Come usare l'IA per riconoscere chiamate, SMS e siti truffa

Un SMS della banca che segnala un accesso sospetto. Un'email di un fornitore con le nuove coordinate per il saldo di una fattura. Un sito clone che sembra in tutto e per tutto quello del portale di annunci o del corriere da cui aspetti un pacco. Una telefonata in cui una voce familiare chiede un bonifico urgente. 

Fino a qualche anno fa bastava un errore di grammatica o un italiano zoppicante per capire che qualcosa non tornava. Oggi non più: gli stessi strumenti di intelligenza artificiale che scrivono testi impeccabili e imitano le voci sono finiti anche nelle mani dei truffatori.

La buona notizia è che l'IA può lavorare anche dalla nostra parte. Usata nel modo giusto, diventa un secondo paio d'occhi capace di leggere un messaggio, individuare i segnali di manipolazione e suggerire cosa fare. In questo articolo vediamo quali strumenti usare, come interrogarli e, soprattutto, quali sono i limiti da non dimenticare.

L'IA che lavora già per te (spesso senza che tu lo sappia)

Molti dispositivi e servizi usano già l'intelligenza artificiale per intercettare le truffe.

• Posta elettronica. I principali servizi email filtrano spam e phishing con modelli di apprendimento automatico. Il filtro non è infallibile, ma è utile tenerlo attivo e segnalare come phishing i messaggi che riescono a passare: le segnalazioni aiutano il sistema a migliorare.
• SMS e messaggi. Su Android, l'app Google Messaggi integra un sistema di rilevamento delle truffe che analizza le conversazioni con mittenti sconosciuti direttamente sul telefono. Google ha annunciato a ottobre 2026 un'ulteriore evoluzione, attivabile su richiesta, che usa i modelli Gemini per riconoscere le truffe che si sviluppano lentamente nel tempo e per valutare i link sconosciuti prima che vengano aperti. La disponibilità varia in base al Paese, alla lingua e al modello di smartphone.
• Telefonate. Su alcuni smartphone Google Pixel la Protezione antifrode dell'app Telefono, che analizza la chiamata mentre è in corso e avvisa se rileva schemi tipici delle truffe, ha cominciato a essere distribuita anche in Italia nei primi mesi del 2026. Va attivata dalle impostazioni dell'app e l'elaborazione avviene sul dispositivo.

Il consiglio pratico è semplice: controlla le impostazioni di sicurezza di telefono, app di messaggistica e casella email, e verifica che le protezioni antispam e antifrode disponibili siano attive.

Come usare un chatbot per analizzare un messaggio sospetto

Gli assistenti di intelligenza artificiale generalisti, come ChatGPT, Gemini, Claude o Copilot, sono molto efficaci nel leggere un testo e individuare le tecniche di manipolazione. Per ottenere una risposta utile, e senza esporre dati personali, conviene seguire alcuni passaggi.

1. Non aprire allegati e non rispondere. L'analisi si fa prima di qualsiasi azione: niente link aperti, allegati scaricati o numeri richiamati.
2. Oscura i dati personali. Prima di incollare il testo, sostituisci nomi, numeri di conto, IBAN, codici fiscali, indirizzi e importi reali con indicazioni generiche come [NOME] o [IBAN]. Per l'analisi contano la struttura del messaggio e le richieste, non i dati. Se lavori in un'agenzia, ricorda che incollare in un chatbot i dati di clienti o controparti è un trattamento di dati personali e va gestito nel rispetto del GDPR.
3. Fornisci il contesto. Indica come è arrivato il messaggio (SMS, email, WhatsApp), da quale mittente apparente e se ti aspettavi una comunicazione di quel tipo. Per le email è utile riportare l'indirizzo completo del mittente e il dominio dei link, che si legge passando il mouse sopra senza cliccare.
4. Chiedi una valutazione motivata. Non accontentarti di un sì o di un no: fatti spiegare quali elementi sono sospetti e perché.
5. Verifica sempre fuori dal canale. Qualunque sia il verdetto, la conferma definitiva arriva contattando il presunto mittente attraverso un recapito ufficiale che trovi da te, mai quello indicato nel messaggio.

