Articolo Pubblicazioni

Deepfake vocali e frode del CEO: come si analizza un audio sospetto

di · Pubblicato il 14 novembre 2026

Abstract

La clonazione della voce ha reso la frode del CEO più credibile e più economica. L’articolo descrive come si costruisce un attacco con voce clonata, a partire da due casi noti, la videoconferenza falsa che nel 2024 è costata 25 milioni di dollari a una multinazionale a Hong Kong e le telefonate con la voce del Ministro della Difesa nel febbraio 2025. Indica poi i controlli organizzativi che fermano questi attacchi e il metodo per analizzare un audio sospetto con valore probatorio.

Vincenzo Calabrò | Deepfake vocali e frode del CEO: come si analizza un audio sospetto
 

La frode del CEO con una voce nuova

La frode del CEO è uno schema vecchio. Qualcuno si spaccia per un dirigente o per un’autorità e chiede un bonifico urgente e riservato. La novità è la voce. Bastano pochi secondi di audio pubblico, un’intervista, un intervento a un convegno o un video sui social, per addestrare un modello che parla con la voce di quella persona, in tempo reale o con messaggi preregistrati. Unita alla falsificazione del numero chiamante, la voce clonata toglie alla vittima il principale strumento di verifica, cioè riconoscere chi parla.

Due casi

Nel gennaio 2024 un dipendente della sede di Hong Kong della società di ingegneria Arup ha partecipato a una videoconferenza con quelli che sembravano il direttore finanziario e alcuni colleghi, tutti generati artificialmente, e ha disposto bonifici per circa 25 milioni di dollari. Nel febbraio 2025 diversi imprenditori italiani hanno ricevuto telefonate con la voce clonata del Ministro della Difesa, da numeri che sembravano istituzionali, con la richiesta di anticipare somme per liberare giornalisti rapiti e la promessa di un rimborso. Almeno una delle persone contattate ha pagato circa un milione di euro prima di scoprire l’inganno.

I controlli che fermano l’attacco

La difesa più efficace è procedurale. Nessuna richiesta di pagamento si esegue sulla base di una telefonata o di una videochiamata, per quanto credibile. La verifica passa per un canale diverso, scelto da chi riceve la richiesta, come richiamare un numero già noto. I pagamenti oltre una soglia richiedono una doppia autorizzazione, e le modifiche alle coordinate bancarie dei fornitori seguono una procedura scritta. Una parola concordata fra dirigenti e personale amministrativo, da usare nelle richieste urgenti, costa poco e funziona. La formazione deve mostrare esempi reali, perché chi non ha mai sentito una voce clonata tende a sottovalutarne la qualità.

Come si analizza un audio sospetto

Quando un audio diventa prova, in una denuncia o in una causa, l’analisi segue le regole della digital forensics. Prima di tutto si acquisisce il file originale con il suo hash, preferibilmente dal dispositivo o dalla piattaforma da cui proviene, perché ogni ricompressione, come l’inoltro su un’app di messaggistica, cancella tracce utili. Si documentano la catena di custodia e il contesto, cioè numero chiamante, orari, tabulati e registri del centralino.
  • Metadati e contenitore, con formato, codec, frequenza di campionamento, software di codifica e date, da confrontare con quelli prodotti dal dispositivo o dall’app dichiarati;
  • Analisi spettrale, alla ricerca di bande tagliate in modo innaturale, rumore di fondo troppo uniforme o assente, respiri e pause anomali e discontinuità nei punti di giunzione;
  • Analisi del parlato, confrontando prosodia, ritmo, intercalari e pronuncia con registrazioni autentiche della persona, con il supporto di uno specialista di fonetica forense quando serve;
  • Rete elettrica, perché nelle registrazioni fatte vicino a un apparecchio collegato alla rete la frequenza elettrica lascia un segnale che può essere confrontato con i registri del gestore per datare l’audio;
  • Rilevatori automatici, da usare soltanto come indizio, perché sono addestrati su generatori noti, sbagliano sui modelli nuovi e sugli audio compressi e devono essere dichiarati con versione e tasso di errore.
La conclusione si esprime in termini di compatibilità e di grado di supporto alle ipotesi, senza pretese di certezza, e la relazione deve permettere a un altro tecnico di ripetere le verifiche. Sul fronte della prevenzione, i sistemi di provenienza dei contenuti e la marcatura prevista dall’AI Act aiuteranno a riconoscere gli audio generati dagli strumenti legittimi, mentre chi vuole ingannare userà strumenti che non marcano nulla.

Come si costruisce una voce clonata

Gli strumenti di clonazione vocale, molti dei quali disponibili come servizi online a basso costo, funzionano in due modi. Nel primo l’attaccante scrive un testo e il sistema lo legge con la voce clonata, utile per messaggi vocali preregistrati. Nel secondo l’attaccante parla in tempo reale e il sistema trasforma la sua voce in quella della vittima, con un ritardo di frazioni di secondo, adatto alle telefonate. La qualità dipende dalla quantità e dalla pulizia dei campioni disponibili, e le persone pubbliche, con molte interviste e interventi online, sono le più esposte.

I segnali di allarme

  • una richiesta urgente e riservata, che chiede di non coinvolgere i canali abituali;
  • un numero sconosciuto o una piattaforma di messaggistica insolita per quella persona;
  • pause innaturali, risposte che non tengono conto di quanto detto o una voce troppo uniforme;
  • la richiesta di bonifici verso conti esteri o di acquisti di carte regalo e criptovalute;
  • la difficoltà a rispondere a una domanda personale che solo la persona vera conoscerebbe.

Il quadro giuridico

In Italia la legge 132 del 2025 sull’intelligenza artificiale ha introdotto un reato specifico per la diffusione illecita di contenuti generati o alterati con l’IA che causano un danno ingiusto, e aggravanti per i reati commessi con questi strumenti. L’AI Act impone di dichiarare quando un contenuto audio o video è stato generato o manipolato artificialmente. Le truffe con voce clonata restano comunque punite come truffe o estorsioni, e la difficoltà pratica è quasi sempre l’identificazione degli autori, che operano spesso dall’estero e usano conti intermediari.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn