Il fenomeno dei deepfake si è esteso oltre le immagini e i video manipolati, estendendosi ora alle registrazioni vocali e aprendo una nuova dimensione nel campo del phishing, alimentata dall’intelligenza artificiale.

Grazie alla capacità attuale dei sistemi di intelligenza artificiale di replicare voci a partire da brevi frammenti audio, il rischio si manifesta in modo evidente, soprattutto considerando la diffusione sempre più ampia di registrazioni vocali sui social media.
L’intelligenza artificiale offre incredibili opportunità ma al contempo presenta rischi quando finisce nelle mani sbagliate.
In un’epoca in cui la tecnologia è sempre più diffusa, la facilità di accesso agli strumenti di IA offre ai cybercriminali nuove opportunità per perpetrare attacchi sempre più mirati.

voice cloning phishing

Quanto sono accessibili le truffe vocali?

Condurre truffe vocali si rivela una tecnica di attacco straordinariamente alla portata di chiunque.
La maggior parte degli strumenti AI per clonare e modificare messaggi vocali sono gratuiti e facilmente reperibili anche da chi non possiede competenze tecniche. Infatti, grazie a questi tool è possibile generare tracce vocali con un’accuratezza dell’85%, ma con registrazioni più lunghe si può addirittura raggiungere il 95%.

I tool avanzati di intelligenza artificiale stanno rivoluzionando le tattiche di attacco dei cyber criminali.
Ora (in realtà già da qualche tempo), con minimo sforzo, i criminali del web sono in grado di replicare una voce e trarre in inganno i contatti più stretti del malcapitato per ottenere ciò che vogliono; nello specifico, come potrete ben immaginare, il pagamento di denaro.
I software per la clonazione della voce possono emulare accenti da ogni parte del mondo, sebbene voci particolari per tono o ritmo della cadenza possano mettere in difficoltà i modelli. In ogni caso, la potenza di tali tool si rivela straordinaria ed efficace nella maggior parte delle truffe vocali.

Quali sono i metodi attraverso cui i criminali riescono ad acquisire le informazioni di cui hanno bisogno?

La risposta è sorprendentemente semplice: mediante gli account social network.
I truffatori scrutano attentamente i profili delle loro vittime, esaminano la cerchia di amici e parenti, analizzano le foto e, soprattutto, i video allo scopo di raccogliere dati fondamentali per registrare e replicare la voce, dando vita così alla clonazione vocale.

Una nuova forma di truffa: il sequestro virtuale

Nell’aprile 2023, Jennifer De Stefano, residente in Arizona, è stata protagonista di un evento angosciante quando ha ricevuto una chiamata da un anonimo che asseriva di aver rapito la sua figlia quindicenne.
Il richiedente chiedeva un riscatto di oltre 1 milione di dollari, minacciando violenze nel caso in cui il pagamento non fosse stato effettuato.
Nonostante Jennifer affermasse di aver udito distintamente le lacrime, le urla e le suppliche della figlia in sottofondo, il criminale le ha negato l’opportunità di parlare con lei al telefono. Dopo brevi negoziazioni, l’importo del riscatto è stato abbassato a 50.000 dollari.
Fortunatamente, prima di procedere con il pagamento, la vittima è riuscita a verificare che sua figlia fosse al sicuro e non fosse stata effettivamente rapita.

Come si svolge un rapimento virtuale?

I giovani e i personaggi pubblici sono solitamente i primi ad adottare le nuove tecnologie e a frequentare le piattaforme social emergenti.
Questo comporta la generazione di una maggiore quantità di dati biometrici, che possono poi essere sfruttati dai cybercriminali per perpetrare attacchi di rapimento virtuale. Sfruttando i social network come TikTok, Facebook e Instagram, i criminali informatici cercano le loro vittime e lavorano per creare una storia credibile che aumenti le probabilità di successo della truffa.

Gli elementi distintivi di un attacco di rapimento virtuale includono:

  1. Identificazione della potenziale vittima: solitamente un parente di un presunto rapito, in grado di pagare un riscatto.
  2. Identificazione della potenziale vittima virtuale di rapimento: spesso un minore.
  3. Creazione di una storia emotivamente valida: quanto più la storia è coinvolgente, tanto maggiore è l’impatto sul giudizio e il pensiero critico della vittima, che potrebbe comportarsi con minor accortezza.
  4. Raccolta della biometria vocale della vittima: attraverso i post sui social media, anche tramite l’utilizzo di tecnologie deepfake che manipolano l’audio.
  5. Identificazione di tempistiche ed elementi logistici: basandosi sugli aggiornamenti social della vittima, i cybercriminali scelgono il momento in cui la vittima del riscatto è fisicamente lontana per garantire il successo dell’attacco.
  6. Gli aggressori utilizzano software di modulazione vocale per rendere la voce più minacciosa, eseguendo contemporaneamente l’audio deepfake del presunto rapito.
  7. Attività post-chiamata: in caso di successo della truffa, i cyber criminali procedono poi a perpetrare attività di riciclaggio di denaro del riscatto, l’eliminazione di file pertinenti e la distruzione del telefono utilizzato.

Considerazioni conclusive

Concludendo, il rischio di essere ingannati da voci familiari al telefono colpisce anche coloro che non si ritengono suscettibili a questo tipo di frodi.
La voce, sempre più accessibile online attraverso video, messaggi vocali e altre forme di condivisione digitale, rende possibile l’uso di strumenti di clonazione vocale, disponibili a costi accessibili, per replicare in maniera convincente qualsiasi voce. Secondo Hany Farid, esperto di Digital Forensics presso l’Università della California, ci troviamo di fronte a un contesto in cui il progresso tecnologico permette di far credere praticamente qualsiasi cosa a chiunque, creando una sorta di “tempesta perfetta”.

Per proteggersi da truffe vocali, vi consigliamo di stabilire una “parola in codice” da condividere solo con i più stretti e fidati.
È altresì essenziale controllare attentamente l’accesso alle registrazioni vocali, specialmente su piattaforme social, evitando la condivisione indiscriminata con la comunità online. Come precauzione generale, è fondamentale verificare l’autenticità del mittente del messaggio e, in caso di dubbi, contattare direttamente la persona coinvolta per confermare le richieste.

Infine, l’installazione di servizi di monitoraggio dell’identità può contribuire a proteggere le informazioni sensibili dall’accesso non autorizzato online.