“Sono la capa, fai subito il bonifico” – come suona una truffa con l'IA e come il tuo team resta calmo

Qualcuno del tuo team farebbe un bonifico se la capa chiama, sembra stressata e dice che è urgente e riservato?

La maggior parte esiterebbe – per fortuna. Ma i truffatori lavorano proprio su questo momento: fretta, autorità e la richiesta di riservatezza. La novità è che per farlo non hanno più bisogno di un'email fatta male. Con l'IA si possono imitare voci e persino volti nei video in modo così realistico che nella quotidianità quasi non ce ne si accorge.

Cosa è possibile oggi a livello tecnico

Il BSI (l'Ufficio federale tedesco per la sicurezza informatica) descrive come le voci possano essere riprodotte con l'IA – così bene da ingannare le persone e persino il riconoscimento automatico del parlante. Per un'alta qualità servono di solito diverse ore di materiale audio, con dati ausiliari a volte solo pochi minuti. Di molti dirigenti questo materiale è pubblicamente disponibile: interviste, video, conferenze. Secondo il BSI, anche i volti oggi si possono falsificare in tempo reale.

Un esempio noto viene da Hong Kong. All'inizio del 2024 un dipendente di un'azienda internazionale, dopo una videoconferenza, ha trasferito a dei truffatori l'equivalente di circa 25 milioni di dollari USA. Secondo la polizia, tutti gli altri partecipanti alla conferenza erano falsi. Ci si è accorti della cosa solo quando lui, più tardi, ha chiesto conferma alla sede centrale.

Il trucco è vecchio, lo strumento è nuovo

Gli esperti lo chiamano “CEO fraud”: qualcuno si spaccia per la direzione aziendale e fa disporre un pagamento. Un tempo via email, oggi anche per telefono, messaggio vocale o videochiamata. Lo schema è quasi sempre lo stesso:

• È urgente: “entro oggi”, “prima che chiuda la banca”.
• È segreto: “non parlarne con nessuno”.
• È insolito: nuovo conto, nuovo beneficiario, canale inconsueto.
• Arriva dall'alto – così nessuno contraddice.

Secondo il Bundeslagebild Cybercrime 2025 del BKA (l'Ufficio federale di polizia criminale tedesco), i criminali usano l'IA per rendere gli attacchi più efficienti e professionali. Il phishing diventa più convincente, gli errori di lingua scompaiono. Ciò da cui un tempo si riconosceva una truffa serve quindi sempre meno.

Tre regole che valgono più di qualsiasi software

• Richiamata a un numero noto. Per ogni richiesta insolita di pagamento o di dati riattacchi e richiami la persona al numero che avete già salvato – non a quello indicato nella chiamata o nell'email.
• Quattro occhi sui soldi. Nuove coordinate bancarie e pagamenti oltre un importo fisso vengono sempre approvati da una seconda persona. Senza eccezioni, nemmeno “solo per oggi”.
• Una parola d'ordine per le emergenze. Concordate una parola o una domanda che conoscono solo i veri colleghi. Sembra roba da film di spionaggio, ma funziona.

È importante che la direzione sia la prima a rispettare queste regole e dica apertamente: “Se chiamo e chiedo qualcosa di insolito, richiamatemi. Non mi offendo.” Questa sola frase toglie la pressione al team.

Formare senza spaventare

L'obiettivo non è che il tuo team trovi sospetta ogni chiamata. L'obiettivo è che nessuno debba decidere da solo quando qualcosa non quadra. Una buona formazione dura meno di due ore ed è composta da tre parti: ascoltare o vedere uno o due esempi reali, ripercorrere insieme la procedura fissa ed esercitarla una volta – ad esempio con un gioco di ruolo in cui qualcuno fa il “capo” e qualcun altro richiama gentilmente.

Conta il tono. Chi dopo una formazione ha paura di rispondere al telefono è stato formato male. Chi sa che fare domande è espressamente gradito resta calmo. E se qualcuno ci casca comunque, vale questa regola: segnalarlo subito è giusto, nasconderlo è sbagliato. Solo così tutto il team impara.

Anche la tecnica può dare una mano: vincolare le autorizzazioni di pagamento nell'online banking a due persone, salvare come contatti nel centralino i numeri della direzione, inoltrare con un clic le email sospette a un indirizzo di verifica. Questo non sostituisce una procedura chiara, ma la rende più comoda.

E se invece è già successo?

Allora agisci in fretta, ma con calma. Informa subito la banca e prova a recuperare il pagamento. Annota tutto e conserva le prove: elenco chiamate, email, messaggi vocali. Sporgi denuncia alla polizia – in Germania gli uffici di polizia criminale dei Länder (LKA) hanno appositi punti di contatto centrali per il cybercrime dedicati alle imprese (Zentrale Ansprechstellen Cybercrime). E poi analizza, senza cercare colpevoli, come è potuto succedere. Chi segnala apertamente gli errori aiuta tutti; chi ha paura di guai tace. Come vanno gestiti i primi minuti dopo un attacco, lo trovi nel piano d'emergenza di 10 minuti.

Il Mostro Cyber forma il tuo team – senza allarmismi, con esempi reali e una procedura che funziona nella quotidianità. Se da voi il telefono è la linea principale verso i clienti, il Mostro Telefono dà un'occhiata anche a numeri e inoltri di chiamata.