Truffe digitali nell’era dell’intelligenza artificiale: PEC false, numeri bancari clonati, voci sintetiche e deepfake. Chi risponde e come recuperare il denaro

Le nuove frodi digitali non assomigliano più al vecchio phishing

Per molti anni il consiglio rivolto ai consumatori è stato relativamente semplice: non aprire e-mail scritte male, non cliccare su collegamenti sospetti e non comunicare password o codici bancari.

Queste indicazioni rimangono valide, ma non sono più sufficienti.

La nuova generazione delle frodi digitali è caratterizzata dalla capacità dei criminali di imitare molto più efficacemente soggetti considerati affidabili. L’intelligenza artificiale generativa consente di riprodurre una voce, creare un video apparentemente autentico, generare comunicazioni formalmente impeccabili, imitare il linguaggio utilizzato da una banca e personalizzare in pochi secondi un tentativo di frode sulla base delle informazioni disponibili online sulla vittima.

A questa evoluzione si aggiungono tecniche già conosciute ma sempre più sofisticate, come lo spoofing del numero telefonico, i siti clone, le caselle PEC compromesse e le false piattaforme di investimento.

La conseguenza è che oggi un consumatore può ricevere una telefonata nella quale sul display compare realmente il numero della propria banca, ascoltare una voce apparentemente identica a quella di un familiare oppure vedere un video nel quale una persona conosciuta sembra consigliare un investimento.

L’apparenza di autenticità non può più essere considerata una prova di autenticità.

È precisamente questo il salto qualitativo che caratterizza le frodi del 2026.

L’intelligenza artificiale non crea necessariamente una nuova truffa: rende molto più credibile quella esistente

Dal punto di vista giuridico bisogna evitare un equivoco.

Il fatto che un criminale utilizzi l’intelligenza artificiale non significa necessariamente che ci troviamo davanti a una nuova fattispecie di reato o a nuove regole bancarie completamente differenti.

La tecnologia modifica soprattutto la modalità attraverso cui viene realizzato l’inganno.

Il truffatore continua a perseguire un risultato tradizionale: ottenere denaro, credenziali, dati bancari o convincere la vittima a effettuare personalmente un pagamento.

Ciò che cambia è il livello di persuasione.

Una richiesta di denaro non arriva più necessariamente da un’e-mail palesemente falsa. Può provenire da una casella PEC realmente esistente ma compromessa.

La telefonata non mostra più necessariamente un numero straniero sospetto. Può apparire come proveniente dal numero ufficiale della banca.

Il presunto figlio in difficoltà non invia più soltanto un messaggio scritto. Può parlare con una voce molto simile a quella reale.

Il falso investimento non viene più promosso soltanto da un sito anonimo. Può essere presentato attraverso un video nel quale sembra parlare un personaggio noto, un economista o persino un rappresentante di un’istituzione.

La valutazione della diligenza della vittima deve necessariamente confrontarsi con questa nuova capacità delle frodi di simulare elementi normalmente associati all’affidabilità.

La PEC non garantisce che il contenuto del messaggio sia vero

Uno dei fenomeni più interessanti emersi nelle ultime settimane riguarda le false comunicazioni PagoPA veicolate utilizzando caselle PEC compromesse.

Il dato è particolarmente significativo perché molti cittadini attribuiscono alla Posta Elettronica Certificata un valore di autenticità molto più ampio di quello che realmente possiede.

La PEC certifica determinati elementi relativi alla trasmissione e alla consegna del messaggio.

Non certifica che tutto ciò che viene scritto nel messaggio sia vero.

Soprattutto, non garantisce che il titolare della casella sia effettivamente la persona che ha inviato quella specifica comunicazione.

Una casella PEC autentica può essere compromessa da un criminale.

È proprio ciò che il CERT-AGID ha segnalato nell’autunno 2026 con riferimento alle campagne che utilizzavano false richieste di pagamento a nome di PagoPA.

Ne deriva una regola molto importante:

“Arriva da una PEC” non significa automaticamente “è una comunicazione autentica”.

Una falsa PEC PagoPA può essere molto più convincente di una normale e-mail di phishing

La struttura della frode può essere particolarmente sofisticata.

Il destinatario riceve una comunicazione formalmente costruita come un provvedimento amministrativo, con riferimenti al Codice della strada, termini per il pagamento, importi apparentemente plausibili e la minaccia di una maggiorazione in caso di ritardo.

La comunicazione invita quindi ad accedere a un presunto portale istituzionale.

Il sito riproduce loghi, colori e grafica associati a PagoPA.

Alla vittima vengono richiesti dati personali e, in una fase successiva, dati della carta oppure informazioni necessarie per completare il pagamento.

La frode sfrutta contemporaneamente tre meccanismi psicologici molto forti: autorità pubblica, urgenza e rischio economico.

La PEC aggiunge un quarto elemento di credibilità.

Proprio per questo non è sufficiente controllare soltanto se il messaggio “sembri ufficiale”.

PagoPA non deve essere confusa con l’ente che richiede il pagamento

Anche sotto questo profilo è utile comprendere il funzionamento del sistema.

PagoPA costituisce l’infrastruttura attraverso la quale possono essere effettuati pagamenti verso la Pubblica Amministrazione.

La richiesta di pagamento deriva dall’ente creditore.

