Truffa del finto CEO: la voce clonata con l’AI

La CEO fraud potenziata dalla clonazione vocale rappresenta oggi una delle minacce a più rapida diffusione nel panorama delle frodi ai danni delle imprese. Gli autori impiegano software di sintesi vocale, ormai ampiamente accessibili e altamente realistici, per replicare la voce di un amministratore delegato e indurre un addetto alla contabilità a disporre un bonifico urgente verso un conto sotto il loro controllo. Non si tratta di uno scenario ipotetico, bensì di episodi concreti e documentati dalle testate specializzate, che colpiscono organizzazioni di ogni dimensione. Di seguito si illustrano il funzionamento della frode, gli indicatori di rischio e le misure di tutela del patrimonio aziendale, secondo la prospettiva di chi conduce indagini in ambito d’impresa.

Le più recenti analisi sulle applicazioni aziendali della sintesi vocale avanzata evidenziano quanto tali strumenti siano diventati fruibili e verosimili. La medesima tecnologia impiegata a fini di marketing e assistenza clienti si trasforma, nelle mani degli autori di frodi, in uno strumento offensivo di notevole efficacia. Per chi opera professionalmente nel contrasto alle frodi aziendali, si tratta di un’evoluzione che impone alle imprese una revisione integrale dei propri protocolli di sicurezza.

Come funziona la truffa della voce clonata

Il meccanismo integra ingegneria sociale e componente tecnologica. L’autore acquisisce campioni audio della voce di un dirigente: sono sufficienti pochi secondi estratti da un’intervista, da un video promozionale, da un webinar o persino da un messaggio vocale. Su tali frammenti viene addestrato un modello di intelligenza artificiale in grado di riprodurne timbro, cadenza e inflessioni.

A quel punto interviene la leva psicologica. La chiamata perviene in un momento di pressione operativa, tipicamente a fine giornata o in concomitanza con l’assenza dei responsabili. Vengono invocate la riservatezza assoluta (“non ne parli con nessuno”), l’urgenza inderogabile (“scade entro un’ora”) e l’autorità gerarchica (“me ne assumo io la responsabilità”). L’addetto, convinto di interloquire con un superiore, omette i controlli ordinari.

Il livello di sofisticazione può risultare ulteriormente elevato: e-mail preparatorie che simulano l’account aziendale, riferimenti a operazioni effettivamente in corso, coinvolgimento di più figure per accrescere la verosimiglianza dell’inganno. Si tratta di una regia pianificata, non di un’azione improvvisata.

Perché le aziende sono vulnerabili

La criticità non è di natura tecnologica, bensì organizzativa. Numerose imprese continuano a fondare le autorizzazioni di pagamento sulla fiducia personale e sul riconoscimento della voce. Fintanto che una voce risultava difficilmente falsificabile, tale prassi poteva ritenersi adeguata. Oggi non lo è più.

• Assenza di procedure di verifica: ordini di pagamento straordinari approvati attraverso un unico canale di conferma.
• Eccessiva esposizione pubblica: contenuti audio e video dei dirigenti liberamente reperibili online, materia prima ideale per la clonazione.
• Cultura dell’urgenza: contesti in cui contestare un ordine del vertice viene percepito come inefficienza.
• Formazione carente: personale amministrativo non aggiornato su queste tecniche emergenti.

La frode informatica ai danni delle imprese ha peraltro già prodotto riscontri anche sul piano del diritto del lavoro: la giurisprudenza si è ripetutamente pronunciata su bonifici disposti per errore o a seguito di raggiro, valutando la responsabilità del dipendente e la legittimità delle relative conseguenze disciplinari.

Le difese concrete che ogni impresa dovrebbe adottare

L’aspetto rilevante è che questa tipologia di frode si previene mediante misure organizzative essenziali, che non richiedono ingenti investimenti tecnologici, bensì disciplina e coerenza applicativa.

1. Il principio del doppio canale

Nessun pagamento straordinario dovrebbe essere disposto sulla base di un’unica comunicazione. A fronte di una richiesta urgente pervenuta via telefono o e-mail, la conferma deve essere acquisita attraverso un canale differente e verso un contatto già noto: una richiamata al numero interno ufficiale, mai a quello indicato nella richiesta medesima.

2. Parole di sicurezza condivise

Per le operazioni sensibili è opportuno concordare preventivamente domande di controllo o codici verbali noti esclusivamente ai soggetti autorizzati. Una voce clonata non può conoscere la risposta a un quesito personale mai reso pubblico.

