In breve
- I deepfake sono contenuti audio, video o immagini generati dall'IA che imitano una persona reale. In due anni il costo è sceso da « studio di Hollywood » ad « app gratuita per telefono ». Il tuo orecchio e il tuo occhio non bastano più — la difesa è una piccola abitudine, non un riconoscimento migliore.
- Il deepfake più dannoso oggi è un clone vocale di 20 secondi di un parente o del tuo capo, usato al telefono per chiedere soldi o un codice. « Mamma, ho avuto un incidente con l'auto, mi serve subito del contante. »
- Due abitudini battono quasi ogni deepfake di livello consumer: una parola in codice familiare per verificare qualsiasi richiesta urgente via voce o video, e una richiamata lenta attraverso il numero di telefono che avevi già — mai un numero sullo schermo.
- I figli di personaggi pubblici, le vittime di violazioni di dati passate e le persone con molto materiale audio o video pubblico — podcaster, dirigenti, influencer, personalità politiche — sono i più a rischio. E anche le loro famiglie.
- L'abuso basato sull'immagine — i deepfake intimi non consensuali — è una categoria a sé che richiede una risposta propria. Servizi globali (StopNCII.org, Take It Down) possono rimuovere queste immagini senza che tu debba caricarle da nessuna parte.
- « Io non mi lascio ingannare » è ciò che ha creduto ogni persona ingannata.
Cos'è?
Un deepfake è qualsiasi contenuto mediatico sintetico — audio, immagine o video — che imita una persona reale in modo abbastanza convincente da poter essere usato come se fosse autentico. Tre categorie attuali:
- Cloni vocali. Creati a partire da appena 5–10 secondi della voce di una persona — uno spezzone di podcast, un TikTok, un messaggio vocale, un'intervista su YouTube, una registrazione Zoom. Il clone può leggere qualsiasi nuovo testo con la voce della persona, con l'intonazione giusta.
- Video con scambio di volto e sincronizzazione labiale. Un breve video di riferimento del volto della vittima applicato sul corpo di un'altra persona, oppure un video esistente della vittima ri-doppiato con nuovo audio. La qualità varia ma diventa più economica ogni mese.
- Immagini fisse generate dall'IA. La foto di una persona reale collocata in un contesto in cui non è mai stata — a volte intimo, a volte politicamente compromettente, a volte per truffe romantiche o furto d'identità.
Questi vengono usati principalmente in cinque modi:
- Chiamate vocali « emergenza familiare » — la truffa del nipote, evoluta.
- False richieste del CEO o del direttore finanziario ai dipendenti — la frode del CEO (business email compromise), evoluta.
- Truffe romantiche con « prova » video — il truffatore compare brevemente in una chiamata per dimostrare di essere reale.
- Disinformazione politica — spezzoni audio o video coordinati diffusi prima delle elezioni.
- Abuso basato sull'immagine — deepfake intimi che colpiscono in modo sproporzionato donne e minori.
La tecnologia sottostante non è più esotica. Gli strumenti sono accessibili al pubblico, per lo più legali da usare, e migliorano rapidamente. Trattare tutto questo come qualcosa che capita « agli altri » è lo stesso errore che si commetteva riguardo al phishing nel 2015.
Come riconoscerlo?
Il vecchio consiglio — « cerca le sfocature lungo la mascella, conta le dita » — è ormai per lo più superato. Le generazioni recenti di strumenti di deepfake non lasciano più queste tracce. I segnali affidabili si sono spostati dall'artefatto al contesto.
Durante una telefonata:
- La voce è giusta ma la conversazione è superficiale. Chi chiama non fa riferimento a ricordi condivisi, non sa rispondere a « di cosa abbiamo parlato lo scorso fine settimana », non si lascia coinvolgere su dettagli che solo la persona reale conoscerebbe.