Per questa ragione una comunicazione che si presenta genericamente come una richiesta inviata direttamente da “PagoPA” e pretende un pagamento immediato attraverso un collegamento contenuto nel messaggio deve essere verificata con particolare attenzione.

La procedura prudente consiste nell’abbandonare il link ricevuto e accedere autonomamente ai canali ufficiali dell’ente che avrebbe emesso l’atto.

Se la comunicazione parla di una sanzione, bisogna verificarne l’esistenza attraverso l’amministrazione competente, non attraverso la pagina indicata nel messaggio sospetto.

Il dominio deve essere controllato prima di inserire qualsiasi dato

Uno dei sistemi più efficaci delle frodi moderne consiste nel riprodurre perfettamente l’aspetto grafico di un sito ufficiale.

Il consumatore può trovarsi davanti a una pagina praticamente indistinguibile dall’originale.

Per questo bisogna spostare l’attenzione dalla grafica all’indirizzo reale del sito.

Un logo PagoPA può essere copiato.

Un’immagine istituzionale può essere copiata.

Il testo di un avviso pubblico può essere copiato.

Anche il certificato HTTPS può essere ottenuto da un sito fraudolento.

La presenza del lucchetto nel browser dimostra che la connessione è cifrata, non che il soggetto che gestisce il sito sia onesto.

Se il dominio non corrisponde a quello istituzionale atteso, il pagamento deve essere sospeso sino alla verifica.

Ho cliccato sulla falsa PEC ma non ho inserito nulla: cosa devo fare?

Il semplice accesso al collegamento non significa necessariamente che il conto corrente sia già compromesso.

Il rischio dipende da ciò che il sito ha fatto, dal dispositivo utilizzato e dalle eventuali informazioni successivamente fornite.

È comunque prudente chiudere la pagina, non scaricare file o applicazioni proposte dal sito e verificare il dispositivo se siano stati eseguiti download anomali.

Se non sono stati inseriti dati bancari, password o codici e non è stata installata alcuna applicazione, la situazione è naturalmente diversa rispetto a quella di chi abbia completato l’intero percorso fraudolento.

Bisogna però conservare la PEC per eventuali segnalazioni, evitando di continuare a interagire con il mittente.

Ho inserito i dati della carta sul falso sito PagoPA: bisogna agire immediatamente

La situazione cambia radicalmente se sono stati inseriti numero della carta, data di scadenza, codice di sicurezza oppure credenziali bancarie.

In questo caso il consumatore deve considerare tali informazioni potenzialmente compromesse.

La carta deve essere immediatamente bloccata o sospesa attraverso i canali ufficiali dell’emittente.

Bisogna controllare le operazioni già eseguite e attivare le procedure di disconoscimento per quelle mai autorizzate.

Se sono state fornite credenziali di accesso all’home banking, è necessario contattare la banca e modificare immediatamente le credenziali secondo le procedure di sicurezza.

Più rapida è la reazione, maggiore è la possibilità di impedire operazioni successive.

Pagare una falsa multa e subire successivamente altri addebiti sono due situazioni differenti

Immaginiamo che il falso sito chieda 198 euro per una presunta sanzione.

Il consumatore, convinto che la multa sia vera, inserisce la carta e autorizza quel pagamento.

Successivamente i criminali utilizzano i dati acquisiti per effettuare altri tre pagamenti da 800 euro che il titolare non ha mai autorizzato.

Le due situazioni non sono giuridicamente identiche.

Il primo pagamento potrebbe essere stato materialmente autorizzato dal titolare, sebbene sulla base di un inganno.

I successivi pagamenti, invece, possono essere vere e proprie operazioni non autorizzate.

Questa distinzione è decisiva perché la disciplina prevista dal decreto legislativo n. 11 del 2010 offre una tutela particolarmente forte proprio rispetto alle operazioni non autorizzate.

Operazione non autorizzata: la banca deve rispettare un preciso regime probatorio

Quando il cliente nega di avere autorizzato un pagamento, l’articolo 10 del decreto legislativo n. 11 del 2010 attribuisce all’intermediario l’onere di provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito malfunzionamenti tecnici.

Ma vi è un principio ancora più importante.

Il semplice fatto che nei sistemi informatici risulti utilizzata correttamente la carta, la password o un altro strumento di pagamento non prova automaticamente che il cliente abbia realmente autorizzato l’operazione, né che abbia agito con dolo o colpa grave.

La Banca d’Italia ha richiamato espressamente gli intermediari a evitare automatismi nella gestione dei disconoscimenti.

La banca non dovrebbe quindi limitarsi a rispondere:

“L’operazione risulta tecnicamente autenticata”.

Questa circostanza costituisce un elemento dell’analisi, non necessariamente la sua conclusione.

Anche l’autenticazione forte non dimostra da sola la colpa grave della vittima

Una parte sempre più rilevante delle frodi utilizza tecniche di ingegneria sociale proprio per indurre il cliente a interagire con i sistemi di autenticazione.

Il consumatore può ricevere una falsa telefonata dalla banca, vedere il vero nome dell’intermediario sul display, ricevere notifiche sul proprio smartphone e venire convinto che stia autorizzando un’operazione di sicurezza anziché un trasferimento di denaro.

Quando l’operazione sia stata autenticata attraverso la Strong Customer Authentication, l’intermediario dispone certamente di un elemento tecnico importante.

Ma non può dedurre automaticamente:

“SCA utilizzata = colpa grave del cliente”.

