«Una volta le truffe le riconoscevi dagli errori di italiano.» È vero, e non vale più. Oggi il messaggio è scritto bene, la voce al telefono sembra quella giusta, e a volte in videochiamata c’è perfino una faccia.
Nel 2020 ho descritto l’Hacker 4.0 come qualcuno che unisce competenze tecniche, psicologia e marketing, e usa il cloud per guadagnare molto con poca spesa. Sei anni dopo la definizione regge. È cambiato lo strumento che fa crescere ogni ingrediente.
Come usano l’intelligenza artificiale i criminali, nel 2026?
Per rendere ogni truffa più credibile e farne di più nello stesso tempo. Lo scrive l’Ufficio federale della cibersicurezza nel rapporto dell’estate 2026: l’IA è entrata nella preparazione dei contenuti fraudolenti, cioè testi, foto, video e voci.
«Gli aggressori ora si servono sistematicamente dell’intelligenza artificiale (IA) per sottoporre in maniera credibile alle proprie vittime contenuti su misura e personalizzati.»
Ecco i quattro ingredienti della mia definizione, e cosa ci aggiunge l’IA.
- Marketing: messaggi su misura, a migliaia. Una volta il messaggio era uno solo, mandato a tutti. Ora l’IA lo riscrive per ognuno, nella sua lingua e con il suo modo di parlare. In un esperimento di laboratorio citato da Europol, sui messaggi scritti dall’IA ha cliccato il 54% dei partecipanti, su quelli scritti da persone il 12%.
- Psicologia: la voce e la faccia di qualcuno di cui ti fidi. In Svizzera l’UFCS ha visto una truffa del CEO, cioè con la voce del capo, in cui la voce del superiore era imitata, e truffe sentimentali con videochiamate false. In Italia la Polizia Postale ha segnalato video falsi di giornalisti e alte cariche dello Stato che consigliano investimenti.
- Tecnica: siti falsi in pochi secondi. L’UFCS scrive che con l’IA si creano «in pochi secondi» e-mail, messaggi e interi siti ingannevolmente autentici. Fra i casi segnalati c’è un falso albergo con le foto generate dall’IA: da una finestra si vedeva il Cervino, da un’altra camera il Lago di Lugano. Impossibile, ma chi prenota di fretta non ci fa caso.
- Cloud: lavoro in serie, con poca spesa. Nel 2020 il cloud era il modo di guadagnare molto spendendo poco. Oggi Europol scrive che i chatbot vocali scremano le vittime a volumi «industriali» e passano agli operatori umani solo chi abbocca.
«Voice chat bots are also increasingly deployed to pre-screen victims at industrial volume, acting as a filter for human operators»
Tradotto: i chatbot vocali scremano le vittime a volumi industriali e fanno da filtro per gli operatori umani. In quei centri, quando dopo la voce automatica arriva una persona vera, la macchina ti ha già scelto.
Quanto è diffuso, davvero?
Più di quanto si vede nelle statistiche, meno di quanto fanno credere certi titoli. Le statistiche svizzere e italiane non contano a parte le truffe fatte con l’IA. L’unico numero ufficiale specifico che ho trovato è americano: nel 2025 l’FBI ha ricevuto oltre 22’000 denunce che citano l’IA, con quasi 900 milioni di dollari di perdite, su oltre 20,8 miliardi denunciati in tutto.
In Svizzera le truffe del CEO segnalate all’UFCS sono passate da 719 nel 2024 a 971 nel 2025. Non tutte usano l’IA, e sarebbe sbagliato attribuirle a lei. E sulle voci clonate l’UFCS fa una precisazione che non leggo quasi mai sui giornali: per imitare una voce bastano una decina di secondi di registrazione, ma le segnalazioni sono ancora «casi isolati». E a volte, nello spavento, si crede di riconoscere una voce che non è quella.
Anche l’Agenzia per la cybersicurezza nazionale italiana è prudente: per ora l’IA serve soprattutto a fare meglio cose che i criminali sapevano già fare, più che a dare loro capacità offensive del tutto autonome.
Cosa non è cambiato?
La richiesta finale. Puoi avere davanti il messaggio più curato, la voce più convincente, la faccia più credibile. Alla fine ti chiederanno sempre una di queste cose: pagare, cliccare un link, installare un programma, dare un codice, consegnare contanti o gioielli.
Lo dice anche chi l’IA la costruisce. Nel suo rapporto sugli abusi dei propri modelli, OpenAI ha intitolato un capitolo «Old tricks, AI tools», vecchi trucchi con strumenti di IA.
«The majority of the scam activity we disrupted centered on fitting AI into existing scam playbooks, rather than creating new playbooks built around AI.»
Cioè: la maggior parte delle truffe fermate infilava l’IA in schemi che esistevano già. Ed è per questo che la difesa non deve inseguire ogni novità tecnica.