Ecco un esempio di richiesta da adattare:

«Ho ricevuto questo messaggio via [SMS/email/WhatsApp] da un mittente che si presenta come [banca/corriere/notaio/collega]. Non me lo aspettavo. Analizzalo come un esperto di sicurezza: dimmi se presenta i segnali tipici di phishing o di ingegneria sociale, elenca gli elementi sospetti e quelli che sembrano legittimi, e indicami come posso verificarne l'autenticità senza usare i contatti contenuti nel messaggio. Ecco il testo: [incolla il testo con i dati oscurati]»

Molti assistenti accettano anche screenshot: in quel caso, copri con un rettangolo i dati sensibili prima di caricare l'immagine.

Gli strumenti anti truffa dedicati

Accanto ai chatbot generalisti esistono servizi progettati specificamente per riconoscere le truffe, che combinano l'IA generativa con database di minacce note. Un esempio disponibile in italiano è Bitdefender Scamio: è gratuito, si usa dal browser oppure direttamente da WhatsApp, Facebook Messenger e Discord, e analizza testi, email, link, immagini e persino codici QR, restituendo un verdetto con i passi consigliati. Per usarlo serve un account Bitdefender.

Il vantaggio di questi strumenti è che confrontano link e mittenti con elenchi di indirizzi già segnalati come pericolosi. Il limite è lo stesso di ogni sistema automatico: un sito appena creato o un attacco costruito su misura possono non essere ancora noti.

I siti truffa: come verificarli prima di inserire dati o pagare

Molte truffe che iniziano con un SMS o un'email finiscono su un sito web: una pagina che imita quella della banca per rubare le credenziali, un falso negozio online, un portale di annunci clonato con l'appartamento in affitto a un prezzo troppo bello per essere vero. Creare un sito credibile oggi richiede pochi minuti, e i truffatori registrano spesso domini nuovi per ogni campagna, così da sfuggire agli elenchi di indirizzi già segnalati.

Anche qui l'intelligenza artificiale offre un aiuto concreto.

• Protezioni integrate nel browser. Google Chrome usa Gemini Nano, un modello di IA che lavora direttamente sul dispositivo, per riconoscere in tempo reale le pagine con schemi tipici delle truffe, anche quando non sono ancora state segnalate, a partire dai falsi siti di assistenza tecnica. Conviene tenere attiva la protezione avanzata della Navigazione sicura nelle impostazioni di sicurezza del browser.
• Strumenti dedicati. Servizi come Bitdefender Scamio accettano un singolo link e lo confrontano con le minacce note, restituendo un verdetto.
• Chatbot generalisti. Puoi incollare l'indirizzo, senza aprirlo, e chiedere di analizzarne la struttura: un chatbot sa riconoscere un dominio che imita un marchio noto (per esempio con una lettera in più, un trattino o un'estensione insolita) e spiegare perché è sospetto. Se il sito l'hai già aperto, puoi descriverlo o caricare uno screenshot: richieste di pagamento anticipato, metodi di pagamento non tracciabili, assenza di dati societari e recapiti verificabili sono segnali che l'IA sa individuare.

Alcune verifiche, poi, conviene farle sempre, con o senza IA:

• Leggi l'indirizzo per intero, partendo dal dominio principale, quello che precede la prima barra: «banca.it.verifica-accesso.com» non appartiene alla banca.
• Non fidarti del lucchetto. Il protocollo HTTPS indica che la connessione è cifrata, non che il sito sia onesto: anche le pagine truffa lo usano.
• Controlla la reputazione del sito. Lo strumento Stato del sito di Google Navigazione sicura, disponibile nel Google Transparency Report, indica se un indirizzo è stato segnalato come pericoloso. Un esito pulito, però, non è una garanzia.
• Raggiungi i siti ufficiali da solo, digitando l'indirizzo o usando l'app ufficiale, invece di seguire il link ricevuto.
• Per annunci e affitti, diffida di chi chiede caparre prima della visita o propone di proseguire la trattativa fuori dal portale, magari su WhatsApp o con un link di pagamento esterno.

