Come capire se un messaggio è una truffa con l'IA
Di Chatday Editorial Team ·
Il messaggio arriva alle 21. La tua banca, a quanto pare, ha rilevato un pagamento che non hai fatto. C’è un link. C’è una scadenza. Ti si stringe lo stomaco.
Dieci anni fa questi messaggi si riconoscevano dagli errori di ortografia. Quell’indizio non esiste più. Chi li manda ha la tua stessa IA e la usa per scrivere in un italiano pulito, cordiale e perfettamente punteggiato, nella lingua che parli, su una scala che nessun team umano potrebbe reggere. La buona notizia è che lo strumento funziona in entrambe le direzioni. Prima di toccare qualsiasi cosa, puoi incollare quel messaggio in un’IA e chiederle cosa vede.
Questa guida sta sul pratico: cosa incollare, le domande esatte che danno risposte utili, cosa non mettere mai in una chat, perché vale la pena spendere trenta secondi in più con un secondo modello e dove questo metodo fallisce davvero.
Perché i messaggi truffa sono diventati così credibili
Vale la pena guardare i numeri perché spiegano il cambiamento. Nel suo rapporto annuale 2025, il centro denunce dell’FBI ha dedicato per la prima volta una sezione all’intelligenza artificiale, con 22.364 denunce che citavano l’IA e circa 893 milioni di dollari di perdite. La clonazione vocale compare nella categoria più dura: le truffe dell’emergenza, in cui qualcuno chiama con la voce identica a quella di tuo figlio o di tuo padre, sono costate alle vittime oltre 5 milioni di dollari in quell’anno.
L’FBI aggiunge un punto che conta più dei totali. Nelle frodi sugli investimenti, le denunce con un legame chiaro con l’IA hanno raggiunto circa 632 milioni di dollari, mentre le truffe sugli investimenti nel complesso hanno superato gli 8 miliardi. La maggior parte delle persone semplicemente non scopre mai che c’era di mezzo l’IA.
Separatamente, la Federal Trade Commission statunitense ha comunicato a giugno 2026 che nel 2025 le persone hanno perso 3,5 miliardi di dollari in truffe con falsa identità, quasi una denuncia di frode su tre, con perdite vicine al triplo di quelle del 2020. Una truffa con falsa identità copre l’intera categoria: qualcuno che si spaccia per la tua banca, un corriere, un ufficio pubblico, il tuo capo o tuo figlio.
Quindi il cambiamento si riassume facilmente. Scrivere un messaggio impeccabile, personalizzato e urgente in qualsiasi lingua è diventato economico. Il che significa che il vecchio consiglio, guarda gli errori di grammatica, oggi mette le persone a rischio.
Cosa incollare nell’IA e cosa non incollare mai
Il controllo in sé richiede un minuto. Apri una chat, incolla il messaggio e chiedi. Puoi incollare il testo oppure caricare uno screenshot se il messaggio vive in un’app da cui non puoi copiare, che è il caso tipico degli avvisi bancari e delle notifiche di consegna.
Prima di incollare, prenditi dieci secondi per togliere tutto ciò che ti identifica.
Vale invece la pena tenere ciò che porta le prove: il numero o l’indirizzo email del mittente, il testo esatto, il link come testo (non aprirlo) e cosa ti chiede di fare il messaggio. Sono queste le cose che si possono valutare.
Le tre domande che fanno il lavoro vero
Chiedere se una cosa è una truffa produce una risposta ambigua. Queste tre producono qualcosa su cui agire. Ognuna apre una chat con il messaggio già pronto.
La seconda metà è la parte utile. Sapere com’è fatto un avviso bancario vero, senza link, senza scadenze e con l’invito ad accedere come fai di solito, è una competenza che ti resta. Un sì o un no non ti insegnano niente.
I link delle truffe sono costruiti per essere letti male. Un indirizzo lungo pieno delle parole sicuro e verifica, con la destinazione vera messa in fondo, funziona benissimo sullo schermo di un telefono, dove quasi tutto resta tagliato. Chiedere esplicitamente il dominio risolve il problema.
Quest’ultima domanda è di solito la più utile. Le truffe crollano su un dettaglio preciso e banale che puoi controllare: un numero di registrazione dell’azienda, un indirizzo fisico, una persona con nome e cognome che puoi cercare, oppure la proposta di spostare la conversazione su una normale videochiamata.
Chiedi a un secondo modello prima di agire
Questo è il limite onesto di una singola risposta dell’IA. I modelli sono fatti per darti ragione. Se incolli un messaggio e aggiungi che a te sembra falso, gli hai già detto cosa vuoi sentirti dire, e spesso ti accontenterà.
Due cose lo risolvono. Chiedi in modo neutro e chiedi due volte, usando un modello diverso per la seconda lettura. I modelli sono stati addestrati in modo diverso ed esprimono i loro dubbi in modo diverso. Quando due segnalano la stessa frase in modo indipendente, quello è un segnale reale. Quando uno dice truffa e l’altro dice che è normale, hai imparato che il messaggio è davvero ambiguo, il che è comunque utile, e a quel punto vai a verificare direttamente.
