In sintesi

Le video call deepfake stanno diventando il nuovo strumento per autorizzare pagamenti fraudolenti, con perdite medie di 1,7 milioni di euro per attacco
Il 39% delle aziende italiane ha subito tentativi di frode tramite comunicazioni manipolate nel 2024
I processi di autorizzazione basati solo su richieste verbali in videoconferenza rappresentano il principale punto debole
La combinazione di urgenza artificiale e pressione gerarchica bypassa i controlli standard in 8 casi su 10

La videochiamata del CFO arriva alle 16:45 del venerdì. Serve autorizzare immediatamente un bonifico di 850.000 euro per chiudere l’acquisizione di un fornitore strategico prima che scada l’esclusiva. Il volto è quello giusto, la voce pure, persino il modo di gesticolare mentre parla. Solo che dall’altra parte dello schermo non c’è il CFO, ma un algoritmo che lo sta imitando alla perfezione.

Questo scenario non è più fantascienza. Secondo i dati del Cyber Security Report 2024 di Clusit, gli attacchi basati su video call deepfake sono cresciuti del 245% nell’ultimo anno, con l’Italia al terzo posto in Europa per numero di tentativi registrati. La tecnologia che fino a ieri serviva per creare video virali sui social oggi viene weaponizzata per autorizzare bonifici milionari.

Pagamenti urgenti: quando la fretta diventa complice del crimine

Il meccanismo è sempre lo stesso: creare una situazione di urgenza artificiale che bypassa i controlli standard. Le frode BEC (Business Email Compromise) si sono evolute, passando dalle semplici email falsificate alle videochiamate manipolate in tempo reale.

Un’azienda manifatturiera di Brescia ha perso 2,3 milioni di euro lo scorso ottobre. Il responsabile amministrativo ha ricevuto una videochiamata dal CEO che ordinava un bonifico immediato per bloccare un’OPA ostile su un concorrente. La pressione temporale, unita all’apparente autenticità della richiesta video, ha fatto saltare ogni protocollo di verifica.

I criminali sfruttano tre elementi psicologici fondamentali: l’autorità gerarchica (la richiesta arriva dall’alto), la scarsità temporale (bisogna agire subito), e la prova sociale (altri colleghi nella call confermano l’urgenza). Quando questi tre fattori si combinano, anche il manager più attento abbassa la guardia.

La tecnologia deepfake applicata alle frodi BEC aziendali

Le video call deepfake non richiedono più competenze tecniche avanzate. Con meno di 500 euro e qualche ora di training su video pubblici (presentazioni aziendali, interviste, webinar), è possibile creare un clone digitale convincente di qualsiasi executive.

I tool di sintesi vocale in tempo reale permettono di replicare non solo il timbro, ma anche le inflessioni dialettali e i modi di dire caratteristici. Durante una conferenza sulla sicurezza a Milano, è stato dimostrato come bastino 3 minuti di audio per clonare una voce con precisione del 94%.

La qualità delle videochiamate aziendali, spesso compromessa da connessioni instabili, maschera le imperfezioni del deepfake. Quello che potrebbe sembrare un glitch della connessione è in realtà un artefatto dell’intelligenza artificiale. I criminali sfruttano questa ambiguità, programmando “problemi tecnici” strategici quando devono nascondere incongruenze.

I segnali deboli che tradiscono una video call deepfake

Riconoscere una video call deepfake richiede attenzione a dettagli che normalmente ignoriamo. La sincronizzazione labiale imperfetta, movimenti oculari innaturali, ombre del viso incoerenti con l’illuminazione dichiarata. Ma il vero problema non è tecnico: è processuale.

Quando un CEO chiede un bonifico urgente in videochiamata, quanti dipendenti oserebbero interromperlo per verificare l’autenticità della richiesta? La gerarchia aziendale diventa paradossalmente il principale alleato dei criminali. Un sondaggio condotto su 500 manager italiani rivela che l’87% autorizzerebbe pagamenti urgenti richiesti dal proprio superiore in video, senza ulteriori verifiche.

Le aziende che hanno implementato protocolli di doppia autenticazione per richieste superiori a 100.000 euro hanno ridotto del 92% i tentativi di frode andati a buon fine. Ma solo il 23% delle PMI italiane ha procedure simili. La maggioranza si affida ancora alla fiducia personale e al riconoscimento visivo, due elementi facilmente hackerabili con la tecnologia attuale.

Dal singolo attacco al difetto sistemico di processo

Il problema non è la tecnologia deepfake in sé, ma l’inadeguatezza dei processi aziendali di fronte a questa nuova minaccia. Le procedure di autorizzazione pagamenti sono rimaste ferme agli anni ’90, quando il massimo rischio era una firma falsificata.

Un’analisi condotta su 150 casi di frode BEC in Italia mostra che nel 76% dei casi esistevano procedure di sicurezza che sono state bypassate per “urgenza operativa”. La pressione del business override sistematicamente i controlli di sicurezza. I criminali lo sanno e costruiscono scenari che amplificano questa tendenza.

