La frode del CEO adesso ha anche la sua voce

Una telefonata del direttore generale che chiede un bonifico urgente e riservato non è una truffa nuova. Il nuovo è che la voce al telefono possa sembrare davvero la sua.

Lo scrive la Polizia Postale e per la Sicurezza Cibernetica nel report annuale 2025: l’intelligenza artificiale sta facendo evolvere la frode del CEO. I criminali raccolgono da fonti aperte informazioni sulla persona da imitare, ne ricreano la voce o i movimenti e, nei panni del falso amministratore, chiedono a un dirigente di effettuare uno o più bonifici per un’operazione presentata come «riservata e urgente».

È la truffa di sempre con un travestimento migliore. Per questo le difese che funzionano sono quelle di sempre, applicate senza eccezioni.

Che cosa dicono le fonti istituzionali

La Polizia Postale, nello stesso report, scrive che le frodi BEC e CEO fraud restano pericolose e ne descrive il meccanismo: qualcuno si spaccia per un dirigente o un amministratore e spinge il personale interno ad autorizzare pagamenti urgenti o a consegnare dati riservati. Nel 2025, il cybercrime economico-finanziario ha registrato 27.085 casi trattati.

Europol, nella valutazione IOCTA 2026 pubblicata il 28 aprile, indica le frodi online come l’area della criminalità organizzata che cresce più rapidamente. L’AI generativa, secondo l’agenzia, ha continuato ad accelerarle: fra gli esempi cita l’impersonificazione di operatori bancari o di forze dell’ordine e un realismo maggiore nelle frodi BEC e del CEO.

L’ENISA, nel Threat Landscape 2026, pubblicato il 22 settembre e dedicato agli incidenti del 2025, scrive che le frodi, come la compromissione delle email aziendali e il dirottamento dei pagamenti, sono rimaste diffuse. Fra le tecniche osservate, segnala l’aumento dell’AI generativa e dei video deepfake utilizzati per impersonare contatti di fiducia.

Negli Stati Uniti, l’FBI, nel rapporto annuale 2025 dell’Internet Crime Complaint Center, ha registrato oltre 22.000 denunce relative all’AI e perdite superiori a 893 milioni di dollari. Per le frodi BEC in cui è coinvolta l’AI, le aziende hanno denunciato perdite per oltre 30 milioni; per le truffe in cui una voce clonata imita un familiare in difficoltà, oltre 5 milioni. Il 20 luglio 2026, un nuovo avviso dell’FBI ha descritto video falsi di alti dirigenti del Bureau, voci clonate e numeri di telefono falsificati.

Che cosa ci dicono quei numeri

Nello stesso rapporto, le frodi BEC rappresentano, nel complesso, oltre 3 miliardi di dollari in perdite denunciate. La quota di vittime che hanno indicato un ruolo dell’AI è bassa. L’FBI osserva, a proposito delle truffe sugli investimenti, che molte vittime non si accorgono di quanto l’AI sia coinvolta.

Io ne ricavo una conclusione pratica: non conviene fondare la difesa sulla capacità di riconoscere un falso. L’FBI elenca segnali utili, come ritardi nella chiamata, un tono o parole insolite, anomalie nel video. Vanno insegnati. Ma la tecnica migliora, e un orecchio allenato oggi può non bastare domani. Quello che regge è la procedura.

Tre contromisure che funzionano

Una parola d’ordine. L’FBI consiglia alle famiglie di concordare una parola o una frase segreta per verificare chi sta chiamando. Funziona anche in azienda, per le richieste che arrivano fuori dai canali normali. Non va scritta né in chat né in email.

La richiamata su un numero noto. L’FBI e la Polizia Postale indicano la stessa mossa: chiudere la comunicazione e richiamare la persona o l’ente al numero che si possiede già o che si trova sul sito ufficiale. Mai quello fornito da chi chiama: il numero visualizzato può essere falsificato.

La doppia autorizzazione dei pagamenti. Europol, nel suo materiale di prevenzione sulla frode del CEO, segnala che al dipendente viene chiesto proprio di non seguire le normali procedure di autorizzazione, e raccomanda di applicarle senza saltare passaggi anche sotto pressione. Due persone che approvano ogni bonifico oltre una soglia, e una regola scritta: nessuno, nemmeno l’amministratore, può chiedere di saltarle.

Suggerisco sempre di verificare. Che si tratti di una notizia, di una richiesta o di un ordine, verificate sempre. Nell’era dei social si crede a tutto, anche agli asini che volano. Imparate a mettere sempre in dubbio quel che leggete o richieste che vi arrivano sia per telefono o per email (o addirittura per SMS). E attivate sempre, a prescindere, i limiti di spesa giornalieri e, soprattutto, la doppia autorizzazione.

Il primo passo, questa settimana

In azienda basta una pagina: la soglia oltre la quale servono due firme, i numeri da usare per le richiamate e una frase dell’amministratore che attesti che non chiederà mai di saltare la procedura. In famiglia, cinque minuti a cena per scegliere la parola.

Nessuna delle tre misure richiede tecnologia. Richiedono solo di essere decise prima che arrivi la telefonata.

Se il pezzo ti è servito, scrivimi: mi interessa sapere quale delle tre hai già in uso.