Il capo ti chiama in videochiamata. È lui: la faccia, la voce, quel modo di dire «allora» prima di ogni richiesta. Ti chiede un bonifico. Urgente. E, per favore, che resti fra voi due.
Per anni ci hanno insegnato a riconoscere una truffa dagli errori: l’italiano zoppicante, il logo sgranato, la mail impaginata male. Adesso Interpol dice una cosa scomoda. Quegli errori stanno sparendo.
L’organizzazione internazionale di polizia ha lanciato una campagna pubblica contro le truffe fatte con i deepfake, cioè video, immagini e voci false costruite con l’intelligenza artificiale. Tre video brevi, generati anche loro con l’AI. Il primo che compare nella pagina di Interpol si intitola «Your boss… or a deepfake?». Il tuo capo, o un deepfake?
In breve
Interpol ha lanciato una campagna di sensibilizzazione sulle truffe con i deepfake: tre video generati con l’AI, pubblicati su YouTube il 19 ottobre 2026, e lo slogan «Wait. Validate. Don’t take the bait.» (aspetta, verifica, non abboccare). Secondo Interpol, gli strumenti di AI generativa ormai riproducono in modo convincente la faccia o la voce di una persona reale partendo da poco materiale trovato online, e i vecchi segnali delle truffe (errori di ortografia, loghi incoerenti, impaginazione goffa) stanno sparendo. Fra gli esempi c’è la videochiamata di un finto collega che chiede un bonifico: lo schema della truffa del CEO, con una faccia nuova. Per le aziende Interpol chiede formazione obbligatoria, verifiche in più passaggi per i pagamenti e una conferma di persona per le somme grandi.
Cosa ha lanciato Interpol
Il comunicato arriva da Singapore e porta la data del 18 ottobre 2026. I tre video sono comparsi sul canale YouTube di Interpol nella mattina del 19, ora italiana. Durano poco e hanno titoli che sembrano domande da fare a se stessi prima di rispondere al telefono:
- «Your boss… or a deepfake?», il tuo capo o un deepfake;
- «Her voice… or a deepfake?», la sua voce o un deepfake;
- «Real love… or a deepfake?», amore vero o un deepfake.
Letti in fila, i titoli ricalcano i tre esempi del comunicato: la videochiamata di un presunto collega che chiede un bonifico, la telefonata di un familiare in difficoltà, una relazione online che sembra autentica. Lo scopo, scrive Interpol, è sempre uno: rubare dati personali sensibili o soldi.
Il messaggio è in tre inviti: «Wait. Validate. Don’t take the bait.» Aspetta. Verifica. Non abboccare.
La campagna è la parte rivolta al pubblico di un progetto più grande, Project SynthWave PLUS, con cui Interpol aiuta le polizie del Sud-est asiatico, e non solo, a fare i conti con i media sintetici: ricerca, sensibilizzazione, formazione degli agenti. Lo finanzia il governo del Giappone. Interpol ha sede a Lione e mette in rete 196 Paesi.
La campagna porta al pubblico un avvertimento operativo della più grande organizzazione internazionale di polizia del mondo. Detto in parole semplici: il problema è arrivato a te.
Il refuso era la nostra rete di sicurezza
La frase più importante del comunicato la dice Toshinobu Yasuhira, direttore dell’Innovation Centre di Interpol: «L’AI sta cancellando i segnali rivelatori di una truffa. Errori di ortografia, incoerenze nel marchio, impaginazione goffa: questi campanelli d’allarme stanno diventando in fretta una cosa del passato.»
Pensaci un momento. Errori di scrittura, loghi incoerenti, impaginazioni goffe: erano i segnali che ci facevano insospettire. Ci siamo abituati a cercare il truffatore sciatto, quello che scrive male, copia il logo da un’immagine sgranata, sbaglia il nome della banca.
Il comunicato descrive un’altra situazione. Gli strumenti di AI generativa non chiedono più grandi competenze tecniche né grandi investimenti. Oltre a creare avatar iperrealistici che parlano come esseri umani, riproducono in modo convincente la faccia o la voce di una persona reale partendo da poco materiale trovato online.
Poco materiale. Un video su LinkedIn, un’intervista alla radio locale, i vocali che hai mandato nel gruppo sbagliato. Interpol non fa l’elenco: dice solo che basta poco, e che quel poco si trova in rete.
C’è un secondo spostamento, più silenzioso. Il crimine con i media sintetici, scrive Interpol, era visto soprattutto come una minaccia per i personaggi pubblici. Adesso colpisce sempre di più i privati cittadini: truffe sugli investimenti, persone che si fingono qualcun altro, truffe romantiche, ricatti a sfondo sessuale, pornografia deepfake, disinformazione. E la comprensione del pubblico, aggiunge, resta bassa.
