I truffatori non scassinano più, accedono: phishing con l’IA, voci clonate e codici QR falsi

Per anni abbiamo insegnato una regola semplice: se un’e-mail è scritta in una lingua stentata, ha una sintassi strana e vi chiama “Gentile cliente”, cancellatela. Nel 2026 questa regola non vale più. L’intelligenza artificiale generativa scrive senza errori, in qualsiasi lingua e nello stile scelto dall’aggressore.

È cambiato anche il modo di agire dei truffatori. Non entrano più forzando codice complesso e vulnerabilità tecniche. Semplicemente accedono, perché la password, la carta di pagamento o il denaro glieli date voi. Basta un’e-mail scritta bene, una voce familiare al telefono o un codice QR su un parchimetro.

I numeri lo confermano. Secondo l’ultimo rapporto dell’Agenzia nazionale ceca per la sicurezza informatica (NÚKIB), nel 2025 la Repubblica Ceca ha registrato 21.137 reati di criminalità informatica, il 14% in più rispetto all’anno precedente. Tra i metodi più frequenti c’erano l’ingegneria sociale e la manipolazione delle vittime (Mobilenet.cz).

Ecco tre tendenze che tutti dovrebbero conoscere e, soprattutto, come difendersi.

1. Addio errori di grammatica: il phishing con l’IA

Oggi un’e-mail di phishing sembra esattamente un messaggio della vostra banca, di un ufficio pubblico o di un corriere. Lingua corretta, logo, firma e spesso anche il contesto: sa che aspettate un pacco, che avete cambiato tariffa di recente o che la vostra azienda usa un determinato software di contabilità. L’IA raccoglie queste informazioni da profili pubblici, siti aziendali e database trafugati.

Quanto funzioni bene lo ha dimostrato uno studio di ricercatori di sicurezza, tra cui Bruce Schneier, pubblicato su Harvard Business Review: il phishing completamente automatizzato scritto dall’intelligenza artificiale ha raggiunto un tasso di clic del 54%, lo stesso delle e-mail di esperti aggressori umani, e i costi delle campagne sono calati di oltre il 95% (StationX, sintesi degli studi). In altre parole, un’e-mail fraudolenta di qualità oggi costa poco e può essere inviata a milioni di persone.

Per questo la polizia ceca avverte che i vecchi segnali d’allarme non bastano più. Il segnale affidabile di una truffa non è più la forma del messaggio, ma il suo contenuto: urgenza e richiesta di denaro, credenziali di accesso o modifica del conto.

A cosa guardare invece della grammatica:

• Il messaggio vuole che facciate qualcosa subito? (“Entro 24 ore”, “altrimenti il conto verrà bloccato”.)
• Il link porta a una pagina di accesso o a un sistema di pagamento?
• L’indirizzo reale del link (passandoci sopra con il mouse) corrisponde al dominio ufficiale dell’istituzione?
• Vi chiede qualcosa che una banca o un ufficio non chiederebbero mai via e-mail, come il PIN, la password o un codice SMS?

2. Voce familiare, persona sconosciuta: clonazione della voce e video deepfake

Vishing con voce clonata

Squilla il telefono ed è vostra figlia, il vostro partner o il vostro capo. È agitato, c’è stato un incidente, ha bisogno che inviate subito del denaro o che dettiate un codice ricevuto via SMS. La voce è giusta, l’intonazione è giusta, persino l’intercalare che quella persona usa sempre.

Per clonare una voce non servono più ore di registrazioni. Secondo McAfee bastano pochi secondi di audio, per esempio da un video sui social (StationX). Chi ha un profilo pubblico su Instagram, TikTok o YouTube ha fornito agli aggressori materiale gratis.

La polizia ceca sottolinea che ormai nemmeno gli utenti esperti possono contare sui vecchi indizi (movimento innaturale delle labbra, intonazione strana, piccoli difetti nell’immagine) (Mobilenet.cz). Né la voce né l’immagine provano più con chi state parlando.

