Crypto, DeFi e reati informatici
Truffa con voce clonata dall'IA: CEO fraud e deepfake vocale
In questa guida
- Come funziona la truffa con la voce clonata dall'intelligenza artificiale?
- Che cos'è la CEO fraud e quali reati integra?
- Il dipendente che fa il bonifico dopo la telefonata rischia conseguenze penali?
- La banca rimborsa un bonifico fatto a causa di una truffa con deepfake vocale?
- Cosa fare se arriva una chiamata con la voce di un parente che chiede soldi?
- Come si dimostra in un processo che la voce era generata con l'IA?
- Entro quanto tempo si deve denunciare una truffa con voce clonata?
- Domande frequenti
- Fonti
La truffa con voce clonata usa l'intelligenza artificiale per imitare un dirigente o un familiare e ottenere un bonifico urgente. È truffa (art. 640 c.p., da 6 mesi a 3 anni) aggravata dall'uso dell'IA come mezzo insidioso (art. 61, n. 11-decies, c.p.: pena aumentata fino a un terzo), spesso con sostituzione di persona e riciclaggio dei fondi. La querela va presentata entro 3 mesi dalla scoperta.
In sintesi
- Nella CEO fraud il truffatore imita la voce di un amministratore e ordina a un dipendente un pagamento riservato e urgente.
- Il reato base è la truffa: reclusione da 6 mesi a 3 anni e multa da 51 a 1.032 euro; da 1 a 5 anni se la vittima si trova in minorata difesa.
- Dal 10 ottobre 2025 l'uso dell'IA come mezzo insidioso aggrava la pena fino a un terzo (L. 132/2025).
- La truffa è procedibile a querela, da presentare entro 3 mesi dalla notizia del fatto (art. 124 c.p.), salvo le ipotesi d'ufficio.
- Chi riceve e trasferisce i fondi rischia l'accusa di riciclaggio: reclusione da 4 a 12 anni (art. 648-bis c.p.).
- Il bonifico disposto dal cliente ingannato è di regola considerato autorizzato: il rimborso bancario non è automatico.
Come funziona la truffa con la voce clonata dall'intelligenza artificiale?
Bastano pochi secondi di registrazione, ricavati da video pubblici, interviste o messaggi vocali, per addestrare un sistema capace di riprodurre timbro e cadenza di una persona. Il truffatore usa la voce sintetica in una telefonata o in un messaggio vocale, spesso combinata con un numero chiamante contraffatto e con email che sembrano provenire dallo stesso interlocutore.
Gli schemi ricorrenti sono due. Nel primo la vittima è un'impresa: un dipendente dell'amministrazione riceve la chiamata del «direttore generale» che chiede un bonifico riservato per un'acquisizione o un fornitore estero. Nel secondo la vittima è una famiglia: un genitore o un nonno sente la voce di un figlio o di un nipote in difficoltà che chiede denaro subito, variante tecnologica della truffa del finto nipote. In entrambi i casi la leva è la stessa: urgenza, riservatezza e fiducia nella voce conosciuta.
Che cos'è la CEO fraud e quali reati integra?
La CEO fraud (o frode del finto amministratore) è una truffa ai danni di un'impresa, in cui l'autore si presenta come un vertice aziendale per far eseguire un pagamento. Con la voce clonata diventa più difficile da riconoscere, ed è proprio questo il presupposto dell'aggravante dell'IA. Il quadro delle norme applicabili è il seguente.
