Come riconoscere un deepfake: video, voce e telefonate

Come riconoscere un deepfake? Dall'immagine da sola ci riesci di rado. Cerca i segnali d'allarme: un'immagine sgranata, labbra che non seguono l'audio, una voce piatta o robotica. Conta però ancora di più il contesto: se qualcuno ti chiede soldi o dati personali in videochiamata, al telefono o con un messaggio vocale, riattacca e richiama tu la persona su un numero che sai essere il suo.

I deepfake sono video, immagini e audio falsificati con l'intelligenza artificiale, usati dai truffatori per spacciarsi per parenti, dirigenti, funzionari e personaggi famosi. Con TrustCamera sviluppiamo un'app fotocamera che assegna a foto e video un codice di verifica nel momento della ripresa. Per questo sappiamo quanto poco si possa leggere a posteriori in un file già finito. Qui sotto trovi i segnali indicati dalle autorità, i loro limiti e le verifiche che funzionano anche contro un falso perfetto.

Come riconoscere un deepfake: i passaggi principali in sintesi

Per riconoscere un deepfake combina due cose: uno sguardo attento agli errori tipici di immagine e audio e una verifica su un secondo canale. Quegli errori diventano più rari a ogni nuova generazione di strumenti. Richiamare su un numero noto, fare una domanda personale o chiedere la parola d'ordine di famiglia funziona invece anche contro un falso perfetto.

1. Fermati: la fretta di pagare o di condividere dati riservati è il segnale d'allarme più forte, per quanto veri sembrino volto e voce.
2. Guarda e ascolta con attenzione: controlla bocca, denti, occhi e luci sul viso, e ascolta se la voce suona robotica o troppo uniforme.
3. Verifica su un secondo canale: chiudi la chiamata e richiama la persona su un numero che conosci.
4. Fai una domanda a cui solo quella persona sa rispondere: oppure chiedi la parola d'ordine concordata in famiglia.
5. Controlla la fonte: per i video virali verifica chi li ha pubblicati per primo e se testate affidabili riportano la stessa notizia.

I passaggi 3 e 4 contano più degli altri, perché funzionano a prescindere dalla qualità del falso. Se invece hai davanti una singola foto e non un video o una chiamata, la guida su come capire se una foto è vera ti accompagna in sette controlli, dalla ricerca inversa ai metadati.

Cosa sono i deepfake: volti scambiati, voci clonate e deepnude

Il Garante per la protezione dei dati personali definisce i deepfake come foto, video e audio creati con software di intelligenza artificiale. Partendo da contenuti reali, questi programmi modificano o ricreano in modo estremamente realistico i movimenti di un volto o di un corpo e imitano fedelmente una voce. La materia prima sono sempre volti, corpi e voci di persone vere. Nella vita di tutti i giorni basta conoscere quattro forme:

• Volto scambiato (face swap): il viso di una persona viene montato su qualcun altro in un video.
• Volto animato (lip sync): testa, espressioni o labbra di una persona reale vengono manipolate, così sembra pronunciare frasi che non ha mai detto.
• Voce clonata: un software imita la voce di una persona, anche in una telefonata o in un vocale su WhatsApp.
• Deepnude: il Garante chiama così i falsi in cui persone ignare appaiono nude o in contesti sessuali, con il volto innestato su altri corpi o con foto da vestite «spogliate» dall'IA.

Secondo il Garante, oggi app e software permettono di creare deepfake anche molto sofisticati con un comune smartphone. Per questo il rischio non riguarda più solo i personaggi famosi, ma anche persone comuni, per esempio come strumento di ricatto o di cyberbullismo.

I volti generati da zero compaiono soprattutto come foto profilo: per le immagini statiche c'è la guida su come riconoscere una foto IA. Non tutti i falsi però richiedono l'IA. Spesso un video vero circola fuori contesto, oppure una foto è solo ritoccata: come capire se una foto è modificata spiega i controlli.

Come riconoscere un video deepfake: i segnali nel volto e nei movimenti

Molte tecniche lasciano errori visibili, i cosiddetti artefatti. La Polizia Postale spiega che chi crea un deepfake cura soprattutto il volto, mentre trascura la postura del corpo, le luci e le ombre. I dettagli più difficili da ricreare sono, secondo la stessa fonte, i movimenti degli occhi, il battito delle ciglia, la definizione dei denti e la sincronia tra voce e labbra. Se puoi, metti in pausa il video, ingrandisci e controlla questi punti:

• Immagine sgranata: il Garante segnala che l'immagine può apparire pixellata, cioè un po' sgranata o sfocata.
• Occhi e ciglia: lo sguardo si muove in modo innaturale, il battito delle ciglia sembra strano o irregolare.
• Bocca e denti: la bocca sembra deformata o troppo grande mentre la persona parla, i denti appaiono come una massa indistinta.
• Labbra e audio: il movimento delle labbra non segue le parole, oppure l'audio arriva in ritardo.
• Corpo e postura: il volto è curato, ma il corpo resta rigido o la postura non torna.
• Luci e ombre: la luce sul viso non corrisponde alla scena, le ombre cadono nella direzione sbagliata o lo sfondo è incoerente.