Falsi investimenti con volti noti

Sui social circolano, sotto forma di pubblicità, video in cui personaggi noti promettono “guadagni garantiti” con criptovalute o trading con l’IA. Volto e voce sono stati creati dall’IA. Alcuni esempi cechi degli ultimi mesi:

Il copione è sempre lo stesso: un video, un link, un modulo con il numero di telefono e poi un “broker” dall’aria professionale che mostra profitti falsi e spinge per nuovi versamenti. Quando volete prelevare il denaro, compaiono “commissioni” e “tasse” da pagare prima.

Nessun politico, conduttore o imprenditore consiglia investimenti in una pubblicità su Facebook. Mai.

3. Il codice QR come trappola: il quishing

Ci siamo abituati a controllare i link nelle e-mail. Gli aggressori aggirano il problema con i codici QR, perché l’indirizzo non si vede prima della scansione e il telefono spesso lo apre senza chiedere. Questo tipo di truffa si chiama quishing (da QR e phishing).

Si presenta in due forme:

• In un’e-mail o in una lettera: “Scansiona il codice per annullare la commissione”, “Verifica il tuo account con una scansione”. Il codice QR aggira i filtri che controllano i link nel testo dell’e-mail.
• Fisicamente per strada: un adesivo con un codice falso incollato sopra quello vero su un parchimetro, una colonnina di ricarica o un monopattino in sharing.

La seconda variante è già arrivata nella Repubblica Ceca. Nell’autunno 2025 codici QR falsi sono comparsi sui parchimetri di Praga, Brno e Ostrava. A Praga si trattava di adesivi rosa che promettevano una “estensione del servizio EasyPark” e portavano a una pagina che rubava i dati delle carte di pagamento. Il parcheggio in realtà non veniva pagato, quindi alla vittima, oltre al denaro rubato, poteva arrivare anche una multa per sosta non pagata (Sportdeník / Radiožurnál). Il CSIRT nazionale gestito da CZ.NIC aveva già avvertito in precedenza dello stesso trucco alle colonnine di ricarica (Lupa.cz).

Come difendersi:

• Osservate bene il codice QR sul parchimetro. È un adesivo incollato sopra il pannello originale? Il colore o il carattere sono diversi dal resto del cartello? Lasciatelo stare.
• Prima di aprirlo, controllate l’indirizzo che il telefono mostra dopo la scansione. Se non porta al dominio ufficiale del comune o del gestore, lasciate perdere.
• Per il parcheggio usate l’app ufficiale scaricata da Google Play o dall’App Store. Così non dovete scansionare nessun codice QR.
• Non scansionate mai un codice QR da un’e-mail che vi spinge a pagare o ad accedere.

Il decalogo della vigilanza digitale

La tecnologia cambia più in fretta di quanto si possa imparare. Per questo questo decalogo non si basa sull’aspetto della truffa, ma sulla psicologia: tutte le truffe sfruttano le stesse debolezze umane, cioè paura, fretta, fiducia e avidità.