Ci siamo fidati della sciatteria dei truffatori. Adesso i truffatori hanno un correttore di bozze.
Il caso che ha fatto scuola: una riunione di maschere
Il primo video della campagna parla del capo. E l’esempio che tutti citano quando si parla di truffa del CEO con i deepfake viene da Hong Kong.
Nel gennaio 2024 Arup, la società di ingegneria britannica che ha lavorato alla struttura della Sydney Opera House, segnala una frode alla polizia di Hong Kong. Un dipendente dell’area finanza aveva ricevuto una mail che sembrava arrivare dalla sede nel Regno Unito. Parlava della necessità di una transazione segreta. Lui aveva sospettato un phishing, cioè un messaggio falso per rubare soldi o dati. Aveva ragione.
Poi era arrivata la videochiamata. Dentro c’erano persone che credeva di riconoscere: il direttore finanziario e altri colleghi. Avevano l’aspetto e la voce giusti. Secondo la polizia di Hong Kong, erano tutte ricostruzioni deepfake. Il dipendente ha messo da parte i dubbi e ha mandato 200 milioni di dollari di Hong Kong, circa 25,6 milioni di dollari, in 15 operazioni. Arup ha poi confermato alla CNN che erano state usate voci e immagini false.
Rileggi la sequenza. Il sospetto c’era, ed era quello giusto. A spegnerlo è stata proprio quella che gli sembrava una verifica dell’identità: vedere e sentire i colleghi.
Il responsabile dei sistemi informativi di Arup, Rob Greig, ha raccontato che l’azienda subisce attacchi regolari, dalle fatture false ai vocali WhatsApp contraffatti fino ai deepfake, e che numero e raffinatezza di questi attacchi stavano crescendo in fretta. Era il maggio 2024. Due anni e mezzo dopo, Interpol scrive che quegli strumenti non chiedono più grandi competenze né grandi investimenti.
Una videochiamata ti sembra la verifica. A volte è il trucco.
In Italia è già successo: la voce del ministro
Se pensi che sia roba da multinazionali asiatiche, torna a febbraio 2025. Almeno una dozzina di grandi nomi dell’imprenditoria italiana ricevono telefonate da quello che sembra lo staff del ministro della Difesa, Guido Crosetto. Fra i contattati, secondo Il Giorno e QuiFinanza, ci sono Giorgio Armani, Patrizio Bertelli, Marco Tronchetti Provera, Massimo Moratti, Diego Della Valle.
La richiesta: ci sono giornalisti in ostaggio in Medio Oriente, lo Stato chiede aiuto per pagare il riscatto, i soldi vanno su un conto di Hong Kong. Tutto, scrive QuiFinanza, nel massimo riserbo. La cifra, promettono, sarà restituita attraverso la Banca d’Italia. Secondo Il Giorno, per clonare la voce del ministro o di uno dei suoi funzionari sono stati usati programmi di intelligenza artificiale.
Secondo la ricostruzione del Giorno dell’8 febbraio 2025, quasi nessuno dei contattati aveva pagato. Ma almeno un imprenditore aveva versato circa un milione di euro in due tranche. Moratti, a Repubblica: «Questi sono bravi, nel senso che sembrava assolutamente tutto vero.»
Il primo segnale è venuto fuori nel modo più banale. Un amico imprenditore ha chiamato Crosetto e gli ha chiesto perché la sua segreteria avesse cercato il suo numero di cellulare. Crosetto quel numero lo aveva già. Ha verificato con il suo ufficio: nessuno aveva chiamato. Nei giorni successivi sono arrivati altri episodi simili, poi la denuncia.
Una recita costruita con cura ha mostrato la prima crepa davanti alla domanda più semplice: «Mi hai cercato tu?»
Il deepfake presta la faccia. Il resto è persuasione antica
Adesso guarda i segnali d’allarme che Interpol elenca. Sono cinque.
- Il contatto che non hai cercato. Qualcuno che non conosci, o che dice di essere un amico, un parente, un’organizzazione fidata, ti scrive o ti chiama e porta il discorso su dati personali, dati bancari, soldi.
- La fretta. Devi agire subito, spesso per una crisi personale o un’emergenza in famiglia. Il tempo per riflettere o verificare sparisce.
- La leva emotiva. Paura, angoscia, oppure l’insistenza sul segreto, che serve a impedirti di sentire qualcun altro.
- Il pagamento strano. Bonifico, criptovalute, carte regalo: difficili da tracciare e, scrive Interpol, quasi impossibili da recuperare.
