Truffe con l'intelligenza artificiale: la voce del titolare, l'IBAN cambiato, e come fermarle

Per vent'anni abbiamo insegnato a riconoscere le truffe dai segnali sbagliati: l'italiano approssimativo, il logo sgranato, il saluto generico. Erano indizi utili e adesso non ci sono più. Un modello linguistico scrive in italiano migliore di quello di molte comunicazioni aziendali vere, e costa niente.

Il punto di questo articolo è che il criterio con cui riconoscevamo una truffa era fragile fin dall'inizio, perché guardava la forma. Quello che regge guarda la richiesta.

Le tre forme che vedo più spesso

1. Il cambio di IBAN. Arriva una email da un fornitore vero, sul filo di una conversazione vera, che comunica nuove coordinate bancarie per la fattura in scadenza. Spesso la casella del fornitore è stata davvero violata, quindi il mittente è autentico e la conversazione precedente esiste.
2. La richiesta del titolare. Un messaggio, o una chiamata con la sua voce, che chiede un bonifico urgente e riservato: un'occasione da chiudere, un fornitore da sbloccare, e la raccomandazione di non parlarne con nessuno.
3. La falsa assistenza. Qualcuno chiama dicendo di essere della banca, del fornitore del gestionale o del reparto informatico, e chiede di installare un programma o di leggere un codice arrivato per SMS.

Hanno in comune tre elementi, e sono sempre gli stessi: c'è un'urgenza, c'è una richiesta di riservatezza, e c'è un movimento di denaro o di credenziali. Quando compaiono insieme, la probabilità che sia una truffa è alta a prescindere da quanto sia credibile la forma.

Cosa ha cambiato l'IA, in pratica

L'ultima riga è quella che riguarda direttamente le piccole imprese. Finché costruire una truffa mirata richiedeva ore di lavoro umano, aveva senso solo su bersagli grossi. Ora il costo per bersaglio è crollato, e le aziende piccole sono diventate un obiettivo economicamente sensato.

La regola che ferma tutte e tre

Una sola, scritta, valida per tutti e senza eccezioni per nessuno:

Regge contro tutte e tre le forme perché non dipende da quanto è credibile il messaggio: chi lo riceve non deve giudicare, deve solo eseguire una verifica. E toglie di mezzo il meccanismo su cui la truffa si regge, cioè la fretta.

La parte difficile non è scriverla, è renderla accettabile. Vanno dette due cose alle persone, esplicitamente e da chi comanda: che nessuno sarà mai rimproverato per aver verificato una richiesta, e che il titolare non chiederà mai un pagamento urgente e riservato aggirando la procedura. Senza queste due frasi la regola salta al primo caso in cui sembra scortese applicarla, che è esattamente il caso costruito apposta.

Le difese tecniche che aiutano

Non risolvono da sole, ma tolgono di mezzo una parte dei tentativi prima che arrivino a una persona:

• Autenticazione a più fattori su tutte le caselle. Nel caso del cambio IBAN il punto d'ingresso è quasi sempre una casella violata, spesso quella del fornitore.
• SPF, DKIM e DMARC configurati sul proprio dominio, che impediscono a un estraneo di scrivere fingendosi il tuo indirizzo.
• Avviso automatico sui messaggi provenienti dall'esterno, che smaschera l'indirizzo somigliante al tuo.
• Controllo periodico delle regole di inoltro nelle caselle: chi entra in una casella spesso imposta un inoltro silenzioso per seguire le conversazioni.
• Doppia firma sui bonifici sopra una certa soglia, decisa in banca. È la difesa più efficace in assoluto, perché non dipende da nessuna valutazione.

Se è già successo

1. Chiamare subito la banca e chiedere il richiamo del bonifico. Le prime ore contano: dopo, i fondi vengono smistati e diventano irrecuperabili.
2. Sporgere denuncia. Serve per la banca, per l'assicurazione e per l'eventuale procedura di recupero.
3. Cambiare le credenziali delle caselle coinvolte e invalidare le sessioni attive, non solo la password.
4. Verificare le regole di inoltro e le deleghe sulla casella, perché spesso chi è entrato le ha modificate.
5. Avvisare il fornitore o il cliente coinvolto: se la casella violata è la sua, sta succedendo anche ad altri e non lo sa.

Il primo punto è il solo che ha una scadenza. Tutto il resto si può fare con calma, quello no.