La valutazione deve riguardare il comportamento concretamente tenuto dalla vittima e le caratteristiche della frode.

È precisamente su questo terreno che spoofing e intelligenza artificiale rendono le controversie molto più complesse.

Il numero visualizzato sul telefono può essere quello autentico della banca e la chiamata può essere falsa

Il cosiddetto caller ID spoofing consente di alterare l’identificativo visualizzato sul telefono del destinatario.

Il consumatore può quindi ricevere una chiamata e vedere sul display un numero che corrisponde realmente a quello della propria banca.

La circostanza non dimostra che la telefonata provenga effettivamente dall’intermediario.

Questo rappresenta uno dei cambiamenti più importanti rispetto alle vecchie frodi telefoniche.

La raccomandazione tradizionale:

“Controlla il numero da cui ti chiamano”

non è più sufficiente.

Il metodo più sicuro consiste nell’interrompere la conversazione e richiamare autonomamente la banca attraverso il numero ufficiale acquisito da una fonte indipendente, ad esempio dall’app, dalla carta o dal sito digitato direttamente.

Se il numero era quello vero della banca, chi risponde della frode?

Non esiste una risposta automatica.

La falsificazione del numero rende certamente la frode molto più insidiosa, ma non trasferisce automaticamente ogni perdita sulla banca.

Se il criminale ha utilizzato il numero falsificato per ottenere le credenziali e successivamente ha disposto autonomamente pagamenti che il cliente non ha autorizzato, si entra nel regime delle operazioni non autorizzate.

In questo caso assumono particolare rilievo gli articoli 10, 11 e 12 del decreto legislativo n. 11 del 2010.

La banca deve dimostrare i fatti sui quali fonda l’eventuale rigetto del rimborso.

Se invece il criminale ha convinto il cliente a effettuare personalmente un bonifico verso un determinato IBAN, la situazione è più complessa perché l’ordine potrebbe essere stato materialmente impartito proprio dal titolare del conto.

Lo spoofing non significa automaticamente che il cliente sia stato negligente

La giurisprudenza dell’Arbitro Bancario Finanziario ha già affrontato numerose frodi basate sullo spoofing.

La sofisticazione della tecnica assume importanza nella valutazione della colpa grave.

Se il messaggio fraudolento si inserisce apparentemente nello stesso flusso delle comunicazioni autentiche della banca oppure la telefonata mostra il numero reale dell’intermediario, l’inganno può essere molto più difficile da riconoscere rispetto a un’e-mail grossolanamente contraffatta.

Allo stesso tempo, la presenza di anomalie evidenti continua ad avere rilevanza.

Un messaggio pieno di errori, un link chiaramente estraneo alla banca, una richiesta esplicita di comunicare PIN e password oppure l’invito a trasferire tutto il denaro su un “conto sicuro” possono essere valutati nella ricostruzione del comportamento del cliente.

La colpa grave deve quindi essere accertata in concreto, non presunta perché la vittima è stata ingannata.

La banca non chiede al cliente di comunicare password, PIN e OTP al telefono

Questa rimane una regola di sicurezza fondamentale.

Un operatore bancario autentico non ha necessità di conoscere la password completa utilizzata dal cliente per accedere al proprio conto.

Non deve chiedere il PIN della carta.

E soprattutto un codice OTP destinato ad autorizzare una determinata operazione non dovrebbe essere comunicato telefonicamente a un sedicente operatore.

Quando si riceve una richiesta di questo tipo è opportuno interrompere immediatamente la chiamata.

Le frodi moderne cercano precisamente di convincere la vittima che fornire il codice sia necessario per “bloccare” un’operazione.

In realtà quel codice può servire ad autorizzarla.

La voce di un familiare non è più una prova sufficiente dell’identità

L’intelligenza artificiale generativa ha reso particolarmente pericolose le cosiddette voice cloning scams.

Una quantità relativamente limitata di registrazioni vocali pubblicamente disponibili può essere utilizzata per generare una voce sintetica che imita quella di una persona reale.

Il criminale può quindi telefonare a un genitore utilizzando apparentemente la voce del figlio.

Può simulare uno stato di agitazione.

Può raccontare di avere avuto un incidente, di essere stato arrestato, di avere perso il telefono oppure di avere urgente necessità di denaro.

Una seconda persona può poi intervenire presentandosi come avvocato, medico, poliziotto o dipendente di una banca.

Il fatto che la vittima “abbia riconosciuto la voce” non può più essere considerato una verifica sufficiente.

Voce clonata con l’IA: ho effettuato il bonifico, la banca deve rimborsarmi?

È uno dei quesiti più difficili.

Se il criminale entra autonomamente nell’home banking e dispone un bonifico che il cliente non ha mai autorizzato, si applicano le regole sulle operazioni non autorizzate.

Se invece il cliente, convinto di parlare con il proprio figlio o con un soggetto affidabile, accede personalmente al conto, inserisce l’IBAN e conferma il bonifico, ci troviamo normalmente nella categoria delle frodi da manipolazione del pagatore.

Dal punto di vista umano il consumatore è certamente vittima di una truffa.

Dal punto di vista della disciplina dei servizi di pagamento, però, il trasferimento potrebbe essere stato materialmente autorizzato.

La Banca d’Italia rileva proprio che la manipolazione del pagatore costituisce ormai la forma prevalente di frode nei bonifici.

In questa situazione non esiste, allo stato, una regola generale secondo cui ogni banca debba automaticamente restituire l’importo trasferito.

