Voci clonate nel vishing: dalla videochiamata deepfake di Arup alla parola in codice familiare
Al telefono, la voce di una persona era quasi una prova d'identità. Gli strumenti economici di clonaggio vocale hanno messo silenziosamente fine a quella convinzione. Un truffatore con pochi secondi di audio — un frammento di podcast, una segreteria telefonica, un video pubblicato online — può produrre un parlato che parenti, colleghi e operatori di call center non distinguono in modo affidabile dall'originale. La tecnica alimenta il vishing — phishing vocale — e nel 2026 ci sono vittime aziendali e familiari documentate, più ricerche che mostrano perché l'orecchio umano e alcuni controlli automatici lasciano passare i falsi.
La videochiamata da 200 milioni di dollari di Hong Kong
Il caso che ha trasformato il clonaggio vocale da curiosità a rischio da consiglio di amministrazione è accaduto a Hong Kong nel gennaio 2024. Un dipendente finanziario di una multinazionale ha ricevuto un messaggio che sembrava venire dal direttore finanziario dell'azienda nel Regno Unito, che descriveva una transazione segreta. Ha sospettato phishing — finché non è entrato in una videoconferenza in cui il CFO e diversi colleghi che riconosceva apparivano sullo schermo. Secondo la polizia di Hong Kong, ogni partecipante era un deepfake. Il dipendente ha effettuato 15 bonifici per un totale di 200 milioni di dollari di Hong Kong — circa 25,6 milioni di dollari USA — verso cinque conti bancari locali; la frode è emersa solo quando ha verificato con la sede centrale. Come ha detto il sovrintendente capo Baron Chan:Nella videoconferenza a più persone, è risultato che tutti [quelli che vedeva] erano falsi.La società di ingegneria Arup è stata in seguito identificata come vittima e ha confermato l'incidente nel maggio 2024, dichiarando di aver avvisato la polizia all'inizio dell'anno e che stabilità finanziaria, operazioni e sistemi interni non erano stati toccati. Il suo direttore informativo, Rob Greig, ha notato che attacchi che vanno dalla frode su fatture al phishing, dallo spoofing vocale su WhatsApp ai deepfake erano diventati molto più sofisticati. La polizia ha classificato il caso come ottenimento di beni con inganno; a quel punto non erano stati annunciati arresti.
Emergenze familiari con una voce conosciuta
La stessa tecnica scala fino alle famiglie comuni. La FTC statunitense lo ha segnalato già nel marzo 2023: nella classica truffa del nipote — una chiamata da un parente che ha avuto un incidente e sta in prigione — chi chiama ora può essere un clone. Tutto ciò che serve al truffatore, ha scritto l'agenzia, è un breve clip audio della voce di un familiare, preso da contenuti pubblicati online. Il consiglio della FTC è procedurale: riattaccare, richiamare la persona su un numero che si sa essere il suo, verificare con un altro parente e trattare come segnali d'allarme le richieste di bonifici, criptovalute o acquisto di gift card. Casi europei mostrano lo stesso schema su altri tipi di bersagli. In Italia, una donna anziana è stata defraudata di 30.000 € da una chiamata che usava quella che sembrava la voce di sua figlia, secondo quanto riportato dal Guardian a febbraio 2025. Nello stesso mese, i procuratori di Milano hanno ricevuto denunce da figure di spicco del mondo degli affari — tra loro collaboratori di Giorgio Armani e il presidente del consiglio di sorveglianza di Prada Patrizio Bertelli — dopo che truffatori hanno clonato la voce del ministro della difesa Guido Crosetto chiamandoli, presumibilmente per raccogliere un riscatto per giornalisti rapiti, con rimborso promesso dalla Banca d'Italia. Almeno una vittima ha trasferito in totale 1 milione di € su un conto a Hong Kong.Perché orecchi — e alcuni controlli — falliscono
L'ascoltatore umano è una linea di difesa debole. Il rapporto 2025 Voice Intelligence & Security di Pindrop, basato sull'analisi di oltre 1,2 miliardi di chiamate di clienti, ha registrato un aumento di oltre 1.300 percento nei tentativi di frode con deepfake nei contact center nel 2024 — da una media di un tentativo al mese a sette al giorno — insieme a un incremento del 173 percento di chiamate a voce sintetica tra il primo e l'ultimo trimestre dell'anno. Gli attacchi con voce sintetica contro le banche sono cresciuti del 149 percento, e il rapporto proietta che i contact center potrebbero affrontare nel 2025 un'esposizione alla frode di circa 44,5 miliardi di dollari USA. La verifica biometrica non è nemmeno una panacea: la polizia di Hong Kong ha detto che i deepfake sono stati usati almeno 20 volte in frodi connesse per aggirare controlli di riconoscimento facciale che imitavano i titolari di documenti d'identità. I controlli basati sulla voce affrontano lo stesso problema: un clone è una versione sintetica del segnale reale, e l'audio telefonico breve e di bassa qualità rende il rilevamento automatico più difficile, non più facile. I fornitori di detection migliorano, ma anche il lato di chi chiama in questa corsa è industrializzato, e il volume, secondo i numeri stessi di Pindrop, cresce più veloce dei filtri.Cosa funziona ancora
Dati i limiti del rilevamento, le difese che reggono sono procedurali. Tra i suggerimenti nell'allerta FTC c'erano le parole in codice familiari — una frase concordata offline che ogni vera chiamata d'emergenza deve includere — e domande di verifica a cui solo il vero parente saprebbe rispondere, pur sapendo che tali dettagli possono trapelare dai social. La disciplina del richiamo su un numero noto, composto in modo indipendente, resta il passo più affidabile, perché toglie il canale dell'attaccante dalla catena:- Concordare una parola in codice familiare per le emergenze, e usarla.
- Riattaccare e richiamare su un numero che si ha già — non su uno fornito da chi chiama.
- Trattare urgenza, segretezza e mezzi di pagamento insoliti come bonifici, crypto o gift card come la firma della truffa, non un dettaglio.
- Limitare i campioni puliti di voce pubblicati in segreterie telefoniche e video pubblici.