Le frodi con deepfake hanno un vantaggio che il phishing non ha mai avuto: non chiedono alla vittima di credere a un’email scritta male. Le chiedono di riconoscere una voce che conosce.
I numeri dicono che funziona. Le frodi con clonazione vocale sono cresciute del 680% in un anno, e il 43% degli attacchi basati su deepfake va a buon fine, contro il 23% del phishing tradizionale.
Il divario che spiega tutto
Da un lato la crescita degli attacchi. Dall’altro la preparazione: solo il 7% delle aziende europee si considera davvero pronta ad affrontare le frodi basate sull’intelligenza artificiale. In Italia solo il 12% dichiara protocolli specifici contro le frodi che imitano i vertici aziendali.
C’è poi un fattore culturale che pesa più di quanto ammettiamo: nelle aziende italiane la deferenza verso chi comanda è marcata. Se «il titolare» chiama e dice che serve un bonifico entro un’ora, la domanda «come faccio a sapere che sei tu?» costa fatica.
In Italia è già successo: clonazione vocale usata per truffare imprenditori, con un caso da un milione di euro sottratto con una telefonata.
Perché la voce è il canale più efficace
Servono pochi secondi di audio pulito per clonare un timbro, e gli imprenditori ne lasciano ovunque: video su LinkedIn, interviste, presentazioni, storie sui social, messaggi vocali.
L’attacco tipo unisce tre elementi:
- una voce credibile: quella di chi può autorizzare un pagamento;
- una scusa urgente: un’operazione riservata, una scadenza, un fornitore da sbloccare;
- un canale che salta le abitudini: una chiamata invece della solita mail, un IBAN diverso «solo per questa volta».
L’urgenza non è un dettaglio: serve a impedire la verifica. È l’unico ingrediente che non possono togliere, ed è per questo che è anche il segnale più affidabile.
La regola che ferma quasi tutto
Una sola, scritta e condivisa: nessun pagamento e nessun cambio di coordinate bancarie viene autorizzato sul canale da cui è arrivata la richiesta.
Se arriva una chiamata, si richiama sul numero in rubrica. Se arriva una mail, si telefona. Se arriva un messaggio, si verifica di persona. Sempre, anche quando è ovvio che sia lui, anche quando è davvero lui.
Aggiungi due presidi:
- una parola di verifica concordata tra chi può autorizzare pagamenti, da chiedere al telefono;
- una soglia: sopra un certo importo servono due firme, senza eccezioni per l’urgenza.
Sono misure da mezz’ora di riunione. Costano un foglio A4 attaccato vicino alla postazione di chi fa i bonifici.
Cosa dire a chi lavora con te
La frase che protegge di più è quella che va detta prima, dal titolare: «Se ti chiamo io e ti chiedo un pagamento urgente, tu mi richiami. Sempre. Se non lo fai, l’errore è mio.»
Toglie il problema alla radice, perché la truffa vive nello spazio tra il dubbio e l’imbarazzo di sollevarlo. Chiudere quello spazio è gratis e vale più di qualunque software.
Se vuoi la procedura scritta da appendere in amministrazione, scrivimi.
Fonti
- Il Giornale delle PMI, È boom di frodi basate sui deepfake, ma solo il 7% delle aziende è davvero pronto, 2026
- LineaEDP, Deepfake: boom di frodi, ma solo il 7% delle aziende è pronto, 2026
- Manager.it, Deepfake CEO: la guida essenziale al whaling del 2026, quota di imprese italiane con protocolli specifici
- ICT Security Magazine, Deepfake vocali: il caso Crosetto svela la nuova frontiera del cyber-crimine in Italia
I dati provengono da rilevazioni di operatori privati del settore sicurezza: sono indicativi della tendenza, non statistiche ufficiali.