| Condotta | Norma | Pena |
|---|---|---|
| Indurre in errore la vittima e ottenere il pagamento | Art. 640, comma 1, c.p. | Reclusione da 6 mesi a 3 anni e multa da 51 a 1.032 euro |
| Truffa approfittando dell'età o della condizione della vittima | Art. 640, comma 2, n. 2-bis, c.p. | Reclusione da 1 a 5 anni e multa da 309 a 1.549 euro |
| Truffa commessa a distanza con strumenti informatici idonei a ostacolare l'identificazione | Art. 640, comma 2, n. 2-ter, c.p. | Reclusione da 1 a 5 anni e multa da 309 a 1.549 euro |
| Uso dell'IA come mezzo insidioso | Art. 61, n. 11-decies, c.p. (L. 132/2025) | Aumento fino a un terzo |
| Spacciarsi per un'altra persona | Art. 494 c.p. | Reclusione fino a 1 anno, se il fatto non costituisce altro delitto contro la fede pubblica |
| Diffondere la voce falsificata causando danno alla persona imitata | Art. 612-quater c.p. | Reclusione da 1 a 5 anni |
| Ricevere e trasferire i fondi per ostacolarne la tracciabilità | Art. 648-bis c.p. | Reclusione da 4 a 12 anni e multa da 5.000 a 25.000 euro |
Se il truffatore, oltre a ingannare una persona, interviene sui sistemi informatici dell'azienda (per esempio accedendo alla casella email del dirigente per rendere credibile la richiesta), possono concorrere l'accesso abusivo e la frode informatica dell'art. 640-ter. Il profilo dell'aggravante, comune a tutti i reati commessi con l'IA, è approfondito nella pagina sulla nuova aggravante per i reati commessi con l'IA.
La norma — art. 640 c.p., primo comma e ultimo comma (Brocardi)
«Chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032.»
«Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze previste dal secondo comma, a eccezione di quella di cui al numero 2-ter)»
Il dipendente che fa il bonifico dopo la telefonata rischia conseguenze penali?
Il dipendente ingannato è, sul piano penale, lo strumento del reato e non il suo autore: la truffa richiede il dolo, e chi paga credendo di eseguire un ordine legittimo non lo ha. Nelle prime fasi, però, gli inquirenti verificano sempre l'ipotesi di un complice interno, perché chi conosce procedure, nomi e tempi dell'azienda rende la frode più credibile. Il dipendente può quindi essere sentito come persona informata sui fatti e, se emergono elementi a suo carico, diventare indagato.
Le conseguenze più frequenti sono di altro tipo: contestazioni disciplinari per il mancato rispetto delle procedure di autorizzazione dei pagamenti e richieste risarcitorie dell'azienda. La difesa, anche in sede disciplinare, si basa sulla ricostruzione della telefonata, sulla qualità dell'imitazione e sull'esistenza (o assenza) di procedure di doppia verifica effettivamente applicate in azienda.
- Conservare subito il registro chiamate, eventuali registrazioni, email e messaggi collegati.
- Riferire per iscritto e con precisione la sequenza dei fatti, senza minimizzare né aggiungere ipotesi.
- Non cancellare nulla dal telefono aziendale o personale: il contenuto serve anche a escludere un coinvolgimento.
La banca rimborsa un bonifico fatto a causa di una truffa con deepfake vocale?
Di regola no, perché il bonifico è stato disposto dal titolare del conto. La disciplina dei servizi di pagamento (D.Lgs. 11/2010) prevede il rimborso delle operazioni non autorizzate; l'Arbitro Bancario Finanziario ha escluso che il bonifico disposto personalmente dal cliente sotto raggiro sia un'operazione non autorizzata (ABF, Collegio di Milano, decisione n. 2295 del 28 febbraio 2025). Il consenso viziato dall'inganno resta un consenso.
Restano alcune strade. Dal 9 ottobre 2025 il Regolamento (UE) 2024/886 impone alle banche dell'area euro la verifica della corrispondenza tra nome del beneficiario e IBAN: se la banca non ha eseguito la verifica o non ha segnalato una mancata corrispondenza, la sua posizione cambia; se il cliente ha proceduto nonostante l'avviso, la responsabilità resta sua. Si può inoltre chiedere subito alla propria banca di attivare il richiamo del bonifico verso la banca del beneficiario: le possibilità di recupero diminuiscono con il passare delle ore, perché i fondi vengono trasferiti su altri conti, spesso esteri, secondo gli schemi descritti nella pagina sul riciclaggio transnazionale.
Cosa fare se arriva una chiamata con la voce di un parente che chiede soldi?
- Interrompere la chiamata e richiamare la persona al numero già salvato in rubrica, non a quello da cui è arrivata la telefonata.
- Fare una domanda di verifica la cui risposta non è ricavabile dai social o da internet; molte famiglie concordano una parola di controllo.