Questa è la parte scomoda se ogni IA sta dietro il proprio abbonamento e il proprio accesso. Averle in un unico posto, dove incolli il messaggio una volta e cambi modello nella stessa conversazione, trasforma il secondo parere in un tocco. È tutta qui la ragione per tenere a portata di mano più modelli invece di legarsi a uno solo.
Quale controllo per quale tipo di messaggio
Non tutto quello che arriva richiede lo stesso trattamento. Una guida rapida:
| Cosa è arrivato | Il controllo più veloce | Quello che lo smaschera |
|---|---|---|
| Avviso bancario o di pagamento | Incolla il testo e chiedi com’è un avviso vero | Un link qualsiasi, più una scadenza di poche ore |
| Spesa di consegna o dogana | Controlla il dominio come testo semplice | Una piccola spesa per un pacco che non sai indicare |
| Un’offerta di lavoro o un recruiter | Chiedi cosa puoi verificare adesso | Colloquio solo in chat e un pagamento prima di iniziare |
| Consiglio su investimenti o cripto | Chiedi cosa dovrebbe essere vero | Rendimenti garantiti e fretta di agire oggi |
| Un parente nei guai, al telefono | Riaggancia e richiamalo tu | Urgenza, segretezza e la richiesta di non dirlo a nessuno |
| Una foto o uno screenshot | Caricalo e chiedi cosa c’è di strano | Loghi che non tornano, mittente strano, un numero che non è quello ufficiale |
Per quest’ultima riga, spesso lo screenshot è tutto quello che hai, e descriverlo a parole fa perdere i dettagli. Caricare l’immagine e chiedere cosa non torna funziona bene, e la nostra guida su come far spiegare all’IA qualsiasi foto o screenshot approfondisce per bene la tecnica. L’analizzatore di immagini è pensato per lo stesso compito, se preferisci non partire da una chat vuota.
Nota che la riga della telefonata non usa affatto l’IA. È voluto. Se la persona al telefono ha esattamente la voce di tua figlia, nessuna finestra di chat ti aiuterà in quel momento. Riaggancia, chiama il numero che hai già in rubrica e concordate una parola chiave di famiglia prima di averne bisogno.
Dove questo metodo non arriva
Questo metodo ha limiti reali e vale la pena dirlo chiaramente.
L’IA può sbagliare con grande sicurezza. Ogni tanto si inventa un dettaglio sulla politica di un’azienda o afferma che un dominio è ufficiale quando non lo è, per lo stesso motivo per cui si inventa le fonti, cosa che abbiamo spiegato in perché l’IA si inventa le cose con tanta sicurezza. Tratta la risposta come il parere di un amico informato, non come una sentenza.
Non può vedere quello che non le hai dato. Un modello che legge un testo incollato non ha modo di controllare se il numero che ha inviato il messaggio è davvero quello della tua banca, se quel dominio è stato registrato martedì scorso o se la fattura corrisponde al tuo conto reale. Ragiona sul testo e sulla struttura. Questo intercetta quasi tutto ciò che viene mandato alle persone comuni, e si lascia sfuggire un attacco mirato costruito sui tuoi dati veri.
Può anche essere troppo sospettosa. I messaggi autentici di aziende vere sono spesso scritti male, con urgenze inutili e link di tracciamento dall’aria poco pulita. Se un’IA segnala qualcosa che in parte ti aspettavi, quello è un invito a verificare, non una prova di frode.
E il passaggio della verifica non si sposta mai. Qualunque sia la risposta, se il messaggio riguarda soldi o un conto, contatta l’organizzazione usando un numero o un’app che avevi già, mai uno preso dal messaggio. L’IA accorcia la lista delle cose di cui preoccuparsi. Non sostituisce la telefonata.
Se hai già cliccato, risposto o pagato
Qui conta più la velocità dell’imbarazzo, e succede continuamente a persone attente.
Chiama subito la tua banca usando il numero sulla carta e racconta esattamente cosa è successo. Cambia la password di ogni account in cui hai inserito dati, e di ogni altro account che usa la stessa password. Attiva la verifica in due passaggi dove non c’era. Segnala l’accaduto all’autorità antifrode del tuo paese, perché sono proprio quelle segnalazioni a produrre i numeri all’inizio di questo articolo. Se hai mandato soldi con un bonifico o in cripto, segnala nel giro di ore e non di giorni, perché la finestra per recuperare qualcosa è stretta.
Poi, a mente fredda, incolla il messaggio originale in un’IA e chiedile di analizzare come ha funzionato su di te. Capire la leva precisa che ha usato, l’urgenza, l’autorità o la paura per una persona a cui tieni, è ciò che rende il prossimo più facile da ignorare.
L’abitudine che vale la pena costruire
Non devi diventare sospettoso di tutto. Ti serve una piccola pausa tra l’arrivo del messaggio e il movimento del tuo pollice, e qualcosa di utile da fare in quella pausa.
Incollalo. Chiedi cosa vuole e come sarebbe una versione vera. Chiedi a un secondo modello se la risposta conta. Poi verifica attraverso un canale di cui ti fidi già. Tutto insieme richiede meno tempo di quanto tu ne abbia impiegato a leggere questo paragrafo, e funziona proprio perché chi manda questi messaggi conta sul fatto che tu non ti fermi affatto.