Susanna Riva La voce al telefono, un tempo garanzia di autenticità, oggi può essere imitata e manipolata. Tra vishing (truffe telefoniche) e deepfake vocali il rischio di cedere dati o denaro in pochi minuti è reale. Chi chiama costruisce urgenza, chiede conferme sensibili, sfrutta routine e fiducia. Questo articolo mette a fuoco i segnali concreti, le verifiche immediate gli script di risposta pronti all’uso e un protocollo operativo in cinque passi da applicare a ogni telefonata sospetta.
Obiettivo: ridurre l’attrito decisionale. Se il dubbio si insinua, serve una checklist breve, ripetibile, e strumenti anti-spoofing già configurati. Nessun allarmismo: bastano poche regole, applicate con coerenza, per azzerare il vantaggio psicologico dei truffatori e bloccare tentativi basati su spoofing del numero e clonazioni vocali.
Segnali tipici: cosa tradisce vishing e deepfake vocali
I truffatori puntano su urgenza e autorità. Richieste di “verifica immediata” di PIN, OTP o credenziali; inviti a installare app di “assistenza”; pressioni per restare in linea; tono che alterna cortesia formale a fermezza. Nei deepfake vocali, orecchio al timing pause innaturali, risposta “a scatti”, frasi che non tengono il filo. Attenzione a numeri che sembrano ufficiali: lo spoofing permette di mostrare un caller ID credibile.
Diffidare di saluti generici tipo “gentile cliente” e di domande a risposta chiusa studiate per estrarre una “sì” registrato da riusare.
Altri indizi: errori su dettagli personali, chiamate fuori orario, “ticket” o “pratiche” non richieste, richieste di micro-pagamenti per “sbloccare” pratiche. Se il chiamante si irrita quando proponi di richiamare il canale ufficiale, è un segnale forte. Nelle imitazioni vocali, ascoltare respiro e prosodia spesso il timbro è corretto ma manca la naturale variabilità emozionale; occhio alle risate identiche o a intercalari ripetuti come da campione audio.
Verifiche immediate in 60 secondi
Tre controlli lampo smontano la maggior parte degli attacchi. 1) Canale inverso chiudi la chiamata, recupera il numero ufficiale da sito/app e richiama tu. Mai usare numeri dettati dall’operatore. 2) Domanda sentinella poni un dettaglio che solo il contatto legittimo conosce, ma non fornire tu la risposta. 3) Test di asincronia proponi di proseguire via canale autenticato (app, PEC, area riservata). Se rifiuta o insiste a restare in voce, probabile vishing. In parallelo, verifica l’OTP nessun ente serio chiede di comunicare codici temporanei generati sul tuo dispositivo.
Se ti dicono che la linea “non va chiusa” o che “richiamando perderai la pratica”, considera l’interazione ad alto rischio. Imposta un timer mentale: oltre i 60 secondi senza superare almeno due controlli, sospendi. L’obiettivo non è smascherare l’attaccante, ma interrompere il flusso prima che imposti l’escalation psicologica.
Protocollo personale in 5 passi da applicare al telefono
Adotta sempre la stessa sequenza, qualunque sia il chiamante. 1) Identifica“Con chi sto parlando? Quale struttura? Numero di pratica?”. 2) Spegni l’urgenza respira, prendi un appunto, rallenta. 3) Canale inverso chiudi e richiama dal numero ufficiale o scrivi via app autenticata. 4) Minimizza dati nessuna condivisione di PIN, OTP password, numeri completi di carta; valida solo informazioni non sensibili. 5) Registra evidenze annota ora, numero, richieste. Se sospetto elevato, segnala a banca, operatore telefonico o azienda coinvolta. Ripetere questo pattern crea un riflesso condizionato che neutralizza l’effetto sorpresa.
Questo protocollo funziona anche con presunte chiamate di “familiari” in difficoltà: passa sempre a un contatto alternativo già salvato, inserisci una parola chiave familiare concordata in anticipo e pretendi un breve messaggio da canale noto (anche un’emoji stabilita) prima di inviare denaro o dati.
Script di risposta: frasi pronte per bloccare la pressione
Avere parole pronte riduce lo stress e toglie inerzia all’avversario. Usa frasi brevi e ferme. Esempi: “Non fornisco codici o password al telefono. Procedo dal canale ufficiale.”; “Chiudo la chiamata e richiamo il numero dell’ente dal sito/app.”; “Confermo solo via area riservata, non in voce.”; “Invii un riepilogo sull’account: se è legittimo, lo vedrò lì.”; “Non autorizzo registrazioni vincolanti. Interrompo ora.” Ripetile una volta, poi termina la chiamata. Se tentano il loop persuasivo (“è urgente”, “rischia blocco”), rispondi con il mantra unico: “Procedo solo tramite canale autenticato”. La coerenza disarma l’operatore malevolo.
Per contatti personali potenzialmente clonati: “Mando un vocale nel gruppo di famiglia e verifichiamo lì.”; “Ti richiamo dal numero salvato.”; “Dimmi ora la parola chiave.” Evita racconti lunghi: più si parla, più informazioni si regalano. La brevità è una difesa.
Strumenti anti-spoofing e impostazioni da attivare ora
Prepara l’ambiente prima dell’emergenza. 1) Silenzia sconosciuti su smartphone e consenti solo contatti: le chiamate non autorizzate finiscono in elenco e puoi richiamare con calma. 2) Usa filtri anti-spam dell’operatore e delle app di sistema; aggiorna regolarmente. 3) Abilita autenticazione a più fattori su banca e servizi, preferendo notifiche in-app invece di SMS. 4) Imposta una safe word con familiari e collaboratori, più un contatto alternativo verificato. 5) Archivia numeri ufficiali di banca, assicurazione, gestori nei preferiti: zero ricerche sotto pressione.
Per ambienti professionali: definisci un playbook interno con call-back obbligatorio, lista di numeri verificati, training periodico con simulazioni di vishing e una policy “no OTP in voce”. Valuta gateway STIR/SHAKEN dove disponibili, e soluzioni di caller verification per linee aziendali. Più è standardizzata la risposta, minore è lo spazio di manovra per l’attacco.