Deepfake e frodi digitali: come cambiano le truffe online

Deepfake e frodi digitali: voci clonate, falsi dirigenti e investimenti truffa. Come funzionano, quanto costano e come difendersi

Il dipendente sospettava una truffa. Poi vide i colleghi sullo schermo e si fidò: l’azienda perse circa 25 milioni di dollari. Deepfake e frodi digitali avevano trasformato la sua ricerca di una conferma nella parte decisiva dell’inganno.

Accadde nel 2024, nella sede di Hong Kong del gruppo di ingegneria Arup. Un messaggio chiedeva denaro per un’operazione riservata. Ma una videoconferenza con il presunto direttore finanziario e altri colleghi sciolse i dubbi. Immagini e voci erano false.

Il Financial Times ricostruì la frode ai danni di Arup: quindici trasferimenti verso cinque conti. Il responsabile informatico spiegò al World Economic Forum che i sistemi interni non erano stati compromessi. Aveva pagato una persona ingannata.

Perciò deepfake e frodi digitali colpiscono anche chi protegge le password, usando volti e voci riconoscibili.

La scena rovescia una delle nostre abitudini più comuni: davanti a un messaggio sospetto, cerchiamo qualcuno che lo confermi. Ma se anche quel qualcuno è una copia, il secondo controllo può rafforzare il primo inganno. La domanda, quindi, cambia: attraverso quale canale stiamo verificando la richiesta?

Deepfake e frodi digitali: la conferma è falsa

Un deepfake è un contenuto audio, fotografico o video creato o alterato con l’IA per simulare persone, parole o situazioni. Può riprodurre una voce o far pronunciare frasi mai dette. Ha anche usi legittimi, ma può rafforzare un inganno: falsa identità, storia plausibile, richiesta urgente.

Gli errori grammaticali e i loghi sgranati restano indizi utili. Però la loro assenza non garantisce autenticità. L’FBI descrive l’uso dell’IA per rendere più credibili testi, profili e materiali fraudolenti, correggendo anche gli errori di lingua.

Inoltre, basta una falsificazione convincente quando manca il tempo per pensare. Un dipendente obbedisce, un genitore teme per un figlio, un risparmiatore si affida a una figura autorevole. Parlare soltanto di ingenuità spiega poco: la frode sfrutta il bisogno di aiutare, rispettare un’autorità e cercare conferme. Poi fabbrica anche quelle.

Il punto non è smettere di fidarsi delle persone. È capire che riconoscerne il volto non equivale più a verificarne la presenza. Perciò una difesa basata soltanto sull’attenzione del singolo rischia di chiedere troppo proprio nel momento in cui paura, fretta o pressione rendono più difficile ragionare.

Deepfake e frodi digitali in Italia: da Crosetto a Panetta

Nel febbraio 2025, alcuni imprenditori ricevettero telefonate che imitavano la voce di Guido Crosetto. Il pretesto era finanziare un intervento urgente per liberare giornalisti italiani sequestrati. Secondo Reuters, le autorità rintracciarono e congelarono nei Paesi Bassi quasi un milione di euro versato da Massimo Moratti.

Autorità, emergenza e riservatezza rendevano credibile il racconto e scoraggiavano le verifiche.

Negli investimenti, invece, il volto noto offre una falsa garanzia. Il 10 settembre 2026, la Banca d’Italia ha nuovamente segnalato falsi video con immagine e voce di Fabio Panetta. Promuovono piattaforme verosimilmente finalizzate a truffare i cittadini: quei contenuti non corrispondono alla realtà.

Il video è un aggancio. Poi la vittima lascia i recapiti o entra in una conversazione privata che rafforza l’inganno. Ma la notorietà non chiarisce chi propone l’investimento, se è autorizzato, quali rischi comporta e dove finiranno i soldi.

Quindi la verifica va fatta fuori dalla pagina che vende l’offerta. Anche un sito ordinato, un logo istituzionale o una testimonianza possono appartenere alla stessa messinscena. Cercare conferma soltanto tra i materiali forniti da chi chiede denaro significa lasciargli scegliere anche le prove della propria affidabilità.

Quanto costano deepfake e frodi digitali

Le perdite complessive non sono tutte attribuibili ai deepfake. Il report 2025 della Polizia Postale, aggiornato al 21 dicembre e pubblicato sul sito Cybersecurity Italia, registra 27.085 procedimenti nel cybercrime economico-finanziario e somme sottratte superiori a 269 milioni di euro. Sono dati sull’attività trattata, non sulle sole truffe con l’IA.

Negli Stati Uniti, il rapporto IC3 dell’FBI per il 2025 identifica 22.364 segnalazioni associate all’Intelligenza Artificiale, con perdite dichiarate di circa 893 milioni di dollari. Comprende diversi usi dell’IA, non soltanto video e voci falsi. Inoltre, conta le segnalazioni ricevute: la vittima potrebbe non aver riconosciuto la tecnologia impiegata.

Il rapporto della Banca centrale europea e dell’Autorità bancaria europea del dicembre 2025 registra frodi nei pagamenti per 4,2 miliardi di euro nello Spazio economico europeo nel 2024, contro 3,5 miliardi nel 2023. Considera diversi strumenti di pagamento senza isolare i deepfake.

Queste cifre non si sommano: territori, definizioni e metodi differiscono. Però mostrano il denaro esposto.