Le videochiamate dal vivo ti danno un piccolo vantaggio: chi usa un falso in tempo reale non può correggere gli errori dopo. Fai attenzione ai momenti in cui l'altra persona si muove molto o gira la testa.

Il limite è evidente: questi errori diventano più rari a ogni nuova generazione di modelli. Se non trovi artefatti, un video non è per forza vero. Le clip sui social sono inoltre così compresse che i dettagli fini si perdono comunque.

Per capire se hai davanti un video deepfake conta spesso di più il contesto. La Polizia Postale consiglia di verificare l'autorevolezza della fonte e di controllare se la notizia è riportata anche da altri. Puoi anche cercare lo screenshot di un fotogramma con la ricerca inversa delle immagini, per trovare versioni più vecchie o l'originale.

Voce clonata al telefono: i segnali di una truffa

Le voci clonate sono comode per i truffatori, perché una telefonata non mostra difetti d'immagine. La scheda sulle frodi finanziarie online con l'intelligenza artificiale, pubblicata in italiano dalle tre autorità europee di vigilanza finanziaria (EBA, EIOPA ed ESMA), elenca comunque alcuni segnali:

• Intonazione innaturale: la voce suona robotica o troppo uniforme.
• Nessuna pausa: il discorso scorre troppo fluido, senza le esitazioni di una conversazione vera.
• Richiesta urgente: chi chiama vuole soldi o dati subito, anche fingendosi un familiare, un amico o un personaggio pubblico.
• Pagamento non tracciabile: ti chiede cripto-attività, carte regalo o carte prepagate.
• Numero conosciuto: il numero sul display può essere falsificato (spoofing) e coincidere con quello vero, per esempio della tua banca.

La stessa scheda avverte però che le voci generate dall'IA possono sembrare molto naturali. Al contrario, una linea disturbata fa sembrare metallica anche una voce vera. Conta quindi di più lo schema della chiamata: una voce familiare, un'emergenza improvvisa, la pressione ad agire subito e una richiesta di denaro.

App per riconoscere i deepfake: perché spesso sbagliano

Esistono app e siti che promettono di scoprire un deepfake in un video o in un file audio. Ti danno una probabilità, non una prova, e dall'esterno è quasi impossibile capire quanto sia affidabile un singolo strumento.

Quanto sia difficile il riconoscimento automatico lo mostra la Deepfake Detection Challenge del 2020. Come riporta l'Ufficio federale tedesco per la sicurezza informatica (BSI), anche il modello migliore ha raggiunto in media solo il 65,18% di accuratezza, mentre tirando a indovinare si arriverebbe al 50%.

Il BSI indica il problema di fondo nella scarsa capacità di generalizzare: un rilevatore riconosce soprattutto i falsi simili a quelli su cui è stato addestrato. Chi falsifica può inoltre aggiungere un rumore invisibile all'occhio che inganna il rilevatore.

Usa quindi un'app per i deepfake al massimo come secondo parere. Un risultato «probabilmente falso» è un buon motivo per richiamare la persona, un «probabilmente vero» non chiude il caso. I quiz online valgono comunque qualche minuto, perché anche il Garante scrive che, pur non essendo semplice, si può imparare a riconoscere un deepfake. Quando conta davvero, però, non sostituiscono una telefonata di verifica.

La difesa migliore: verificare l'identità su un secondo canale

Se ti chiedi come riconoscere un deepfake che non mostra errori, la risposta è che non serve: le verifiche più affidabili non dipendono dal falso stesso. La scheda europea e le forze dell'ordine italiane consigliano questi passaggi:

1. Fermati e chiudi la chiamata: in caso di dubbi, anche minimi, non agire. Termina la chiamata e verifica la fonte o l'identità.
2. Richiama su un numero noto: chiama o scrivi a familiari e amici su un numero che conosci, non su quello che compare sul display o che ti detta chi chiama. Per banche e uffici cerca tu il contatto ufficiale.
3. Concorda una parola d'ordine: la scheda europea consiglia una «parola sicura», una frase segreta per confermare l'identità quando una voce familiare chiede soldi con urgenza.
4. Chiama il 112: la Polizia di Stato ricorda che una telefonata al 112 è la mossa giusta per fermare i truffatori, anche quando la voce al telefono sembra quella di un parente.

