuto;
• ☐ controlla attentamente dominio e indirizzo del mittente;
• ☐ non fidarti soltanto del caller ID;
• ☐ chiediti perché la richiesta è così urgente;
• ☐ controlla direttamente nell’app ufficiale;
• ☐ coinvolgi un’altra persona se hai dubbi.

Domande frequenti sulle truffe AI

È davvero possibile clonare una voce con l’intelligenza artificiale?

Sì. Esistono sistemi in grado di generare una voce sintetica simile a quella di una persona partendo da campioni audio. Per questo una voce riconoscibile non dovrebbe essere considerata da sola una prova di identità.

Come capire se una telefonata usa una voce clonata?

Non è sempre possibile capirlo ascoltando soltanto l’audio. Se la richiesta riguarda denaro, dati o un’emergenza, chiudi la chiamata e contatta direttamente la persona attraverso un numero conosciuto.

I deepfake si riconoscono dagli occhi o dalle labbra?

A volte possono esserci difetti visivi, ma non è un metodo affidabile. La tecnologia migliora rapidamente. È meglio verificare la fonte e il contenuto attraverso canali indipendenti.

Una banca può chiedermi un codice OTP al telefono?

Tratta qualsiasi richiesta di codici temporanei con estrema cautela. Se hai dubbi, interrompi la chiamata e contatta la banca attraverso l’app o il numero ufficiale.

Cosa devo fare se un familiare mi chiama chiedendo soldi?

Se la richiesta è improvvisa o insolita, chiudi la comunicazione e richiama direttamente il familiare. Se non risponde, verifica con un’altra persona vicina.

Gli errori grammaticali sono ancora un buon modo per riconoscere il phishing?

Possono essere un segnale, ma non sono più sufficienti. L’AI permette di generare messaggi corretti e credibili in molte lingue.

Come fanno i truffatori a conoscere il mio nome?

Le informazioni possono provenire da social network, vecchi data breach, database rubati, malware o fonti pubbliche. Conoscere alcuni tuoi dati non dimostra che l’interlocutore sia legittimo.

Conclusioni

Le truffe AI non cambiano completamente le regole della sicurezza online. Cambiano soprattutto il livello di realismo.

Una voce può sembrare autentica. Una mail può essere scritta perfettamente. Un video può apparire credibile. Un truffatore può conoscere già il tuo nome e alcuni dati personali.

Per questo la difesa più importante nel 2026 non consiste nel diventare esperti di deepfake.

Consiste nel creare una semplice abitudine:

quando una richiesta è urgente, insolita o riguarda denaro e credenziali, verifica attraverso un secondo canale prima di fare qualsiasi cosa.

Cinque minuti di controllo possono fare la differenza tra una telefonata sospetta e una perdita difficile da recuperare.

Per approfondire la protezione dei tuoi account puoi leggere anche Password compromessa: come fanno Apple e Google a saperlo? e la guida su cosa succede quando un vecchio numero di telefono viene riassegnato.