Le telefonate: il caso più difficile

Se un SMS o un'email si possono copiare e analizzare con calma, una telefonata si gioca in pochi secondi e sotto pressione. Ed è proprio qui che la clonazione vocale fa più danni.

È bene essere chiari: a oggi non esiste uno strumento alla portata di tutti in grado di dire con certezza, durante una chiamata, se la voce dall'altra parte è autentica o generata. I sistemi antifrode integrati negli smartphone non riconoscono la voce clonata in sé, ma il contenuto della conversazione: richieste di pagamento urgenti, di codici, di trasferimenti verso conti sicuri. Per questo la difesa più efficace resta un metodo, non un'app.

• Riattacca e richiama. Se chi chiama chiede denaro, codici o dati, chiudi e richiama tu la persona o l'ente al numero che conosci già o che trovi sul sito ufficiale.
• Concorda una parola d'ordine. In famiglia e in agenzia, stabilite una parola o una domanda di controllo da usare nelle richieste urgenti: un clone vocale non può conoscerla.
• Diffida dell'urgenza e del segreto. «Non dirlo a nessuno», «serve entro un'ora», «non c'è tempo di passare in banca» sono le frasi su cui si regge quasi ogni truffa telefonica.
• Non comunicare mai codici. Nessuna banca, ente o forza dell'ordine chiede al telefono codici OTP, PIN o password, né di spostare denaro su un altro conto per metterlo al sicuro.

L'IA può comunque essere utile anche dopo la chiamata: descrivere a un chatbot cosa è stato detto e cosa è stato chiesto aiuta a riconoscere lo schema e a capire come comportarsi.

I segnali d'allarme che l'IA cerca (e che puoi riconoscere anche tu)

Gli strumenti di intelligenza artificiale non fanno magie: individuano gli stessi schemi che un occhio allenato sa riconoscere. Eccoli in sintesi.

• Urgenza e pressione: scadenze imminenti, conti bloccati, sanzioni, occasioni che svaniscono.
• Cambio di coordinate di pagamento: un nuovo IBAN comunicato via email o messaggio, spesso con motivazioni plausibili come un cambio di banca o un problema amministrativo.
• Richiesta di riservatezza: invito a non parlarne con nessuno o a non chiamare la filiale.
• Mittenti e link quasi identici: indirizzi email o domini che differiscono di una lettera da quelli ufficiali.
• Richiesta di dati o codici: credenziali, OTP, foto dei documenti, dati della carta.
• Canali insoliti: un professionista o un ente che all'improvviso scrive da WhatsApp o da un indirizzo personale.

Cosa l'intelligenza artificiale non può fare

L'IA è un ottimo filtro, ma non è un giudice infallibile. Conoscerne i limiti è parte della protezione.

• Può sbagliare in entrambe le direzioni. Può segnalare come sospetto un messaggio legittimo e, soprattutto, considerare innocuo un attacco ben costruito. Un «sembra sicuro» non è una garanzia.
• Non verifica l'identità di nessuno. Un chatbot analizza un testo, non sa se il tuo interlocutore è davvero chi dice di essere né se l'IBAN appartiene al venditore.
• Non sostituisce le procedure. In un'attività professionale servono regole condivise: chi autorizza i pagamenti, come si verificano le variazioni di coordinate, a chi si segnala un tentativo sospetto.
• Va usata con attenzione alla privacy. I dati inseriti in un servizio online possono essere conservati o elaborati secondo le condizioni del fornitore: meglio non inserire mai dati personali, propri o di terzi.