Il bonifico autorizzato sotto inganno non deve però essere considerato automaticamente irrecuperabile

La mancanza di un diritto automatico al rimborso non significa che non vi siano ulteriori profili da esaminare.

Può essere necessario verificare il comportamento dei sistemi antifrode della banca.

Un bonifico completamente anomalo rispetto al normale comportamento del cliente può assumere rilevanza.

Può essere importante verificare se sia stato inviato un alert.

Può assumere rilievo la destinazione verso un nuovo beneficiario, l’importo, l’orario, l’eventuale successione di più bonifici e la presenza di altri indicatori di rischio.

Va inoltre verificato se la banca abbia correttamente eseguito il servizio di Verification of Payee, oggi previsto per i bonifici SEPA.

La responsabilità deve quindi essere valutata sul caso concreto, evitando tanto la formula “il cliente ha premuto conferma, quindi perde sempre” quanto l’opposto automatismo “era una truffa, quindi paga sempre la banca”.

Dal 9 ottobre 2025 nome e IBAN devono essere confrontati

Il Regolamento europeo n. 2024/886 ha introdotto un importante presidio contro frodi ed errori nei bonifici.

Dal 9 ottobre 2025, per i prestatori interessati nell’area euro, è operativo il servizio di verifica del beneficiario, comunemente indicato come Verification of Payee.

Prima che il cliente autorizzi il bonifico viene verificata la corrispondenza tra l’IBAN e il nome del beneficiario indicato.

Il sistema può segnalare una corrispondenza, una corrispondenza approssimativa oppure una mancata corrispondenza.

Questa informazione diventa estremamente importante nelle frodi basate sulla manipolazione.

Se compare “nome beneficiario non corrisponde”, non bisogna procedere

Supponiamo che la falsa voce del figlio dica:

“Devi urgentemente inviare 8.000 euro al mio avvocato Marco Rossi”.

Il cliente inserisce “Marco Rossi” ma il sistema bancario avverte che l’IBAN appartiene a un soggetto completamente diverso.

Procedere ugualmente significa ignorare uno degli indicatori più forti dell’esistenza di una possibile frode.

Una simile circostanza potrebbe avere notevole peso nella successiva valutazione delle responsabilità.

Al contrario, se la banca non abbia fornito correttamente il servizio di verifica previsto oppure abbia comunicato un esito inesatto, il comportamento dell’intermediario deve essere esaminato con attenzione alla luce della disciplina europea.

Il primo intervento dopo un bonifico fraudolento deve essere immediato

Quando ci si rende conto di avere trasferito denaro a un truffatore, non bisogna attendere il giorno successivo per “vedere cosa succede”.

Occorre contattare immediatamente la banca e chiedere che venga attivata ogni procedura disponibile per tentare il richiamo del bonifico e per avvisare l’intermediario del beneficiario.

Se il denaro si trova ancora sul conto destinatario, esiste una possibilità maggiore che possa essere bloccato o recuperato nell’ambito delle procedure applicabili.

Se viene immediatamente trasferito attraverso altri conti, prelevato o convertito in altri strumenti, le possibilità diminuiscono rapidamente.

Nei bonifici istantanei questa esigenza è ancora più evidente.

Il richiamo del bonifico non equivale a un annullamento garantito

Il consumatore deve però conoscere il limite dello strumento.

Un bonifico correttamente eseguito non può sempre essere cancellato unilateralmente dopo che i fondi sono stati accreditati.

La banca può attivare procedure di recall e interloquire con l’intermediario del beneficiario, ma l’esito non è garantito.

È quindi scorretto creare l’aspettativa secondo cui basti telefonare alla banca per ottenere automaticamente la restituzione.

La tempestività aumenta la possibilità di recupero, non crea un diritto materiale ad annullare qualsiasi trasferimento già perfezionato.

Il video deepfake che propone un investimento costituisce oggi una delle frodi più pericolose

Il settore degli investimenti è particolarmente esposto.

I criminali utilizzano immagini e video di personaggi conosciuti, giornalisti, imprenditori, economisti o rappresentanti istituzionali per promuovere piattaforme apparentemente affidabili.

L’utente vede un volto familiare.

Ascolta una voce coerente.

Il video può essere inserito all’interno di una falsa intervista televisiva oppure riprodurre la grafica di un vero programma.

Il messaggio invita a investire poche centinaia di euro attraverso una piattaforma che promette rendimenti molto elevati.

Dopo il primo versamento il consumatore viene spesso contattato da un presunto consulente che lo persuade a investire somme sempre maggiori.

I guadagni mostrati nell’area personale possono essere completamente inventati.

Il problema emerge soltanto quando la vittima prova a ritirare il denaro.

La Banca d’Italia ha già segnalato deepfake utilizzati per falsi investimenti

Il fenomeno è ormai concreto anche in Italia.

Nel settembre 2026 la stessa Banca d’Italia ha avvertito della presenza online di falsi videomessaggi creati mediante deepfake che riproducevano artificialmente immagine e voce del Governatore per rendere credibili messaggi destinati a promuovere piattaforme di investimento fraudolente.

È un esempio particolarmente efficace per comprendere il problema.

Se può essere imitato in maniera apparentemente credibile il vertice di un’istituzione finanziaria, il semplice riconoscimento del volto non può essere utilizzato come criterio per decidere se investire.