- La relazione che corre. Un rapporto online che diventa intenso in fretta, dichiarazioni d’amore, dipendenza emotiva, e l’invito a spostarsi fuori dalle piattaforme di incontri ufficiali, per sfuggire ai loro sistemi di controllo e di segnalazione.
Nessuno di questi cinque segnali è tecnologia. Sono le leve che chi studia la persuasione conosce da decenni. L’autorità: il capo, il ministro, la banca. La scarsità, che qui si traveste da fretta: hai poco tempo, quindi niente tempo per pensare. Robert Cialdini le ha messe in fila negli anni Ottanta, e ne trovi un riassunto in questo articolo sulle armi della persuasione.
La mia lettura è questa. Il deepfake rende credibile l’identità di chi ti parla: può prestare l’autorità del capo o la fiducia che hai in una persona cara, la faccia del direttore o la voce di tua figlia. Tutto il resto lo fa il copione, ed è un copione a gradini. L’autorità ti fa obbedire. La fretta ti toglie il tempo per dubitare. Il segreto ti toglie le persone con cui dubitare. Il pagamento strano ti toglie la strada del ritorno.
Guarda il filo che lega i due casi: a Hong Kong la mail parlava di una transazione segreta, in Italia si chiedeva il massimo riserbo. E Interpol scrive nero su bianco che l’insistenza sul segreto serve a non farti consultare nessuno. Il segreto è la parte del piano che taglia le comunicazioni.
Il terzo tema della campagna, quello delle truffe romantiche, richiama la manipolazione nelle relazioni, a cui ho dedicato una guida sulla manipolazione affettiva. Leggendo i segnali di Interpol, il quadro è lo stesso: un rapporto che accelera, una dipendenza emotiva che cresce, una conversazione spostata fuori dalla piattaforma di incontri per sfuggire ai suoi controlli e alle segnalazioni. L’AI aggiunge un volto e una voce. Il meccanismo resta quello.
Il deepfake è il costume. Il copione è vecchio come il mondo.
Perché la verifica deve uscire dagli occhi
Qui sta il punto pratico della campagna, anche se il comunicato non lo dice con queste parole. Se faccia e voce si possono riprodurre partendo da poco materiale trovato online, allora «l’ho visto» e «l’ho sentito» smettono di dimostrare chi c’è dall’altra parte. È il problema che raccontavo nella guida ai deepfake: la prova smette di provare.
Guarda i consigli di Interpol: nessuno ti chiede di diventare un esperto di immagini. Ti chiedono di riattaccare e richiamare la persona attraverso un canale che conosci e hai già verificato. Di concordare con familiari e amici stretti una parola d’ordine, una frase o una domanda segreta da usare nelle chiamate sospette. E alle aziende chiedono procedure di verifica in più passaggi per pagamenti e trasferimenti di dati, con una conferma di persona per le somme grandi.
Sono difese che non dipendono dalla tua capacità di riconoscere il falso: riducono il rischio anche quando il falso è fatto bene. È questa la loro forza. Una difesa affidata solo all’occhio è una scommessa sulla pigrizia dell’avversario, e l’avversario, nel frattempo, ha trovato strumenti alla portata di tutti.
Anche le macchine si stanno muovendo in questa direzione. Qualche giorno fa raccontavo come Google, in Google Messaggi, provi a fermare le truffe al telefono su Android leggendo il contesto della conversazione per capire l’intenzione di chi scrive. Anche lì il controllo guarda come si sviluppa il dialogo, oltre al singolo messaggio sospetto.
Gli occhi si possono ingannare. Una regola decisa prima ti dà un secondo appiglio.
Come portarlo nel tuo lavoro
Se hai uno studio, un negozio, una piccola azienda, il primo video di Interpol parla di te. Chi può muovere soldi nella tua attività? Se è una persona sola, magari la stessa che risponde al telefono, ecco alcune verifiche da concordare questa settimana.
- Il richiamo, sempre. Interpol consiglia, per le chiamate che non hai cercato, di riattaccare e contattare la persona attraverso un canale conosciuto e verificato. Io applicherei la stessa regola a ogni richiesta sospetta di soldi o di dati, anche se arriva per videochiamata o per messaggio: richiami tu, a un numero che avevi già in rubrica o sul sito ufficiale, mai a quello che ti hanno dato. È una verifica simile a quella raccontata da Crosetto.
- Una parola d’ordine. Interpol la consiglia con familiari e amici stretti. In una piccola azienda puoi fare lo stesso fra chi decide i pagamenti e chi li esegue: una domanda con una risposta segreta concordata fra voi. Costa un minuto e una buona memoria.