Secondo noi la parola d'ordine di famiglia offre il miglior rapporto tra sforzo e risultato. Concordala di persona, non nella chat di famiglia, e stabilisci con i tuoi familiari quando chiederla. Con genitori e nonni conviene farlo subito, perché le truffe del finto parente puntano proprio su di loro.

Riduci anche il materiale che regali ai truffatori. Il Garante consiglia di non diffondere in modo incontrollato immagini personali o dei propri cari.

Ti sembra scortese riattaccare? I veri familiari capiranno una richiamata di pochi secondi. I truffatori invece puntano sulla fretta: la scheda europea spiega che creano di proposito un senso di urgenza, per esempio con finte emergenze che coinvolgono amici e familiari.

Le truffe deepfake più diffuse in Italia: VIP, finti parenti, false autorità

I deepfake raramente arrivano da soli. Di solito rendono più credibile una truffa che esiste già, aggiungendo un volto o una voce veri. Conoscere questi schemi ti aiuta a smascherare il falso prima che una truffa deepfake ti costi cara.

VIP e investimenti miracolosi: a febbraio 2026 la Polizia Postale ha messo in guardia da contenuti in cui l'IA riproduce volti, voci e movimenti di personaggi pubblici e attribuisce loro dichiarazioni mai fatte. Servono a promuovere presunti investimenti su piattaforme ingannevoli. Il consiglio: diffida degli annunci che promettono rendimenti elevati e verifica sui siti di Consob e Banca d'Italia che l'intermediario sia autorizzato. Per capire se la piattaforma dietro l'annuncio è seria, usa anche i controlli su come capire se un sito è affidabile.

Il finto parente con la voce clonata: nella campagna «La mossa vincente» contro le truffe agli anziani, la Polizia di Stato descrive l'uso del deepfake vocale per clonare la voce di nipoti o figli. Lo scopo è simulare una grave emergenza stradale o legale e ottenere subito denaro. È la classica truffa del finto nipote, con una voce che sembra davvero quella di famiglia.

False banche, autorità e colleghi: la scheda europea descrive chiamate inaspettate di chi si spaccia per la tua banca, per un'autorità pubblica o per un familiare, spesso con un numero falsificato. Il Garante segnala inoltre audio e video deepfake inviati a colleghi, amici o parenti per ottenere dati riservati o far cliccare su link pericolosi.

Relazioni online e falsi profili: nelle truffe romantiche (romance scam) l'IA genera profili falsi e messaggi convincenti, avverte la scheda europea. Col tempo la conversazione passa ai soldi o a un investimento. Se un nuovo contatto diventa intimo in fretta e poi parla di denaro, fermati. La guida su come riconoscere un profilo falso mostra i segnali da controllare, quella sulle truffe romantiche come si sviluppano queste truffe.

Prove di origine: la risposta a lungo termine ai deepfake

Tutti i metodi visti finora giudicano una registrazione già finita, a posteriori. L'approccio opposto lega una ripresa alla sua fonte nel momento in cui nasce, così ogni modifica successiva diventa visibile.

Lo standard aperto più noto si chiama C2PA. Aggiunge ai file le cosiddette Content Credentials, cioè informazioni firmate su quando è nata una ripresa e con quale dispositivo o software è stata creata e modificata. La Content Authenticity Initiative spiega che così le modifiche successive diventano visibili. Allo stesso tempo chiarisce che le Content Credentials non servono a stabilire se un contenuto sia «vero».

Con TrustCamera perseguiamo lo stesso obiettivo. Foto e video si realizzano direttamente nell'app, e non è possibile caricare file dalla galleria. Nei video, lunghi fino a 20 secondi, all'inizio viene incorporato un codice invisibile. A ogni foto e video l'app assegna un codice di verifica, e chi lo ha può controllare autenticità, data e ora della ripresa e posizione approssimativa gratis nel browser, senza account. L'app per Android e iOS è in arrivo.

Va detto chiaramente che cosa dimostra una prova del genere: che il file non è stato modificato dopo la ripresa. Non può dirti se la scena filmata era messa in scena, e non ti aiuta durante una videochiamata dal vivo. Per un video senza prova di origine restano i segnali d'allarme e soprattutto la richiamata. Trovi i dettagli nella pagina come funziona TrustCamera.

