“L’ha detto Google, quindi sarà giusto.” È il ragionamento che questa truffa sfrutta. Il riassunto dell’intelligenza artificiale in questi casi lo copia da pagine che i truffatori hanno preparato proprio perché venissero copiate.
Cosa hanno scoperto i ricercatori?
Che i truffatori riempiono il web di contenuti falsi con un solo scopo: farli finire nelle risposte degli assistenti di intelligenza artificiale. Post, documenti PDF, recensioni e finte pagine di assistenza ripetono lo stesso numero di telefono accanto al nome di una banca, di una compagnia aerea o di un produttore. Quando chiedi «qual è il numero dell’assistenza di…?», l’assistente trova quelle pagine e ti presenta il numero dei truffatori come se fosse quello ufficiale.
Il ricercatore Ariel Simon di Vigilance Security ha chiamato la campagna «Dark Sourcery». Secondo l’azienda riguarda almeno 374 aziende, con decine di migliaia di pagine false: numeri di telefono, indirizzi di posta, pagine di accesso e informazioni false sugli aggiornamenti dei programmi. Fra gli esempi citati c’è un falso numero di assistenza per le stampanti HP.
La pubblicazione originale di Simon è su Medium, non consultabile da noi: i fatti che riportiamo sono quelli confermati da chi l’ha letta.
Gli assistenti coinvolti sono ChatGPT, Gemini e i riassunti IA di Google; fra le aziende imitate ci sono compagnie aeree, società di viaggi, banche e produttori di software. Vigilance ha documentato casi di persone che, chiamando i numeri forniti dal chatbot, hanno ceduto dati di pagamento.
Due precisazioni oneste. Il numero di 374 aziende viene dalla stessa Vigilance Security e non è stato verificato in modo indipendente. E non vuol dire che ogni numero dato da un assistente sia falso: vuol dire che non puoi sapere quale lo è, perché la risposta sembra identica in entrambi i casi.
Perché un assistente IA si fa ingannare?
Perché non ha un elenco ufficiale dei numeri: riassume quello che trova scritto in giro. Secondo Simon, i truffatori mescolano siti che sembrano autorevoli con forum, social e recensioni: se tante pagine ripetono lo stesso numero, all’assistente sembra confermato. I truffatori usano le stesse tecniche che da anni servono a far salire un sito nei risultati di Google, solo che adesso l’obiettivo è la risposta dell’intelligenza artificiale.
C’è una differenza importante rispetto a una ricerca normale: con il riassunto IA spesso non vedi nemmeno la pagina da cui arriva il numero. Leggi la risposta, prendi il telefono e chiami.
Succede anche in Svizzera e in Italia?
Sì, il trucco del numero falso fra i risultati di ricerca è già arrivato in entrambi i Paesi. Nel 2023 l’Ufficio federale della cibersicurezza (UFCS) ha raccontato il caso di una persona che cercava su un motore di ricerca il numero di assistenza del suo tour operator. Il primo risultato era un annuncio che portava alla pagina vera del tour operator, ma con dentro un numero falso inserito dai truffatori. Al telefono hanno chiesto di installare un’applicazione e di dare il numero della carta di credito; poco dopo è arrivato un addebito. Quel caso non riguardava l’IA, ma il meccanismo è lo stesso.
L’UFCS consiglia di aprire direttamente il sito del tour operator e cercare lì i numeri di assistenza, di non dare mai i dati della carta per telefono e di annotare in anticipo i numeri delle hotline più importanti, compreso quello per bloccare la carta.
In Italia l’associazione di consumatori U.Di.Con ha avvisato a marzo 2026 che i riassunti IA dei motori di ricerca mostrano spesso numeri sbagliati per compagnie aeree, banche e servizi clienti, e che i falsi operatori vendono biglietti o modifiche di viaggio a prezzi molto più alti. Il rischio cresce quando c’è fretta: un volo cancellato, una carta bloccata, una stampante che non va il giorno prima di una scadenza.
U.Di.Con, assistenza clienti cercata con l'IA: la trappola dei call center falsiDove prendo il numero vero dell’assistenza?
Da una fonte che hai già in mano o che apri da solo, mai da una risposta che qualcuno ha scritto per te. In ordine di sicurezza:
- Il retro della carta di credito o di debito, per la banca e per bloccare la carta.
- La bolletta, il contratto, l’estratto conto o la conferma di prenotazione che hai ricevuto dopo aver prenotato tu sul sito ufficiale: il numero stampato lì è quello dell’azienda.
- L’app ufficiale che usi già: banca, compagnia aerea, operatore telefonico. Molte banche online e neobanche (come Revolut) non hanno un numero da chiamare: l’assistenza è nella chat dell’app.