- Una soglia, decisa a mente fredda. Interpol raccomanda alle aziende verifiche in più passaggi per i pagamenti, con una conferma di persona per le somme grandi. Nella tua attività puoi tradurlo in una cifra precisa, oltre la quale serve anche il controllo di una seconda persona. Decidila adesso, a mente fredda: sotto la pressione di una chiamata urgente è molto più difficile valutare bene.
- Il permesso di far aspettare il capo. Se sei tu il titolare, dillo ad alta voce ai tuoi: «Se vi chiedo un bonifico urgente e riservato, richiamatemi e fatemi aspettare. Sarò contento.» Il copione della truffa punta sull’autorità e sulla fretta. Rendere esplicito che la verifica è autorizzata, anzi richiesta, può ridurre la pressione a obbedire subito.
- Mezz’ora di formazione. Interpol chiede alle aziende formazione obbligatoria su deepfake, vishing (le truffe fatte al telefono) e ingegneria sociale, cioè l’arte di manipolare le persone per farsi dare dati o soldi. I tre video della campagna sono brevi e pronti: guardateli insieme in riunione e chiedete a ognuno che cosa avrebbe fatto.
- Le porte chiuse a doppia mandata. Interpol consiglia l’autenticazione a due fattori su tutti gli account, cioè una seconda prova oltre alla password, per esempio un codice che arriva sul telefono o che genera un’app, e aggiornamenti regolari dei dispositivi contro i programmi spia.
- Se è già successo, il tempo conta. Interpol dice di contattare subito le forze dell’ordine e, se hai appena fatto un pagamento, la banca, il prima possibile. In Italia il sito della Polizia Postale, commissariatodips.it, ha le voci «Segnala online» e «Denuncia per reati telematici».
C’è anche una mossa di comunicazione, che è il mio mestiere. Presenterei la verifica come una regola condivisa, che vale per tutti: «Da noi i soldi si muovono solo dopo una seconda telefonata, vale anche per me». Detta così, può aiutare a farla accettare come un’abitudine dell’azienda, invece che come una sfiducia personale verso chi chiama.
Il falso può essere perfetto. Il tuo bonifico può aspettare una telefonata.
Domande frequenti
Che cos’è la truffa del CEO?
CEO è la sigla inglese che indica l’amministratore delegato. Nella forma raccontata in questo articolo, il truffatore si spaccia per un dirigente dell’azienda, come il titolare o il direttore finanziario, e convince un dipendente a fare un pagamento, spesso con urgenza e in via riservata. Con i deepfake la recita può avere la faccia e la voce della persona vera: è quello che, secondo la polizia di Hong Kong, è successo al dipendente di Arup.
Che cosa ha lanciato Interpol?
Una campagna pubblica di sensibilizzazione sulle truffe che usano media generati o modificati con l’AI: tre video brevi, generati anche loro con l’AI, pubblicati su YouTube il 19 ottobre 2026, con lo slogan «Wait. Validate. Don’t take the bait.». Il comunicato elenca i segnali d’allarme e i consigli per il pubblico e per le aziende.
Come capisco se in videochiamata c’è un deepfake?
Interpol dice che i segnali classici delle truffe stanno sparendo, quindi conviene puntare sulla verifica più che sull’occhio: riattacca e richiama a un numero che conosci, usa una parola d’ordine concordata, chiedi una conferma di persona per le somme grandi. Se vuoi capire come funzionano i deepfake e quali tracce possono lasciare, trovi tutto nella guida dedicata.
Le piccole aziende rischiano davvero?
Secondo Interpol chiunque può cadere in queste truffe, a prescindere da età, Paese o settore, e gli strumenti per costruirle non chiedono più grandi competenze tecniche né grandi investimenti. Se nella tua attività una sola persona può muovere i soldi, concordare una verifica aggiuntiva, come il richiamo o il controllo di una seconda persona sopra una soglia, è particolarmente utile.
Cosa faccio se ho già pagato?
Interpol consiglia di contattare subito le forze dell’ordine e la banca, il prima possibile. In Italia puoi rivolgerti alla Polizia Postale: sul sito commissariatodips.it ci sono le sezioni per segnalare online e per la denuncia dei reati telematici.
Fonti
- Interpol, INTERPOL launches public awareness campaign highlighting risk of AI deepfake scams, 18 ottobre 2026
- Interpol su YouTube, Your boss… or a deepfake?, Her voice… or a deepfake?, Real love… or a deepfake?, 19 ottobre 2026
- CNN, Arup revealed as victim of $25 million deepfake scam involving Hong Kong employee, 16 maggio 2024
- Il Giorno, La truffa milionaria del falso Crosetto, 8 febbraio 2025
- QuiFinanza, Truffa del falso Crosetto ai danni di Moratti, Armani e Tronchetti Provera, 8 febbraio 2025
- Polizia Postale, Commissariato di PS online