1. Una parola d’ordine di famiglia. Concordate una parola segreta con figli, genitori e partner. Se uno di voi chiama da un numero sconosciuto (“ho un telefono nuovo”) e chiede soldi, deve pronunciarla. Non scrivetela mai nei messaggi e non condividetela sui social.
2. Riattaccate e richiamate. Chiama la banca, la polizia, un ufficio o un corriere e chiede dati sensibili? Chiudete la chiamata, cercate da soli il numero ufficiale (sulla carta, sul sito dell’istituzione) e chiamate lì. Non chiamate mai il numero dettato da chi vi ha telefonato.
3. La domanda trabocchetto per l’IA. Sospettate di parlare con un clone? Fate una domanda personale fuori contesto: “Cosa abbiamo mangiato domenica a pranzo?”, “Come si chiamava il nostro primo cane?” Il clone risponderà in modo evasivo o chiuderà la chiamata.
4. La fretta è un allarme. Se qualcuno vuole che facciate qualcosa subito e senza dirlo a nessuno, è una truffa fino a prova contraria. Una vera banca o la polizia non vi spingeranno mai a un pagamento immediato.
5. La banca non vuole mai PIN, password o codice SMS. In nessun modo: né via e-mail, né al telefono, né tramite un “conto sicuro”. Chi li chiede è un truffatore.
6. Niente scansioni affrettate dei codici QR. Non scansionate codici da e-mail non richieste né codici che sembrano incollati in un secondo momento.
7. Mai investire da una pubblicità. Nessun personaggio famoso vi consiglierà un investimento in un video su Facebook. Verificate la società nell’elenco di avvertimenti dell’autorità di vigilanza del vostro paese (in Italia la CONSOB) e investite solo tramite istituzioni autorizzate.
8. Meno voce pubblica e meno vita privata in rete. Valutate quanti video con la vostra voce e quanti dettagli sulla famiglia condividete pubblicamente. Ogni video è materiale per la clonazione e ogni dettaglio è materiale per una storia credibile.
9. Autenticazione a due fattori ovunque. Attivatela per e-mail, social e banca. Se un truffatore ottiene la password, senza il secondo fattore non riesce ad accedere.
10. Parlatene con le persone care. I più vulnerabili sono genitori e nonni che non hanno mai sentito parlare di deepfake. Dieci minuti di conversazione a pranzo possono far risparmiare migliaia di euro.

Se è già successo

Chiunque può cascarci e non c’è nulla di cui vergognarsi. Conta la velocità, perché ogni minuto aumenta la probabilità che il denaro sia ormai sparito.

1. Chiamate subito la banca al numero sul retro della carta o nell’app ufficiale. Fate bloccare la carta e l’home banking e chiedete di fermare o contestare i pagamenti.
2. Cambiate le password degli account che il truffatore potrebbe aver ottenuto e ovunque abbiate usato la stessa password. Disconnettete gli altri dispositivi.
3. Denunciate il fatto alla polizia (in Italia anche alla Polizia Postale). Conservate tutto: messaggi, numeri, link, estratti conto, screenshot.
4. Segnalate il sito o il codice QR fraudolento al CSIRT nazionale (nella Repubblica Ceca su csirt.cz). Segnalate un codice QR falso su un parchimetro anche al gestore del parcheggio o alla polizia locale.
5. Attenzione alla seconda ondata. Le vittime di truffe sugli investimenti vengono spesso contattate da società di “recupero” o da “avvocati” che promettono di restituire il denaro in cambio di una commissione. Anche questa è una truffa.

Conclusione

L’intelligenza artificiale non ha cambiato ciò che i truffatori vogliono: il vostro denaro e le vostre credenziali. Ha cambiato quanto riescono a chiederli in modo convincente. Un’e-mail perfetta, la voce di vostro figlio o il volto del primo ministro non sono più una prova di autenticità.

La buona notizia è che la difesa resta altrettanto semplice. Non fidatevi di come un messaggio appare o suona, ma verificate per un’altra strada. Riattaccate e richiamate. Abbiate una parola d’ordine di famiglia. E quando qualcuno ha fretta, rallentate.

Se volete migliorare ancora le vostre abitudini digitali, trovate indicazioni pratiche nel mio e-book Autodifesa informatica nell’era dell’IA.

Fonti

• Le truffe con l’IA sono sempre più perfette; la polizia avverte che un deepfake può non essere riconoscibile – Mobilenet.cz (in ceco)
• Un “video deepfake” ha convinto una pensionata – Polizia ceca (in ceco)
• I deepfake prendono di mira gli investitori – Deník.cz (in ceco)
• Si diffonde un trucco con i ticket del parcheggio – Sportdeník (in ceco)
• Quishing alle colonnine di ricarica e ai parchimetri – Lupa.cz (in ceco)
• Phishing Statistics 2026 – StationX
• CSIRT nazionale ceco – segnalazione degli incidenti