- L'urgenza è alta. Sempre urgenza. « Non dirlo a nessuno — sono nei guai. »
- Il metodo di pagamento è insolito. Carte regalo. Criptovaluta. Bonifico su un conto sconosciuto. I veri familiari che chiedono soldi in prestito non ti chiedono, normalmente, di inviare carte regalo Apple.
- Chi chiama vuole spostare la conversazione dal canale originale — « richiamami su questo numero WhatsApp, il mio telefono si è rotto. »
Durante una videochiamata:
- Il volto si muove leggermente meno dei volti reali — le microespressioni sembrano sottilmente sbagliate.
- Gli occhi non seguono in modo naturale quando chiedi alla persona di guardarsi intorno nella stanza.
- La luce sul volto non corrisponde del tutto alla luce sullo sfondo.
- Un test semplice: chiedile di girarsi di lato e di passare lentamente una mano davanti al viso. Gli attuali deepfake in tempo reale falliscono ancora su questo — la mano scompare, il volto ha degli scatti, la sincronizzazione labiale slitta.
Su un'immagine fissa:
- Fai una ricerca inversa per immagini della foto. I volti generati dall'IA di solito non hanno altre apparizioni online; le persone reali sì.
- Mani e orecchie sono ancora le aree più soggette a errori nelle immagini fisse.
- Lo sfondo è troppo pulito o stranamente incoerente — una finestra senza vista, un muro senza ombre, un logo che è quasi un logo reale.
Il più affidabile: ignora gli artefatti. Verifica attraverso un canale diverso. Sempre.
Cosa fare?
Se una voce o un video sospetto ti ha appena contattato:
- Interrompi la conversazione. Con gentilezza o meno. « Ti richiamo io. » Riaggancia. Chiudi la chat.
- Verifica attraverso un canale conosciuto. Chiama la persona sul numero che hai per lei da anni. Se non risponde, chiama un familiare che saprebbe dove si trova. Non richiamare il numero che ti ha appena contattato.
- Usa la parola in codice familiare. Descritta più sotto. Se non ne hai ancora una, questo è il momento di inventarla.
- Se è stato chiesto del denaro, non inviarlo — anche se sei sicuro al 90 % che fosse davvero lei. Il caso del 10 % può essere catastrofico; l'attesa è recuperabile.
- Se hanno insistito sulla segretezza — « non dirlo a tua madre » — questo conferma la truffa. Le vere emergenze non sono segrete.
Se scopri il deepfake solo dopo (denaro inviato, messaggio creduto, immagine condivisa):
- Chiama subito la tua banca. I bonifici internazionali a volte possono essere richiamati entro 24 ore; dopo, è molto più difficile.
- Salva tutto. Screenshot, messaggi vocali, registri delle chiamate, cronologie dei messaggi, conferme di transazione. La documentazione conta anche se non recupererai mai il denaro, perché aiuta la vittima successiva.
- Denuncia alla polizia. L'unità cybercrimine del tuo paese e la piattaforma da cui è arrivato il contatto. Nell'UE, avvisa anche l'autorità nazionale per la protezione dei dati se sono stati usati la tua immagine o la tua voce — è di per sé una violazione dei dati personali.
- Avvisa la tua cerchia. La stessa operazione probabilmente prenderà di mira come prossimi la tua famiglia e i tuoi contatti, usando la credibilità che tu, senza volerlo, hai appena prestato.
- Se erano coinvolte immagini intime, usa subito un servizio di rimozione — vedi sotto.
Stabilisci ora una parola in codice familiare, mentre sono tutti tranquilli.
- Una parola o frase breve che conosce solo la tua famiglia. Non un compleanno, non il nome di un animale domestico (quelli sono sui social media).
- « Zucca-tramonto », « gambero blu », « martedì Yvonne ». Qualcosa di memorabile ma non googlabile.
- Chiunque chiami con urgenza deve fornire la parola. Nessuna eccezione.
- Comunicala per iscritto ai parenti anziani. Alcuni non ricorderanno la regola sotto pressione; un magnete sul frigorifero aiuta.