- Non disporre pagamenti né consegnare denaro o gioielli a incaricati che si presentano a casa.
- Annotare numero chiamante, ora, durata e contenuto della richiesta, e conservare eventuali messaggi vocali.
- Segnalare il fatto alle forze di polizia anche se il pagamento non è avvenuto: il tentativo di truffa è punibile.
Come si dimostra in un processo che la voce era generata con l'IA?
La prova si costruisce con una consulenza tecnica fonica, che confronta la registrazione contestata con campioni autentici della voce imitata e cerca le tracce della sintesi artificiale. Il materiale più utile è l'audio originale: un messaggio vocale salvato nel formato nativo dell'applicazione, una registrazione della centrale telefonica aziendale, i file di log del centralino. Le copie ricodificate o registrate da un altro telefono perdono informazioni.
Se la telefonata non è stata registrata, la prova passa per testimoni, tabulati, dati della rete telefonica e flussi finanziari. I dati conservati da operatori e piattaforme all'estero si acquisiscono con gli strumenti di cooperazione descritti nella pagina sulle prove elettroniche dall'estero (e-evidence). Quando il pubblico ministero dispone accertamenti tecnici irripetibili sui supporti, l'art. 360 c.p.p. consente alla persona offesa e all'indagato di nominare propri consulenti e assistere.
Entro quanto tempo si deve denunciare una truffa con voce clonata?
Il termine di legge è di 3 mesi dal giorno in cui la persona offesa ha avuto notizia del fatto (art. 124 c.p.), perché la truffa è di regola procedibile a querela. La querela non serve, e il procedimento parte d'ufficio, quando ricorre una circostanza del secondo comma dell'art. 640 diversa dal n. 2-ter, per esempio la minorata difesa di una vittima anziana. Anche in questi casi conviene presentare denuncia subito: il fattore decisivo non è il termine giuridico, ma la velocità con cui si possono bloccare i fondi.
Tempi
- Nelle prime ore: chiamata alla banca per il richiamo del bonifico e blocco delle credenziali; per l'impresa, avviso a tutte le funzioni che dispongono pagamenti.
- Entro 24-48 ore: denuncia o querela alla Polizia Postale, ad altro ufficio di polizia o alla procura, con estremi del bonifico, IBAN beneficiario, registro chiamate e audio disponibili.
- Nei giorni successivi: acquisizione forense di registrazioni, email e log del centralino.
- Entro 3 mesi dalla notizia del fatto: termine ultimo per la querela (art. 124 c.p.).
- Durante il processo: costituzione di parte civile per il risarcimento, anche nei confronti di chi ha ricevuto i fondi.
Il quadro degli altri reati commessi con strumenti tecnologici è nell'hub crypto, DeFi e reati informatici.
Esempio (caso ricostruito a fini illustrativi)
L'addetta alla tesoreria di una società riceve la telefonata dell'amministratore delegato, riconoscibile dalla voce, che chiede un bonifico riservato verso un conto estero per chiudere una trattativa. Segue un'email apparentemente proveniente dallo stesso dirigente. Il bonifico parte; il giorno dopo l'amministratore smentisce di aver chiamato.
La società presenta querela per truffa aggravata dall'uso dell'IA e chiede alla banca il richiamo. L'addetta viene sentita come persona informata; la sua difesa produce il registro chiamate e dimostra di aver rispettato la procedura interna allora vigente, che non prevedeva la richiamata di verifica. Esito possibile: nessuna contestazione penale a suo carico e indagini concentrate sul conto beneficiario e su chi ha movimentato i fondi.
Errori da evitare
- Aspettare di «capire meglio» prima di avvisare la banca: il richiamo del bonifico ha probabilità di successo solo nelle prime ore.
- Conservare solo una copia registrata con un altro telefono dell'audio ricevuto: la consulenza tecnica richiede il file originale.
- Lasciar decorrere i 3 mesi per la querela in attesa dell'esito della richiesta di rimborso alla banca.
- Per il dipendente: cancellare chat o email per timore di conseguenze disciplinari, alimentando il sospetto di un coinvolgimento.
- Per chi presta il proprio conto a sconosciuti in cambio di una commissione: ritenere di essere estraneo alla truffa, mentre il trasferimento dei fondi espone all'accusa di riciclaggio.