La truffa costa meno, difendersi costa di più

Nel mondo di deepfake e frodi digitali, preparare testi, identità, immagini e risposte richiede lavoro. Inoltre, colpire all’estero impone adattamenti linguistici. Ma l’FBI osserva che l’IA riduce il tempo e lo sforzo necessari per ingannare le vittime. Se ogni tentativo costa meno, moltiplicarlo diventa più conveniente.

Non occorre che tutti i destinatari cadano nella trappola. Il vantaggio sta nel poter cercare più persone con messaggi più curati e nel ripetere l’operazione a un costo inferiore. Quindi una tecnologia utile a scrivere e tradurre può diventare, nelle mani dei criminali, uno strumento per ampliare la ricerca dei bersagli.

Intanto, nomi, ruoli professionali e riferimenti familiari rendono plausibile il contatto. Presentando il rapporto Europol 2025 sulle minacce della criminalità organizzata online, la Commissione europea descrive messaggi adattati ai dettagli personali delle vittime e al contesto culturale. Segnala inoltre un mercato di dati rubati, credenziali e strumenti pronti: il truffatore può acquistarli anziché costruirli.

Nel rapporto 2025–2026, Sumsub rileva una crescita della quota degli attacchi in più passaggi dal 10% al 28% tra 2024 e 2025. Sono dati di un operatore commerciale, non dell’intera rete: documenti, identità e comunicazioni possono rafforzarsi nello stesso inganno.

Le imprese, invece, investono in formazione e controlli; le famiglie affrontano denunce e recuperi. Anche richieste autentiche richiedono verifiche aggiuntive: la fiducia resta necessaria, ma accertarla costa di più.

Il cliente autentico può autorizzare una frode

Il rapporto congiunto della Banca centrale europea e dell’Autorità bancaria europea conferma che l’autenticazione forte resta efficace contro le frodi per cui è stata progettata, soprattutto nei pagamenti con carta. Nel 2024, l’incidenza sul valore delle transazioni considerate resta intorno allo 0,002%.

Ma crescono i raggiri che convincono gli utenti ad autenticare operazioni fraudolente. Nei bonifici, nel 2024 gli utilizzatori hanno sostenuto circa l’85% delle perdite complessive da frode, soprattutto perché indotti ad avviare il trasferimento.

Con deepfake e frodi digitali, il sistema può riconoscere chi paga senza accertare la verità della richiesta. Chi crede di aiutare un familiare o seguire un dirigente può completare personalmente tutti i controlli.

Una conferma sul telefono attesta l’autorizzazione dell’operazione, non la verità della storia che l’ha provocata. Perciò la sicurezza tecnica e la verifica della richiesta devono lavorare insieme. Proteggere l’accesso resta essenziale, ma il cliente deve poter riconoscere quando qualcuno lo sta guidando verso un pagamento.

Quindi le imprese devono confermare cambi di coordinate attraverso contatti noti e verificare le disposizioni straordinarie. Chi dubita deve poter fermare il pagamento senza temere di disobbedire. Come spieghiamo nell’approfondimento sulla sicurezza digitale e le vulnerabilità dell’Italia, alle competenze servono procedure applicabili.

La seconda truffa promette il recupero

Per le vittime di deepfake e frodi digitali, il pericolo può continuare dopo la perdita: qualcuno promette di recuperare il denaro e prepara un nuovo inganno. Nel luglio 2026, l’FBI ha aggiornato l’avviso sui truffatori che impersonano personale dell’IC3, il centro che riceve segnalazioni di reati informatici. Usano video generati con l’IA e siti falsi anche per raccogliere altri dati.

Dopo la speranza di guadagnare, viene sfruttato il bisogno di riavere i soldi. Ma l’IC3 non chiede pagamenti per recuperare fondi né offre questo servizio su Facebook, Telegram o piattaforme simili. Anche il presunto soccorritore va verificato.

Qui la fretta può nascere dalla perdita già subita. Chi cerca un rimedio ha bisogno di indicazioni chiare, non di sentirsi giudicato. Però una promessa di recupero non diventa credibile soltanto perché risponde a quel bisogno: prima di fornire dati o versare altro denaro, occorre controllare chi la formula.

Come difendersi da deepfake e frodi digitali

Le anomalie di un video possono aiutare, ma non sostituiscono una verifica indipendente. Per le emergenze familiari, la Federal Trade Commission consiglia di richiamare la persona al numero già conosciuto. Se non risponde, cercare conferma da un familiare o amico. Una parola concordata aggiunge un controllo, senza sostituire la chiamata.

Con un presunto operatore bancario, interrompere il contatto e usare i recapiti ufficiali. La guida ABI contro le truffe raccomanda di verificare l’interlocutore e proteggere le credenziali. Inoltre invita a diffidare di richieste urgenti e guadagni elevati senza rischio.

Soprattutto, la richiesta di pagare senza parlarne con nessuno merita una pausa. Se il denaro è già partito, contattare subito banca e forze dell’ordine, conservando messaggi, recapiti e ricevute: la rapidità aiuta, ma non garantisce il recupero.

Il dipendente di Arup aveva cercato una conferma. Però la riunione era organizzata dagli stessi truffatori. Un minuto per richiamare al numero giusto può sembrare tempo perso. È quel minuto che il truffatore cerca di toglierci.