Cosa NON fare
- Non affidarti a « riconoscerei la sua voce » o « sono identici a lei ». Quel riconoscimento è esattamente ciò che la tecnologia è progettata per sfruttare.
- Non discutere con il deepfake. Ogni interazione conferma i tuoi dati e fornisce più materiale vocale per l'addestramento.
- Non pubblicare video di bambini con nome completo e scuola. Voce e volto — i due ingredienti per un clone — vengono raccolti dai post pubblici.
- Non pagare una richiesta di estorsione per un « nudo deepfake » di te o di tuo figlio. Pagare conferma un bersaglio disposto a pagare; la richiesta ritorna. Salva le prove, denuncia e usa i servizi di rimozione.
- Non cercare di ingannare chi chiama con domande trabocchetto. Le operazioni sofisticate seguono un copione con risposte preparate. Le parole in codice funzionano meglio degli indovinelli.
- Non fidarti dell'autenticazione biometrica — volto o voce — per nulla di importante, a meno che non sia abbinata a un secondo fattore. Un clone vocale può battere l'autenticazione vocale di alcune banche; alcuni sistemi di riconoscimento facciale vengono ingannati da un video di alta qualità.
- Non incolpare te stesso. Persone intelligenti vengono ingannate da questo ogni giorno. La tecnologia è progettata per sfruttare la fiducia normale.
Usare l'IA per aiutarti
Due prompt che puoi copiare e adattare. Incolla la situazione tra parentesi. Non incollare password o codici a due fattori.
Analizzare uno spezzone sospetto:
« Ho ricevuto questo spezzone audio (o video / immagine) e non sono sicuro/a se sia autentico o un deepfake. Qui sotto c'è il contesto — chi lo ha inviato, cosa sostiene, cosa mi è stato chiesto. Ti chiedo di analizzare: (a) quali segnali d'allarme vedi nella situazione (non nell'artefatto — dai per scontato che il contenuto in sé sia convincente), (b) quale verifica potrei fare nei prossimi dieci minuti per confermare o smentire, (c) cosa specificamente NON dovrei fare finché non ho verificato, e (d) su una scala da 1 a 10, quanto è probabile che si tratti di un attacco deepfake, con la tua motivazione.
Contesto: [incolla qui]"
Pianificare una routine di verifica familiare:
« Voglio proteggere la mia famiglia — inclusi [elenca le età e la dimestichezza tecnologica, ad es. figli adolescenti, i miei genitori anziani] — dagli attacchi con cloni vocali e deepfake video. Ti chiedo di darmi (a) una routine di verifica familiare di una pagina, incluso un sistema di parole in codice che anche una persona di 80 anni possa seguire sotto stress, (b) gli scenari specifici che dovrei ripassare stasera con ciascun membro della famiglia (la chiamata « mamma ho avuto un incidente con l'auto », la chiamata « il CEO ha bisogno di un bonifico urgente » al mio partner al lavoro, l'e-mail « ho il tuo nudo e lo mando a tutti » a un adolescente), e (c) cosa dovrei cambiare nelle nostre abitudini di pubblicazione sui social media per ridurre il rischio futuro. »
Un promemoria: l'IA può sbagliarsi con sicurezza sulle leggi specifiche del tuo paese in materia di contenuti sintetici, sull'opportunità di coinvolgere la polizia e sulle vie di segnalazione che funzionano. Usala per pianificare; verifica i passi formali con la tua banca, la polizia locale e l'autorità nazionale per la protezione dei dati.
Chi chiamare?
L'ordine: la piattaforma su cui è comparso il deepfake, la tua banca se è stato spostato del denaro, i servizi di rimozione se sono coinvolte immagini intime, la polizia per un uso criminale.