Domande frequenti
Come funziona la truffa con la voce clonata dall'intelligenza artificiale?
Il truffatore addestra un sistema di IA su pochi secondi di registrazioni pubbliche e imita la voce di un dirigente o di un parente, chiedendo un pagamento urgente e riservato. È truffa (art. 640 c.p., da 6 mesi a 3 anni) aggravata dall'uso dell'IA come mezzo insidioso (art. 61, n. 11-decies, c.p.), con aumento fino a un terzo.
Che cos'è la CEO fraud e quali reati integra?
È la truffa in cui l'autore si finge un vertice aziendale per far eseguire un bonifico a un dipendente. Integra la truffa (art. 640 c.p.), spesso aggravata dall'uso dell'IA (art. 61, n. 11-decies), la sostituzione di persona (art. 494 c.p.) e, per chi gestisce i fondi, il riciclaggio (art. 648-bis c.p., da 4 a 12 anni).
Un dipendente che fa un bonifico dopo una telefonata con voce clonata rischia conseguenze penali?
Di regola no: la truffa richiede il dolo e chi paga credendo di eseguire un ordine legittimo non lo ha. Il dipendente viene però sentito come persona informata e può essere indagato se emergono elementi di complicità. Le conseguenze più frequenti sono disciplinari o risarcitorie, legate al rispetto delle procedure di autorizzazione dei pagamenti.
La banca rimborsa un bonifico fatto a causa di una truffa con deepfake vocale?
Di regola no, perché il bonifico disposto dal cliente ingannato è considerato autorizzato: così l'ABF, Collegio di Milano, decisione n. 2295/2025, sul D.Lgs. 11/2010. Il rimborso può essere discusso se la banca non ha eseguito la verifica IBAN-beneficiario prevista dal Regolamento (UE) 2024/886 dal 9 ottobre 2025. Va chiesto subito il richiamo del bonifico.
Cosa fare se si riceve una chiamata sospetta con la voce di un parente che chiede soldi urgenti?
Interrompere la chiamata e richiamare il parente al numero salvato in rubrica, fare una domanda di verifica non ricavabile dai social e non pagare né consegnare denaro. Conviene annotare numero, ora e contenuto e segnalare il fatto alla polizia anche senza pagamento: il tentativo di truffa (artt. 56 e 640 c.p.) è punibile.
Come si dimostra in un processo che una voce era stata generata con l'IA?
Con una consulenza tecnica fonica che confronta l'audio originale con campioni autentici della voce imitata e cerca le tracce di sintesi. Servono file nel formato nativo, registrazioni del centralino e log. Se il pubblico ministero dispone accertamenti irripetibili, l'art. 360 c.p.p. consente a vittima e indagato di nominare consulenti.
Entro quanto tempo si deve denunciare una truffa con voce clonata dall'IA?
La querela per truffa va presentata entro 3 mesi dal giorno in cui si è avuta notizia del fatto (art. 124 c.p.). Si procede d'ufficio se ricorre una circostanza del secondo comma dell'art. 640 c.p. diversa dal n. 2-ter, come la minorata difesa. Per recuperare il denaro, però, conta avvisare la banca nelle prime ore.
Fonti
- Codice penale, art. 640 – Truffa (Brocardi)
- Legge 23 settembre 2025, n. 132, art. 26 (testo GU, copia su Processo penale e giustizia)
- La legge n. 132/2025 sull'Intelligenza Artificiale: le novità penali (Diritto.it)
- Codice penale, art. 494 – Sostituzione di persona (Brocardi)
- Codice penale, art. 648-bis – Riciclaggio (Brocardi)
- Codice penale, art. 124 – Termine per la querela (Brocardi)
- Codice penale, art. 64 – Aumento di pena (Brocardi)
- ABF, Collegio di Milano, decisione n. 2295 del 28.2.2025 (commento GIM Legal)
- Banca Etica – Verifica del beneficiario dal 9 ottobre 2025 (Reg. UE 2024/886)
- Codice di procedura penale, art. 360 – Accertamenti tecnici non ripetibili (Brocardi)