Le aziende che hanno subito attacchi di deepfake CEO condividono tre caratteristiche: processi di autorizzazione basati su singola approvazione, cultura aziendale che penalizza chi rallenta le operazioni per verifiche, assenza di canali di conferma alternativi per transazioni critiche.

Costruire difese processuali contro le video call manipolate

La soluzione non sta nella tecnologia di detection (che sarà sempre un passo indietro rispetto ai criminali), ma nella ridefinizione dei processi. Nessuna richiesta di pagamento, per quanto urgente, dovrebbe dipendere da un singolo canale di comunicazione o da una singola autorizzazione.

Un gruppo industriale veneto ha implementato un sistema di “challenge words” – parole codice che cambiano settimanalmente e devono essere pronunciate durante richieste critiche. Un’azienda farmaceutica milanese richiede che ogni bonifico sopra i 250.000 euro sia confermato tramite un canale diverso da quello della richiesta iniziale.

Ma la vera difesa sta nel cambiamento culturale. Bisogna premiare, non punire, chi rallenta un’operazione per verificarne l’autenticità. Il costo di un ritardo di 24 ore è infinitesimale rispetto alla perdita media di 1,7 milioni per attacco riuscito. Eppure la pressione operativa continua a prevalere sulla prudenza.

Conclusione: ripensare l’autorità nell’era del sintetico

Le video call deepfake non sono solo una nuova minaccia tecnologica. Sono lo specchio di vulnerabilità organizzative che esistevano già, ma che l’AI ha reso critiche. La gerarchia, l’urgenza, la fiducia visiva – pilastri del business tradizionale – diventano vettori di attacco.

Le aziende che sopravviveranno a questa nuova era della frode non saranno quelle con i migliori software di detection, ma quelle che avranno ripensato i propri processi decisionali. Che avranno creato ridondanze dove prima c’era efficienza. Che avranno messo in discussione l’infallibilità dell’autorità visiva.

Il paradosso è evidente: per proteggersi dalle macchine che imitano gli umani, dobbiamo diventare meno umani nei nostri processi. Meno fiduciosi, meno rapidi, meno gerarchici. È un prezzo che molti non sono ancora disposti a pagare. Ma i 4,2 miliardi di euro persi globalmente nel 2024 per frodi BEC suggeriscono che l’alternativa è molto più costosa.

Per approfondire le strategie di difesa specifiche contro gli attacchi mirati ai vertici aziendali, consulta la guida completa sul rischio whaling AI e scopri come proteggere la tua organizzazione.

FAQ

Quanto costa ai criminali creare una video call deepfake convincente?

Con meno di 500 euro e 3-4 ore di materiale video/audio pubblico di un executive, i criminali possono creare deepfake sufficientemente convincenti per una videochiamata. I servizi cloud di AI generativa hanno abbassato drasticamente le barriere tecniche ed economiche.

Quali sono i settori più colpiti dalle frodi BEC con deepfake?

Manifatturiero (31%), servizi finanziari (24%) e commercio internazionale (19%) guidano la classifica. Sono settori con alte movimentazioni di denaro, pressione temporale nelle transazioni e rapporti gerarchici marcati.

Come verificare l’autenticità di una richiesta di pagamento urgente in videochiamata?

Mai autorizzare solo sulla base della videochiamata. Richiedere sempre conferma tramite canale alternativo pre-concordato (telefono con numero noto, email su indirizzo verificato). Implementare parole codice che cambiano periodicamente per richieste critiche.

Le video call deepfake sono rilevabili con software specifici?

Esistono tool di detection ma hanno tassi di errore del 15-20% e i criminali li aggirano rapidamente. Affidarsi solo alla tecnologia di rilevamento è pericoloso. I processi di verifica multi-canale rimangono la difesa più efficace.

Qual è la responsabilità legale di chi autorizza un pagamento fraudolento?

Se l’azienda non ha implementato procedure di sicurezza adeguate, la responsabilità ricade sull’organizzazione. Il dipendente che ha autorizzato in buona fede seguendo le procedure aziendali standard generalmente non è perseguibile, ma ogni caso va valutato individualmente.

Quanto tempo serve per addestrare i dipendenti a riconoscere queste frodi?

Un programma base richiede 4-6 ore di formazione iniziale più aggiornamenti trimestrali. Ma il vero cambiamento richiede 6-12 mesi per radicare nuove abitudini operative. La formazione tecnica senza modifica dei processi è inefficace.

Le assicurazioni coprono le perdite da video call deepfake?

Dipende dalla polizza cyber. Molte escludono frodi autorizzate volontariamente dal dipendente, anche se ingannato. È fondamentale verificare le clausole specifiche e documentare l’implementazione di misure preventive per mantenere la copertura.

Esistono standard ISO o certificazioni specifiche per proteggersi dalle frodi BEC evolute?

Non esistono standard specifici per deepfake, ma ISO 27001 e il framework NIST includono controlli sui processi di autorizzazione pagamenti. La certificazione non garantisce immunità ma dimostra due diligence in caso di contenzioso post-frode.