Come mi difendo, se non posso più fidarmi di occhi e orecchie?
Non provo a riconoscere il falso: verifico la richiesta. Una voce imitata bene non la riconosci, e un video fatto bene nemmeno. Quello che puoi riconoscere sempre è il momento in cui qualcuno ti chiede di fare una cosa. Lì applico il Metodo 3V: «Verifica chi ti sta parlando. Valida se la richiesta ha davvero senso. Agisci a Velocità Controllata.» Chi sei? Ha senso qui e ora? La fretta è reale o indotta?
- Richiamo io, su un numero che conosco già. Mai quello che mi danno nel messaggio o nella chiamata. È il consiglio che ripete anche l’UFCS.
- Per i soldi, sempre due persone. In azienda nessun bonifico urgente parte con l’approvazione di una persona sola, nemmeno se la richiesta arriva con la voce del capo. Lo stesso se un fornitore scrive che ha cambiato conto: richiamo io, al numero che avevo già. L’ho spiegato nel caso di Svitto.
- In famiglia, una parola d’ordine. Una parola che conoscete solo voi, da chiedere se qualcuno chiama in difficoltà con la voce di un figlio o di un nipote. La raccomanda anche l’FBI. Se il nipote non risponde, chiamo un altro familiare; e se qualcuno vuole passare a ritirare contanti o gioielli, chiamo la polizia.
- Scelgo chi vede la mia voce e la mia faccia. Non devi sparire: tieni in pubblico solo quello che serve, perché video e audio messi online sono il materiale per imitarti. Vale anche per i ragazzi. Ne ho parlato in cosa non condividere.
- Segnalo. In Svizzera all’UFCS (report.ncsc.admin.ch), in Italia alla Polizia Postale (commissariatodips.it). Ogni segnalazione aiuta a fermare la stessa truffa per altri.
Per la parola d’ordine di famiglia, puoi mandare questo messaggio o leggerlo al telefono:
Se hai un’attività, questa regola la puoi mandare a chi gestisce i pagamenti:
Ogni trucco ha il suo articolo: le voci clonate, il finto nipote, i video falsi di Keller-Sutter e Panetta, la truffa sentimentale con l’IA, le app di IA false e il numero di assistenza falso dato dal chatbot.
Domande frequenti
Come usano l'intelligenza artificiale gli hacker?
Soprattutto per rendere credibili le truffe e farne di più: messaggi senza errori nella lingua della vittima, voci e volti imitati, siti falsi creati in pochi secondi, chatbot che scremano le vittime e passano agli operatori solo chi abbocca. L'UFCS scrive che nel 2026 la usano sistematicamente. La richiesta finale però resta la stessa: soldi, un clic, un programma, un codice.
Come riconosco una truffa fatta con l'IA?
Spesso non la riconosci dalla forma: il testo è corretto, la voce sembra giusta. La riconosci dalla richiesta. Se qualcuno ti chiede di pagare, cliccare, installare un programma o dare un codice, fermati e verifica da un canale che conosci già, richiamando tu. Chiediti se ha senso e se la fretta è reale o indotta.
Le voci clonate sono già un problema in Svizzera?
Sì, ma meno di quanto sembra. L'UFCS ha visto una truffa del CEO con la voce del superiore imitata e scrive che bastano una decina di secondi di registrazione per imitare una voce, ma che le segnalazioni restano casi isolati. Ti consiglio di prepararti comunque: in famiglia una parola d'ordine, in azienda la regola delle due persone per i pagamenti.
Tutte le fonti di questo articolo
- UFCS, rapporto semestrale 2026/I (24.08.2026): bacs.admin.ch
- UFCS, settimana 4/2026, la truffa del CEO e i casi segnalati (27.01.2026): bacs.admin.ch
- UFCS, settimana 31/2026, le voci clonate (04.08.2026): bacs.admin.ch
- UFCS, settimana 29/2026, il falso hotel creato con l’IA (21.07.2026): bacs.admin.ch
- Europol, Internet Organised Crime Threat Assessment (IOCTA) 2026, in inglese (aprile 2026): europol.europa.eu (PDF)
- Europol, IOCTA 2025 «Steal, deal and repeat», in inglese (giugno 2025): europol.europa.eu (PDF)
- ACN, Operational Summary di aprile 2026: acn.gov.it (PDF)
- Polizia Postale, report annuale 2025: commissariatodips.it (PDF)
- FBI, Internet Crime Complaint Center, rapporto annuale 2025, in inglese (aprile 2026): ic3.gov
- FBI, avviso sull’uso dell’IA generativa nelle frodi, con la parola d’ordine di famiglia, in inglese (03.12.2024): ic3.gov
- OpenAI, Disrupting malicious uses of AI, in inglese (07.10.2025): openai.com (PDF)
La prossima volta che qualcuno ti chiede di fare in fretta, rallenta tu.