- Il sito ufficiale scritto da te nella barra degli indirizzi (o salvato nei preferiti), poi la pagina «Contatti» o «Assistenza».
Se usi solo il telefono e non ti trovi con i siti, la scelta più semplice è la prima: la carta o la bolletta. Oppure chiedi a un familiare di cercare il numero con te sul sito ufficiale e salvatelo in rubrica, così la prossima volta è già lì.
Puoi continuare a usare l’assistente IA per capire cosa fare («come si cambia un volo?»). Il numero da chiamare, però, lo prendi altrove.
Come riconosco un falso operatore al telefono?
Dalle richieste, non dalla voce. Un falso operatore può essere gentile, preparato e conoscere il nome dell’azienda. Fermati e riattacca se ti chiede di:
- installare un’app o un programma per «aiutarti meglio»: sono programmi che danno a un estraneo il controllo del tuo telefono o computer;
- dettare il numero completo della carta, la data di scadenza e il codice di tre cifre sul retro;
- leggere un codice arrivato per SMS o nell’app della banca: serve a confermare un pagamento o un accesso a nome tuo;
- pagare subito una «penale», una «tassa di modifica» o un «deposito» con un bonifico, con TWINT, con una ricarica Postepay o con una carta regalo.
Se sei in dubbio, riattacca e richiama dal numero che hai trovato da solo. Un operatore vero non si offende; un truffatore insiste.
Cosa faccio se ho già chiamato quel numero?
Dipende da cosa hai dato. Se hai solo parlato e non hai dato nulla, il rischio è basso. Possono però richiamarti: se qualcuno ti richiama «per completare la pratica», riattacca e usa il numero che conosci. Se invece hai condiviso qualcosa, agisci subito:
- Hai dato i dati della carta o un codice? Chiama la banca dal numero sul retro della carta o dall’app, e fai bloccare la carta. Chiedi anche di controllare gli ultimi movimenti. In Italia la banca può avere un numero verde dedicato al blocco: lo trovi sul suo sito o sul contratto.
- Hai installato un programma su richiesta dell’operatore (per il controllo a distanza)? Stacca il dispositivo da Internet (Wi-Fi e cavo), disinstalla il programma e fallo controllare da un tecnico di fiducia o da un familiare pratico.
- Cambia le password di posta elettronica ed e-banking da un altro dispositivo, e attiva la verifica in due passaggi (oltre alla password serve un codice dal telefono).
- Hai pagato qualcosa? Avvisa la banca il prima possibile: chiedi se il pagamento si può bloccare o contestare.
- Segnala. In Svizzera: polizia cantonale (trovi la stazione più vicina su suisse-epolice.ch) e segnalazione all’UFCS su report.ncsc.admin.ch, dove scegli il tipo di truffa e descrivi cosa è successo. In Italia: Polizia Postale su commissariatodips.it, sezione per le segnalazioni.
- Conserva le prove: il numero chiamato, l’ora, la risposta dell’assistente IA (una foto dello schermo basta), eventuali SMS ed e-mail.
Per la parte sul controllo a distanza, trovi i passi nel dettaglio nell’articolo sul finto operatore della banca che ti fa installare AnyDesk.
Domande frequenti
Posso fidarmi del numero che compare nel riassunto in cima a Google?
Non per chiamare un'assistenza. Il riassunto IA prende i numeri da pagine scritte da chiunque, e secondo Vigilance Security i truffatori ne pubblicano apposta. Usa il riassunto per capire, poi prendi il numero dal sito ufficiale scritto da te, dalla carta, dalla bolletta o dall'app.
Se chiedo a ChatGPT di darmi il link al sito ufficiale, è più sicuro?
No, non molto: secondo Vigilance fra i contenuti falsi ci sono anche pagine di accesso. Scrivi tu l'indirizzo che conosci o usa quello stampato su bolletta o carta.
Il numero inizia con 0800 o con +41: vuol dire che è svizzero e quindi vero?
No. Il prefisso non dice chi risponde dall'altra parte: anche un numero dall'aspetto svizzero o italiano può essere dei truffatori. Conta solo da dove hai preso il numero: dalla carta, dalla bolletta, dall'app o dal sito scritto da te.
Un'azienda vera mi può chiedere di installare un programma al telefono?
Alcuni servizi tecnici usano davvero programmi di assistenza a distanza, ma solo quando sei tu ad averli contattati da un numero certo. Se l'operatore te lo chiede dopo una chiamata a un numero trovato con una ricerca, o per un volo, un conto o una carta, riattacca.
Il momento peggiore per cercare un numero è quando ti serve di corsa. Prendi adesso la carta e l’ultima bolletta e salva in rubrica i tre o quattro numeri che contano: la prossima volta non dovrai chiederli a nessuno.