La verifica deve avvenire fuori dal video.

Dal 2 agosto 2026 l’AI Act impone specifici obblighi di trasparenza sui deepfake

Il Regolamento europeo sull’intelligenza artificiale, Regolamento UE n. 2024/1689, contiene oggi una specifica disciplina dei contenuti sintetici.

L’articolo 50 impone, tra l’altro, obblighi ai fornitori di sistemi che generano contenuti artificiali e stabilisce che chi utilizza un sistema di IA per generare o manipolare immagini, audio o video costituenti un deepfake debba rendere riconoscibile che il contenuto è stato generato o manipolato artificialmente, salve le eccezioni previste dal Regolamento.

Tali obblighi di trasparenza sono applicabili dal 2 agosto 2026.

Naturalmente un criminale che realizza un falso video proprio per ingannare il consumatore difficilmente rispetterà volontariamente l’obbligo di disclosure.

La norma è però importante perché consolida un principio europeo preciso: un contenuto sintetico realistico non deve essere presentato al pubblico come autentico senza informarlo della manipolazione.

La violazione dell’AI Act non sostituisce le altre responsabilità

Un deepfake utilizzato per vendere un falso investimento può contemporaneamente coinvolgere diversi livelli di disciplina.

Vi può essere una truffa penalmente rilevante.

Può esistere una pratica commerciale ingannevole.

Può esservi esercizio abusivo di attività finanziaria o di investimento.

Possono emergere violazioni in materia di dati personali e identità.

Può essere violato l’obbligo di trasparenza previsto dall’AI Act.

Possono inoltre assumere rilievo gli obblighi della piattaforma sulla quale il contenuto viene diffuso.

Non bisogna quindi cercare un’unica “legge sui deepfake” capace di risolvere l’intera vicenda.

L’IA costituisce lo strumento attraverso cui vengono realizzate condotte che possono violare contemporaneamente più discipline.

Se un investimento viene pubblicizzato attraverso un deepfake, bisogna verificare prima di tutto chi offre il servizio

Il video non deve essere il punto di partenza della valutazione finanziaria.

Bisogna identificare la società.

Bisogna verificare se l’intermediario sia autorizzato a offrire servizi di investimento in Italia.

Devono essere controllati i registri delle autorità competenti.

Bisogna confrontare il sito indicato nell’annuncio con quello ufficiale dell’intermediario.

La presenza di un volto famoso non aggiunge alcuna autorizzazione finanziaria.

Una società non autorizzata non diventa legittima perché il suo video contiene apparentemente un governatore, un ministro, un imprenditore o un noto giornalista.

“Ho visto l’annuncio su Facebook o Instagram”: la piattaforma deve rimborsarmi?

Non automaticamente.

Questo è un punto sul quale occorre evitare conclusioni troppo semplicistiche.

Il fatto che una pubblicità fraudolenta sia apparsa su una grande piattaforma non significa, da solo, che quest’ultima diventi automaticamente obbligata a rimborsare qualsiasi somma trasferita al criminale.

Il Regolamento europeo sui servizi digitali, il Digital Services Act, ha però rafforzato notevolmente gli obblighi delle piattaforme.

Le inserzioni pubblicitarie devono essere riconoscibili come tali e devono essere disponibili informazioni sul soggetto per conto del quale vengono presentate.

Le grandi piattaforme sono inoltre soggette a più penetranti obblighi relativi alla valutazione e mitigazione dei rischi sistemici.

Le piattaforme che consentono ai consumatori di concludere contratti con operatori commerciali devono poi rispettare specifici obblighi di tracciabilità dei professionisti.

La responsabilità della piattaforma deve essere verificata sul suo comportamento concreto

Il Digital Services Act non ha trasformato tutte le piattaforme in garanti assoluti di qualsiasi contenuto pubblicato da terzi.

La responsabilità deve essere valutata tenendo conto del ruolo concreto svolto e degli obblighi applicabili.

Può assumere particolare importanza capire se il contenuto fraudolento fosse già stato segnalato, se la piattaforma abbia ricevuto una notifica sufficientemente precisa, quale attività abbia svolto successivamente, se l’inserzionista fosse correttamente identificato e quali strumenti siano stati messi a disposizione degli utenti.

Per le piattaforme di dimensioni molto grandi entrano inoltre in gioco specifici obblighi di gestione dei rischi.

Non è quindi corretto sostenere né che “la piattaforma non risponde mai” né che “siccome ho visto la pubblicità lì, deve automaticamente restituirmi l’investimento”.

Serve un’analisi concreta della condotta.

La banca risponde automaticamente se ho investito dopo aver visto un deepfake?

Anche in questo caso la risposta è negativa.

Se il consumatore ha effettuato personalmente un bonifico verso una piattaforma fraudolenta, non si può trasformare automaticamente quell’operazione in un pagamento non autorizzato.

Devono però essere esaminati tutti gli elementi del rapporto bancario.

Una sequenza di trasferimenti totalmente anomala, un beneficiario appena inserito, bonifici progressivamente crescenti, trasferimenti verso soggetti già oggetto di alert oppure altre circostanze possono rendere necessario approfondire l’efficacia dei sistemi antifrode e la condotta dell’intermediario.

Particolare rilievo assume anche la Verification of Payee quando applicabile.

La responsabilità, comunque, non nasce dalla semplice circostanza che il video fosse un deepfake.

