Le frodi Business Email Compromise stanno cambiando. Non si basano più soltanto su un messaggio scritto male o su un dominio facilmente riconoscibile. Le campagne più evolute combinano informazioni pubbliche, impersonificazione, documenti credibili e contenuti generati con l’intelligenza artificiale per costruire richieste che, a prima vista, sembrano del tutto plausibili.
Un recente episodio riportato dalla stampa, relativo a un istituto finanziario italiano, ha riportato l’attenzione su questo tipo di minaccia. Le ricostruzioni disponibili descrivono una frode di importo rilevante, fondata soprattutto sulla manipolazione delle persone e dei processi autorizzativi. Trattandosi di fatti oggetto di verifiche e approfondimenti, è corretto evitare conclusioni definitive sulle responsabilità e concentrarsi invece sulle modalità di attacco rese note pubblicamente.
Il punto centrale è semplice: anche un’organizzazione dotata di tecnologie di sicurezza avanzate può essere esposta se una richiesta apparentemente legittima riesce a superare i controlli umani e procedurali. Firewall, sistemi EDR e strumenti di protezione della posta restano indispensabili, ma non possono sostituire processi di verifica solidi.
Un attacco costruito su più canali
Le campagne di social engineering più credibili non affidano tutto a un solo messaggio. L’attaccante può usare chat, telefonate, email e documenti per creare una storia coerente. Ogni passaggio sembra confermare quello precedente e riduce progressivamente la capacità del destinatario di fermarsi e mettere in dubbio la richiesta.
Lo schema tipico può svilupparsi in quattro fasi:
- Raccolta di informazioni: dati pubblici, comunicazioni aziendali, interviste, organigrammi e abitudini operative vengono utilizzati per rendere il pretesto credibile;
- Impersonificazione: il primo contatto simula una figura autorevole e introduce una richiesta urgente, riservata o strategica;
- Conferma apparente: un secondo canale, una telefonata o un altro interlocutore rafforza la narrazione e crea una falsa validazione;
- Formalizzazione: email, accordi o documenti contraffatti danno alla richiesta un aspetto professionale e spingono la vittima ad agire.
La forza di questo modello non sta nel singolo contenuto, ma nella coerenza complessiva dell’inganno. Quando più segnali puntano nella stessa direzione, la richiesta può apparire autentica anche a persone esperte.
Voice cloning e nuova CEO fraud
La sintesi vocale ha abbassato ulteriormente la soglia di accesso alle frodi di impersonificazione. Piccoli campioni audio disponibili online possono essere sufficienti per produrre una voce plausibile. Interviste, webinar, video e interventi pubblici rappresentano quindi una fonte utile per chi vuole imitare dirigenti o figure con potere autorizzativo.
La voce, però, non è una prova di identità. Anche una telefonata che sembra provenire da un numero noto può essere manipolata. Lo stesso vale per lo stile linguistico: i sistemi generativi possono riprodurre lessico, tono e formule tipiche di un settore, eliminando molti degli errori che in passato rendevano riconoscibile un tentativo di phishing.
Per questo la domanda non dovrebbe essere «riconosco questa persona?», ma «la richiesta è stata verificata secondo una procedura indipendente?».
Perché il recupero dei fondi è complesso
Nelle frodi finanziarie, il tempo è decisivo. Dopo l’autorizzazione, il denaro può essere trasferito attraverso più conti, intermediari e giurisdizioni. La frammentazione dei flussi rende più difficili il blocco e il recupero, soprattutto quando intervengono conversioni in asset digitali o servizi progettati per aumentare l’opacità delle transazioni.
Le informazioni pubbliche su singoli casi possono cambiare durante le indagini. Importi, destinazioni e somme recuperate devono quindi essere presentati con cautela e sempre collegati a fonti verificabili. Dal punto di vista della sicurezza, il dato più utile è un altro: dopo l’esecuzione del pagamento, le possibilità di intervento si riducono rapidamente. La prevenzione deve agire prima dell’autorizzazione.
Non un problema isolato, ma un modello replicabile
Le cronache degli ultimi anni mostrano tentativi simili in organizzazioni diverse per settore e dimensione. Cambiano il canale, il pretesto e il livello di sofisticazione, ma la logica resta la stessa: individuare una procedura critica, studiare chi può autorizzarla e creare una pressione sufficiente a far saltare i controlli.
Non è opportuno attribuire automaticamente episodi differenti allo stesso gruppo criminale senza conferme ufficiali. È però ragionevole osservare che tecniche come spoofing, vishing, documenti contraffatti e impersonificazione assistita dall’AI sono ormai disponibili e replicabili. Di conseguenza, devono essere considerate nel modello di rischio di qualsiasi organizzazione.
Human Zero Trust: verificare, non presumere
In Cyberoo parliamo di un approccio Human Zero Trust: l’identità dichiarata non viene accettata come prova, soprattutto quando la richiesta riguarda pagamenti, credenziali, dati sensibili o modifiche ai processi. Non significa diffidare delle persone. Significa proteggere persone e aziende con controlli che non dipendono dalla familiarità di una voce, dalla posizione gerarchica o dall’urgenza del momento.
Le misure più efficaci sono concrete:
- Verifica fuori banda: interrompere la conversazione e contattare il richiedente tramite un recapito aziendale già verificato, senza usare i riferimenti forniti nel messaggio sospetto;
- Doppia autorizzazione: prevedere almeno due approvatori indipendenti per operazioni sopra soglia o fuori dall’ordinario;
- Controllo dei nuovi beneficiari: applicare verifiche rafforzate quando cambiano conto, paese, intermediario o modalità di pagamento;
- Tempo di sicurezza: introdurre, dove compatibile con l’operatività, una pausa prima di eseguire disposizioni urgenti e anomale;
- Formazione continua: allenare dirigenti, amministrazione e tesoreria a riconoscere pressione psicologica, riservatezza forzata e abuso dell’autorità;
- Segnalazione semplice: offrire un canale rapido per chiedere una verifica senza timore di rallentare il business o contraddire un superiore.
Quattro regole operative
- L’urgenza non annulla i controlli. Se una richiesta impone di saltare una procedura, deve essere verificata con maggiore attenzione;
- La voce non autentica l’identità. Timbro, tono e numero visualizzato non sono fattori sufficienti per autorizzare un’operazione;
- Nessuno deve decidere da solo. La segregazione delle funzioni riduce il rischio di errore e manipolazione;
- Ogni anomalia va contestualizzata. Nuovi beneficiari, destinazioni insolite e cambi improvvisi meritano un controllo indipendente.
Dalla tecnologia alla resilienza organizzativa
Le frodi BEC evolute dimostrano che la sicurezza non può fermarsi al perimetro tecnologico. Servono monitoraggio, procedure chiare, consapevolezza e capacità di risposta. La tecnologia aiuta a individuare segnali anomali, ma è la qualità del processo a impedire che una richiesta plausibile diventi un danno reale.
La fiducia resta essenziale per lavorare. Proprio per questo deve essere protetta con verifiche semplici, ripetibili e indipendenti dal canale usato. In un contesto in cui voce, testo e documenti possono essere simulati, verificare non è un segno di diffidenza: è una responsabilità organizzativa.