Trovare i contatti più recenti per il tuo paese con l'IA:
« Sono in [il tuo paese]. Elenca i canali ufficiali da contattare per un incidente di deepfake — l'ente nazionale di segnalazione del cybercrimine, l'autorità per la protezione dei dati (per l'uso non autorizzato dell'immagine o della voce), la linea antifrode finanziaria se è stato spostato del denaro, e qualsiasi servizio governativo o di ONG che si occupi specificamente di abuso tramite contenuti sintetici (in particolare l'abuso con immagini intime). Per ognuno, fornisci il sito ufficiale e il numero di telefono pubblico, e dimmi quale contattare per primo a seconda che (a) sia stato spostato del denaro, (b) la mia immagine sia stata usata per truffare altri, (c) siano state create o condivise immagini intime di me o di mio figlio, oppure (d) il deepfake sia di natura politica o elettorale. Cita la fonte ufficiale per ogni voce. Segnala tutto ciò che potrebbe essere obsoleto. »
Un breve elenco curato (per i dati più aggiornati, preferisci il prompt IA sopra):
- Abuso basato sull'immagine — servizi di rimozione globali (NON caricare l'immagine):
- StopNCII.org — genera un hash sul tuo dispositivo; le piattaforme partecipanti (Meta, TikTok, Reddit, OnlyFans, Pornhub, Bumble, X, e altre) bloccano i caricamenti corrispondenti senza mai ricevere l'immagine stessa.
- Take It Down (gestito da NCMEC, USA) — stesso principio, specificamente per i minori di 18 anni; accetta anche adulti preoccupati per immagini del passato.
- Italia — Polizia Postale e delle Comunicazioni (commissariatodips.it); Telefono Azzurro (114, emergenza infanzia, 24h; linea di ascolto 19696) per i minori.
- Svizzera (IT) — Aiuto alle vittime / Opferhilfe (142, opferhilfe-schweiz.ch); Centro nazionale per la cybersicurezza (ncsc.admin.ch).
Quando escalare oltre la chat
- È stato inviato del denaro e la conversazione è ancora in corso — chiama la linea antifrode della banca nel minuto successivo, non nell'ora successiva. Le finestre per il richiamo internazionale sono brevi.
- È stato creato o minacciato un deepfake intimo di te o di un bambino — usa StopNCII o Take It Down oggi; denuncia alla polizia in parallelo. Non pagare l'estorsione.
- Un deepfake viene usato per truffare persone della tua rete — ad esempio il tuo volto o la tua voce in una falsa chiamata del CEO ai tuoi dipendenti — avvisa subito le risorse umane, l'IT o un avvocato. Potrebbe esserci una dimensione di responsabilità aziendale.
- Un deepfake politico di te sta circolando — verifica con il tuo team di comunicazione o con un avvocato prima di reagire pubblicamente; le smentite non coordinate possono amplificare l'originale.
- Un adolescente della tua famiglia viene ricattato con un'immagine di nudo generata dall'IA — è un reato nella maggior parte dei paesi anche se l'immagine è stata generata anziché essere reale. Take It Down di NCMEC, più la polizia, più la scuola se sono coinvolti coetanei.
- Sei in difficoltà psicologica — la truffa, l'abuso basato sull'immagine e la perdita d'identità possono spingere ciascuno le persone in crisi. Svizzera: 143 (Telefono Amico, solo crisi emotiva). Italia: 02 2327 2327 (Telefono Amico Italia); per i minori 114 / 19696 (Telefono Azzurro).
Fonti e letture aggiuntive
- Stanford Internet Observatory — ricerca pubblica continua sui contenuti sintetici
- Witness.org — organizzazione globale della società civile sulla risposta ai deepfake e la formazione sul campo
- Cyber Civil Rights Initiative — ricerca sull'abuso basato sull'immagine e supporto alle vittime
- StopNCII.org / NCMEC Take It Down — infrastruttura pubblica di rimozione
- Regolamento UE sull'IA (AI Act) — disposizioni sulla trasparenza dei contenuti sintetici
- US Federal Trade Commission — regolamentazione in corso sulle frodi con deepfake