Nasce dall’eventuale violazione di specifici obblighi giuridici o contrattuali imputabili all’intermediario.

Se dopo il primo investimento mi chiamano chiedendo altro denaro, devo interrompere immediatamente

Le truffe finanziarie raramente terminano con il primo pagamento.

Il primo versamento serve spesso a creare la relazione.

Successivamente il falso consulente mostra alla vittima un conto online nel quale l’investimento sembra essere cresciuto rapidamente.

A quel punto propone ulteriori versamenti.

Quando il cliente chiede il rimborso, compare un nuovo ostacolo: bisogna pagare una tassa, una commissione, una cauzione, una verifica antiriciclaggio oppure un’imposta per “sbloccare” il capitale.

Questa richiesta è uno dei segnali più tipici della seconda fase della frode.

Pagare ancora per recuperare il denaro già perso può semplicemente aumentare la perdita.

Esiste anche la “recovery room scam”: la truffa che colpisce chi è già stato truffato

Dopo una frode il consumatore può essere ricontattato da un presunto studio legale, società investigativa, autorità internazionale o società specializzata nel recupero di criptovalute.

Il soggetto dichiara di avere individuato i fondi e sostiene di poterli recuperare.

Chiede però un pagamento anticipato.

Talvolta conosce già molti dettagli della precedente frode perché gli stessi dati della vittima sono stati ceduti ad altri criminali.

È la cosiddetta recovery room fraud.

Chi ha già perso denaro deve quindi prestare particolare attenzione alle offerte non richieste di recupero.

Il vero punto giuridico: bisogna capire chi ha materialmente disposto il pagamento

Davanti a una frode digitale moderna la domanda centrale non è più soltanto:

“Era phishing?”

Bisogna ricostruire tecnicamente ciò che è accaduto.

Il criminale ha utilizzato autonomamente la carta?

Ha effettuato un bonifico entrando nel conto?

Ha ottenuto un OTP?

Ha convinto il cliente a confermare una notifica?

Oppure ha persuaso la vittima a inserire personalmente beneficiario, importo e bonifico?

Sono situazioni profondamente differenti.

La prima categoria tende a ricadere nel sistema delle operazioni non autorizzate.

L’ultima è normalmente riconducibile alla manipolazione del pagatore.

Tra questi due estremi esistono situazioni intermedie nelle quali deve essere ricostruito esattamente ciò che il cliente credeva di autorizzare.

Se il pagamento non era autorizzato, il rimborso deve essere richiesto immediatamente

Quando il cliente nega di avere autorizzato l’operazione, deve comunicarlo alla banca senza indugio.

La normativa prevede un regime specifico di rimborso e pone sull’intermediario precisi oneri probatori.

La presenza dell’autenticazione forte non consente di saltare l’analisi della condotta.

La Banca d’Italia ha inoltre richiamato le banche a non subordinare la presa in carico del disconoscimento alla presentazione preventiva della denuncia.

La denuncia è certamente opportuna e può essere estremamente utile, ma non dovrebbe essere utilizzata dall’intermediario come pretesto per ritardare la gestione prevista dalla disciplina sui pagamenti.

Se il bonifico era autorizzato sotto inganno, bisogna contestare in modo diverso

Questo punto è fondamentale anche nella redazione del reclamo.

Scrivere:

“Disconosco il bonifico perché sono stato truffato”

quando il cliente ha personalmente inserito tutti i dati dell’operazione può consentire alla banca di respingere facilmente la richiesta osservando che il pagamento era stato autorizzato.

È molto più efficace ricostruire puntualmente la dinamica.

Bisogna spiegare la tecnica di manipolazione, il falso numero utilizzato, l’eventuale deepfake o voice cloning, le informazioni già conosciute dal truffatore, gli alert ricevuti o non ricevuti, l’esito della Verification of Payee, le anomalie dell’operazione e il momento nel quale la banca è stata avvisata.

La qualificazione giuridica deve seguire i fatti, non essere adattata artificialmente per ottenere il rimborso.

La denuncia deve conservare la prova della sofisticazione della frode

Nelle frodi basate sull’intelligenza artificiale è particolarmente importante non limitarsi a scrivere:

“Ho ricevuto una telefonata falsa”.

Bisogna conservare il numero visualizzato.

Nel voice cloning è utile indicare perché la voce apparisse credibile.

Nel deepfake devono essere conservati video, inserzione, account che lo ha pubblicato, data e piattaforma.

Nella PEC bisogna conservare il messaggio originale e non soltanto uno screenshot.

Nel sito clone bisogna conservare indirizzo della pagina, schermate e ricevute.

La qualità della prova può diventare decisiva quando si dovrà stabilire se l’inganno fosse grossolano oppure particolarmente sofisticato.

Anche gli screenshot devono essere fatti prima che il contenuto scompaia

Le campagne fraudolente sono spesso molto brevi.

Un sito può scomparire in poche ore.

Una pubblicità può essere rimossa.

Un account può cambiare nome.

Un video può essere cancellato.

La vittima dovrebbe quindi conservare immediatamente il maggior numero possibile di elementi.

Nel caso di un investimento fraudolento è utile salvare anche l’area personale nella quale venivano mostrati i presunti guadagni e le conversazioni con il sedicente consulente.

La denuncia penale non garantisce il rimborso, ma rimane importante

Denunciare la frode alla Polizia Postale o alle altre forze di polizia è importante per consentire l’attività investigativa.