3. Procedure scritte e soglie di autorizzazione

Definire formalmente le competenze autorizzative, i limiti di importo e i regimi di firma congiunta neutralizza l’efficacia dell’urgenza artificiale. Ove la regola preveda una doppia firma oltre una determinata soglia, nessuna telefonata potrà eluderla.

4. Formazione del personale

Il personale adeguatamente formato costituisce la prima barriera difensiva. La consapevolezza dell’esistenza della clonazione vocale e della falsa autorità consente di non soccombere alla pressione della chiamata.

Quando serve l’investigatore: prove e limiti di legge

Qualora una frode si sia già verificata o emergano indicatori di un tentativo, l’impresa necessita di ricostruire i fatti in forma utilizzabile. In tale ambito si inserisce l’attività investigativa aziendale, che deve tuttavia operare entro perimetri normativi rigorosi.

Il compito dell’investigatore è raccogliere e documentare elementi idonei ad assumere valore in sede giudiziaria o disciplinare. Ciò impone il rispetto delle regole: conformità alla normativa sulla protezione dei dati personali, divieto di controlli occulti indiscriminati sui lavoratori e osservanza delle garanzie previste dallo Statuto dei lavoratori. Una prova acquisita in violazione della privacy o mediante intercettazioni illecite rischia di essere dichiarata inutilizzabile, compromettendo l’intera azione.

Nei casi di frode l’indagine si concentra su elementi leciti: analisi dei flussi documentali, ricostruzione delle comunicazioni aziendali, verifica di eventuali complicità interne, esame delle modalità con cui gli autori hanno ottenuto informazioni riservate. Frequentemente, infatti, dietro una frode esterna si cela una fuga di informazioni interna, tema contiguo a quello dello spionaggio industriale e della tutela dei segreti d’impresa.

Ove emergano responsabilità riconducibili a personale infedele, l’indagine può accertare condotte che eccedono la mera negligenza. In tali circostanze l’attività investigativa si interseca con quella relativa al dipendente infedele, al fine di accertare eventuali connivenze.

Un investimento in prevenzione, non in cura

L’indicazione dirimente è che, a fronte di queste frodi, la difesa più efficace precede il danno. Rivedere le procedure interne, mappare le informazioni sensibili e formare il personale comporta un costo incomparabilmente inferiore rispetto a un bonifico perduto. Le indagini aziendali possono peraltro assolvere una funzione preventiva, supportando l’impresa nell’individuazione delle proprie vulnerabilità prima che vengano sfruttate.

Domande frequenti

La clonazione della voce è davvero alla portata dei truffatori?

Sì. Gli strumenti di sintesi vocale sono diventati accessibili e richiedono pochi secondi di audio per produrre imitazioni convincenti. Ecco perché non è più prudente autorizzare pagamenti fidandosi solo del riconoscimento della voce.

Cosa deve fare l’azienda se scopre di aver subito questa frode?

Agire subito: bloccare o richiamare il bonifico contattando la banca, conservare ogni traccia (e-mail, registri delle chiamate, messaggi), denunciare alle autorità e affidarsi a professionisti per ricostruire la dinamica ed escludere complicità interne.

Un investigatore può ascoltare le telefonate dei dipendenti per prevenire le frodi?

No, le intercettazioni delle comunicazioni sono vietate e le prove così ottenute sono inutilizzabili. L’attività investigativa deve rispettare la privacy e lo Statuto dei lavoratori, concentrandosi su elementi raccolti lecitamente.

Il dipendente che esegue il bonifico ingannato è responsabile?

Dipende dal caso concreto. La giurisprudenza ha valutato in modo diverso le situazioni a seconda della gravità della negligenza e del rispetto delle procedure aziendali. Avere protocolli scritti chiari aiuta a distinguere l’errore scusabile dalla colpa grave.

Come si riduce l’esposizione dei dirigenti alla clonazione vocale?

Limitando la diffusione incontrollata di audio e video, ma soprattutto adottando procedure che non dipendano dal riconoscimento della voce: doppia conferma, parole di sicurezza e firme congiunte per le operazioni rilevanti.

Queste misure valgono solo per le grandi aziende?

No. Anche le piccole e medie imprese sono bersagli frequenti, spesso perché considerate meno protette. Le procedure di verifica costano poco e proteggono qualsiasi realtà, indipendentemente dalle dimensioni.

Fonti: AI4Business e Economyup.