Nessun malware. Nessuna vulnerabilità da patchare. Solo una voce al telefono — convincente, precisa nei dettagli, con l’accento giusto. E un milione di euro trasferito su conti in Olanda e Hong Kong prima che qualcuno si rendesse conto di niente.
È il febbraio 2025, e l’Italia scopre i deepfake vocali nel modo peggiore possibile.
Come è andata
I truffatori hanno contattato telefonicamente alcuni tra gli imprenditori italiani più noti — Giorgio Armani, Marco Tronchetti Provera, Patrizio Bertelli, Massimo Moratti e altri — spacciandosi per la segreteria del Ministro della Difesa Guido Crosetto.
Il pretesto era costruito ad arte: giornalisti italiani rapiti in Iran e Siria, una situazione delicata, il governo che aveva bisogno di un “prestito riservato” per pagare il riscatto. I fondi sarebbero stati rimborsati dalla Banca d’Italia. Il numero chiamante risultava riconducibile agli uffici del Ministero (spoofing). La voce era quella di Crosetto.
Massimo Moratti, ex presidente dell’Inter, ha trasferito circa 1 milione di euro prima di insospettirsi. La Procura di Milano ha aperto un’indagine.
Anatomia tecnica dell’attacco
1. Voice cloning
La voce di Crosetto è ampiamente disponibile online: discorsi parlamentari, interviste, conferenze stampa. Con pochi minuti di audio pulito, i modelli di voice cloning moderni producono una riproduzione convincente in tempo quasi reale. Il 70% degli adulti non riesce a distinguere una voce clonata da quella autentica.
2. Caller ID spoofing
Il numero visualizzato sulla chiamata in entrata può essere arbitrariamente falsificato tramite servizi VoIP. In Italia il Caller ID non è autenticato: il numero visualizzato non garantisce nulla sull’identità del chiamante.
3. Social engineering di alto livello
Il pretesto sfruttava la risonanza mediatica del caso Cecilia Sala (giornalista arrestata in Iran) aggiungendo urgenza e riservatezza. La combinazione di autorità percepita + urgenza + riservatezza è la triade classica del social engineering.
Secondo Pindrop Voice Intelligence Report 2025, i tentativi di frode tramite deepfake vocale sono aumentati del +1.300% nel 2024. Proiezione 2025: +162%.
Come difendersi
- Richiamata su numero ufficiale — se ricevi una richiesta urgente, riaggancia e richiama tu sul numero che conosci
- Parola d’ordine — accordo preventivo con collaboratori per verificare identità in situazioni sospette
- Processo multi-step — nessun trasferimento autorizzato da un singolo canale
- Diffidenza verso l’urgenza artificiale — il social engineering vive sull’urgenza: rallenta deliberatamente
Il contesto più ampio
Ferrari ha sventato una truffa simile grazie a un manager che ha posto una domanda di verifica a cui il “deepfake del CEO” non ha saputo rispondere. In UK nel 2019, un’azienda energetica aveva già perso 220.000€ per una voce clonata del CEO tedesco — fu il caso pionieristico.
I deepfake vocali non sono fantascienza. Sono uno strumento disponibile, economico e sempre più accessibile. La difesa non è tecnologica: è culturale. Una voce al telefono non è più una prova di identità.