Può permettere di collegare più episodi apparentemente isolati, individuare conti destinatari, ricostruire infrastrutture utilizzate per le frodi e adottare eventuali provvedimenti cautelari.

Non bisogna però creare un falso automatismo.

La denuncia non comporta da sola che la banca sia tenuta a rimborsare il cliente.

Le responsabilità bancarie devono essere valutate secondo le norme sui servizi di pagamento e le ulteriori regole applicabili.

Il reclamo bancario deve essere presentato anche quando è stata fatta denuncia

I due strumenti hanno funzioni differenti.

La denuncia attiva il piano penale.

Il reclamo alla banca riguarda invece il rapporto contrattuale e la responsabilità relativa all’operazione di pagamento.

Un consumatore non dovrebbe quindi limitarsi a consegnare la denuncia alla filiale e attendere.

Deve formulare una vera contestazione, indicando le operazioni interessate e chiedendo espressamente ciò che ritiene dovuto.

Per i servizi di pagamento il termine ordinario previsto per la risposta al reclamo è di quindici giorni lavorativi, salvo le particolari circostanze contemplate dalla disciplina.

Se la banca respinge il reclamo esiste l’Arbitro Bancario Finanziario

Le frodi rappresentano ormai una parte molto consistente del contenzioso davanti all’ABF.

L’Arbitro esamina la documentazione della banca e del cliente e applica il sistema di ripartizione delle responsabilità previsto dalla normativa sui pagamenti.

Particolare importanza assume la prova relativa all’autenticazione, alla SCA e alla condotta del consumatore.

L’ABF non considera necessariamente ogni vittima esente da responsabilità.

Ma neppure considera automaticamente la presenza di OTP o SCA sufficiente a dimostrare la colpa grave.

La specifica sofisticazione della frode può assumere notevole rilevanza.

Deepfake, voce clonata e spoofing cambiano anche il modo in cui deve essere valutata la diligenza

Questo è uno dei problemi giuridici che diventeranno sempre più importanti.

Per molto tempo il giudizio sul comportamento del consumatore si è basato sull’idea che determinati segnali permettessero a una persona mediamente diligente di riconoscere un tentativo di phishing.

L’intelligenza artificiale rende alcuni di questi criteri meno affidabili.

Una comunicazione può essere grammaticalmente perfetta.

La voce può essere estremamente simile.

Il video può apparire autentico.

Il criminale può personalizzare il messaggio utilizzando informazioni reali.

La stessa telefonata può apparire provenire dal numero ufficiale della banca.

Ciò non significa eliminare ogni obbligo di attenzione del cliente.

Significa però che la valutazione della colpa grave non può rimanere ferma al livello tecnologico delle frodi di dieci anni fa.

La vera prevenzione è la verifica attraverso un secondo canale indipendente

Quando una comunicazione produce urgenza e chiede denaro, il metodo più efficace è interrompere il processo e verificare attraverso un canale diverso da quello utilizzato dal presunto interlocutore.

Se chiama la banca, si interrompe la telefonata e si contatta la banca attraverso l’app o il numero acquisito autonomamente.

Se arriva una PEC relativa a una multa, non si usa il link presente nella PEC ma si consulta direttamente il sito dell’ente interessato.

Se chiama un familiare chiedendo urgentemente denaro, si interrompe e lo si ricontatta al numero abituale oppure si contatta un’altra persona della famiglia.

Se un video propone un investimento, si ignora il link e si verifica autonomamente l’intermediario presso le autorità competenti.

Questa separazione tra canale che genera la richiesta e canale che la verifica è oggi una delle difese più efficaci.

Una parola concordata in famiglia può aiutare contro il voice cloning

Nelle frodi che utilizzano la voce sintetica può essere utile concordare preventivamente un’informazione o una frase conosciuta soltanto da persone vicine.

Non deve trattarsi di una password utilizzata per servizi online.

Serve esclusivamente come verifica informale dell’identità quando arriva una richiesta urgente e anomala.

Se chi chiama sostiene di essere un familiare ma non riesce a rispondere a una domanda che la persona reale conoscerebbe immediatamente, il pagamento deve essere sospeso.

Il metodo non è infallibile, ma introduce un elemento di verifica non facilmente ricostruibile attraverso registrazioni pubbliche.

Le nuove frodi mostrano perché non basta più dire “non cliccare sui link”

Il consumatore può essere truffato anche senza cliccare su alcun link.

Può essere convinto telefonicamente a effettuare un bonifico.

Può vedere una pubblicità sponsorizzata su una piattaforma molto conosciuta.

Può ricevere un messaggio da una vera PEC compromessa.

Può ascoltare la voce sintetica di una persona che conosce.

Può vedere un falso video apparentemente autentico.

La nuova educazione digitale deve quindi essere costruita non soltanto sulla ricerca dei segnali tecnici della contraffazione, ma sul principio della verifica indipendente prima di trasferire denaro o fornire credenziali.

PEC PagoPA falsa: se hai già pagato, la prima domanda è come hai pagato

La strategia di recupero dipende innanzitutto dallo strumento utilizzato.

Se il pagamento con carta ha generato successivamente operazioni che il cliente non ha mai autorizzato, queste devono essere immediatamente disconosciute.

Se il pagamento è stato effettuato mediante bonifico disposto personalmente, occorre chiedere subito il recall, verificare l’esito della Verification of Payee e ricostruire tutti gli elementi dell’inganno.