Cosa fare se sei vittima di una truffa deepfake

Se hai già pagato o condiviso dati, agisci subito. La scheda europea e la Polizia di Stato indicano questi passi:

1. Chiama la banca: informa subito la banca o l'intermediario tramite i canali ufficiali, per valutare se bloccare o annullare le operazioni. Vale anche per bonifici e ricariche di carte prepagate.
2. Interrompi pagamenti e contatti: non mandare altri soldi, per nessun motivo. Ignora chiamate ed email dei truffatori e blocca il mittente.
3. Conserva le prove: salva chat, numeri di telefono, email, ricevute dei pagamenti e il link del video. Cosa rende utile una prova lo spiega la guida sulle foto come prova.
4. Denuncia: presenta denuncia a un ufficio della Polizia di Stato o ai Carabinieri. Sul portale della Polizia Postale puoi anche segnalare siti sospetti, ma la segnalazione non sostituisce la denuncia.
5. Cambia le password: se hai condiviso credenziali, cambiale su tutti gli account, non solo su quello colpito.

Metti in conto anche un secondo tentativo. La scheda europea avverte delle frodi di «recupero fondi»: qualcuno si presenta come autorità pubblica e si offre di recuperare il denaro perso, in cambio di una commissione. Spesso è un'altra truffa.

Se qualcuno diffonde un deepfake che ti riguarda, il Garante consiglia di non condividerlo e di segnalarlo alla piattaforma che lo ospita. Se pensi che sia stato commesso un reato o una violazione della privacy, puoi rivolgerti alla Polizia Postale o al Garante. Se il contenuto riguarda minori, non salvarlo e non inoltrarlo, ma segnalalo subito alla Polizia Postale.

Diffondere un deepfake può anche essere un reato specifico. L'art. 612-quater c.p., introdotto dalla legge 132/2025 sull'intelligenza artificiale, punisce chi cagiona un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati con l'IA e capaci di ingannare. La pena va da uno a cinque anni di reclusione. Di norma si procede a querela della persona offesa. Per un caso concreto rivolgiti alle forze dell'ordine o a un avvocato.

Domande frequenti su come riconoscere un deepfake

Si può sempre riconoscere un deepfake?

No. Molti falsi mostrano ancora errori su bocca, denti, occhi, luci o voce, soprattutto dal vivo, ma ogni nuova generazione di modelli ne fa meno. Più di qualsiasi segnale funziona una verifica su un secondo canale: riattacca, richiama su un numero noto o fai una domanda personale.

Esiste un'app che riconosce i deepfake senza errori?

No. Le app ti danno una probabilità che dipende molto dai dati su cui sono state addestrate. Con i falsi creati da modelli nuovi sbagliano spesso, e chi falsifica può ingannarle di proposito. Usa uno strumento al massimo come secondo parere.

Come capire se una voce al telefono è clonata?

Segnali tipici sono un'intonazione robotica o troppo uniforme e un discorso senza pause naturali. Le voci clonate migliori però suonano naturali. Guarda quindi allo schema: voce familiare, emergenza improvvisa, fretta e richiesta di denaro. A quel punto riattacca e richiama la persona su un numero che conosci.

A cosa serve una parola d'ordine in famiglia?

Concorda con la tua famiglia una parola o una frase segreta che non compare mai online. Se qualcuno chiama con un'emergenza, chiedi quella parola. Un'IA può imitare una voce, ma non può conoscere il segreto che condividi con i tuoi familiari. Le autorità europee di vigilanza finanziaria consigliano proprio questa «parola sicura».

Il deepfake è reato in Italia?

Sì, in molti casi. Dal 2025 l'art. 612-quater c.p. punisce chi diffonde senza consenso immagini, video o voci falsificati con l'IA, se causa un danno ingiusto. La pena va da uno a cinque anni. Per valutare un caso concreto serve un avvocato.

Cosa fare se qualcuno ha creato un deepfake con la mia faccia?

Non condividerlo e segnalalo alla piattaforma, salvando link, data e, se opportuno, degli screenshot. Se pensi a un reato o a una violazione della privacy, rivolgiti alla Polizia Postale o al Garante per la protezione dei dati personali. Se il contenuto riguarda minori, non fare screenshot e chiedi alla polizia come procedere.

Il contesto è il modo più sicuro per riconoscere un deepfake

Cercare gli errori in immagine e audio vale ancora la pena, perché molti falsi mostrano difetti su bocca, occhi, luci o voce. Non puoi però fidarti solo di questi segnali, e nemmeno delle app di rilevamento. Quello che funziona davvero non ha a che fare con la tecnologia: fermarsi, richiamare su un numero noto, fare una domanda personale o chiedere la parola d'ordine di famiglia.

Crediamo che col tempo la domanda si capovolgerà. Invece di chiederci a posteriori come riconoscere un deepfake, controlleremo se una registrazione porta con sé una prova di origine fin dallo scatto. Ci lavorano standard aperti come C2PA, e ci lavoriamo anche noi con TrustCamera. Finché non sarà la norma, la richiamata resta la tua protezione migliore.