Se sono state fornite credenziali bancarie, queste devono essere immediatamente neutralizzate.

Se sono stati utilizzati altri servizi di pagamento, occorre attivare le specifiche procedure disponibili.

Non esiste quindi una sola procedura chiamata genericamente “rimborso truffa”.

Numero vero della banca ma chiamata falsa: la responsabilità non si decide dal display

Il fatto che sullo smartphone comparisse il numero ufficiale della banca costituisce un elemento importante per dimostrare la sofisticazione dello spoofing.

Non dimostra, però, da solo che la banca debba sopportare qualsiasi perdita.

Bisogna stabilire che cosa è accaduto dopo la chiamata.

Se il criminale ha effettuato autonomamente operazioni non autorizzate, il sistema di tutela è particolarmente forte.

Se il cliente ha personalmente eseguito un bonifico, il rimborso non è automatico.

Se il cliente ha confermato una notifica pensando di bloccare una frode mentre in realtà stava autorizzando un pagamento, occorre ricostruire esattamente il contenuto della procedura di autenticazione e ciò che era concretamente visualizzato.

La schermata mostrata al cliente può diventare una prova decisiva.

Voce clonata: il fatto che la tecnologia fosse sofisticata deve essere documentato

Non basta sostenere dopo la frode:

“Sembrava proprio mio figlio”.

Bisogna ricostruire le circostanze.

Il criminale conosceva nomi e informazioni familiari?

Ha richiamato eventi realmente accaduti?

La voce era coerente?

La chiamata proveniva da un numero apparentemente conosciuto?

Vi erano rumori o artifici utilizzati per giustificare eventuali differenze vocali?

Successivamente è intervenuto un secondo soggetto?

Tutti questi elementi possono contribuire a dimostrare il livello di sofisticazione dell’inganno.

Deepfake finanziario: anche la piattaforma deve essere avvisata immediatamente

Se l’annuncio è ancora online, deve essere segnalato utilizzando gli strumenti messi a disposizione dalla piattaforma.

È utile conservare la prova della segnalazione.

Questo può avere una duplice funzione.

Da un lato contribuisce alla rimozione del contenuto e alla tutela di altri utenti.

Dall’altro documenta il momento nel quale la piattaforma è stata informata dell’esistenza della possibile frode.

Tale elemento può assumere rilevanza qualora debba successivamente essere valutato il comportamento della piattaforma rispetto agli obblighi previsti dalla disciplina europea.

L’IA non deve diventare un alibi né per il consumatore né per l’intermediario

Il fatto che una truffa utilizzi un deepfake non significa automaticamente che il consumatore sia privo di qualsiasi responsabilità.

Ma non significa neppure che la banca possa rispondere:

“Ha premuto lei il pulsante, quindi la tecnologia utilizzata dal truffatore non ci interessa”.

Il diritto deve valutare l’intera catena degli eventi.

Quali presidi erano disponibili?

Quale informazione è stata mostrata al cliente?

L’operazione era anomala?

Esisteva un alert?

La Verification of Payee aveva segnalato una discordanza?

La banca è stata avvisata tempestivamente?

Quale comportamento ha tenuto dopo la segnalazione?

Sono queste le domande che possono determinare l’esito di una controversia.

Il principio conclusivo: nelle truffe del 2026 “sembra vero” non significa più “è vero”

L’intelligenza artificiale ha eliminato molte delle imperfezioni che un tempo permettevano di riconoscere facilmente una frode.

Una voce può essere clonata.

Un volto può essere ricostruito.

Una comunicazione istituzionale può essere generata con un linguaggio formalmente impeccabile.

Una vera casella PEC può essere compromessa.

Un numero telefonico può essere falsificato.

Un sito clone può riprodurre quasi perfettamente quello originale.

La tutela del consumatore deve quindi cambiare prospettiva.

Non è più sufficiente domandarsi:

“La comunicazione sembra autentica?”

Bisogna chiedersi:

“Posso verificarla attraverso un canale indipendente prima di consegnare denaro, credenziali o codici?”

Quando la frode è già avvenuta, la seconda domanda è altrettanto importante:

“Chi ha materialmente disposto il pagamento?”

È questa distinzione a separare l’operazione non autorizzata dalla manipolazione del pagatore e, conseguentemente, a incidere profondamente sulla possibilità di ottenere il rimborso dalla banca.

Una falsa PEC PagoPA, un numero bancario falsificato, una voce clonata e un video deepfake possono avere la stessa finalità criminale, ma non producono necessariamente lo stesso regime di responsabilità.

Per questo la vittima dovrebbe agire immediatamente, ma con precisione: mettere in sicurezza conto e strumenti di pagamento, tentare il recupero del trasferimento, conservare integralmente le prove digitali, denunciare la frode, contestare formalmente alla banca le operazioni rilevanti e segnalare alla piattaforma i contenuti fraudolenti.

La nuova generazione delle truffe digitali non richiede meno tutela perché la vittima ha “creduto” a ciò che vedeva o sentiva.

Richiede, al contrario, una valutazione più sofisticata di come quell’affidamento sia stato costruito, quali controlli fossero disponibili e quali obblighi gravassero sui diversi soggetti coinvolti.

È su questo terreno — non sulla generica etichetta di “phishing” — che si giocheranno sempre di più le controversie bancarie e consumeristiche nell’era dell’intelligenza artificiale.