Il falso amico: truffe d’identità, finti capi e deepfake, e come fermarle

Chi attacca una persona raramente comincia dalla tecnologia. Comincia da una conversazione. Il bersaglio non è il telefono, è la fiducia: se una persona crede di parlare con un amico, con il direttore o con un familiare, esegue di sua iniziativa quello che nessun sistema di sicurezza le avrebbe fatto fare.

È anche il motivo per cui questo tipo di truffa cresce. Nel rapporto 2025 dell’FBI sui crimini online, la sola frode d’investimento ha superato 8,6 miliardi di dollari di perdite dichiarate, e il rapporto, per la prima volta, isola le denunce in cui compare l’intelligenza artificiale: oltre 22.000, con circa 893 milioni di dollari di perdite. Sono dati americani e basati su segnalazioni volontarie, quindi sottostimano il fenomeno, ma mostrano l’ordine di grandezza e la direzione.

Il meccanismo: tre passaggi

Chi conosce questi ambienti descrive quasi sempre la stessa sequenza. Sono testimonianze, che non possiamo verificare una per una, ma coincidono con le categorie di frode che le autorità registrano da anni: truffe romantiche e di fiducia, frodi d’investimento, impersonificazione di dirigenti.

1. Costruzione della fiducia. L’interlocutore, a volte un software, scrive per giorni o mesi. Fa domande aperte, quelle a cui non si risponde con un sì o un no, per tenere viva la conversazione e capire chi sei.
2. Profilo della vittima. Si incrociano profili pubblici e dati usciti da vecchie violazioni, per sapere dove vivi, dove lavori, che cosa ti interessa, di che cosa hai paura. Più l’interlocutore sembra conoscerti, più sembra affidabile.
3. Passaggio a un operatore. Quando la probabilità di successo sembra alta, la conversazione passa a una persona che porta la vittima verso il link, il pagamento, la «piattaforma di investimento» o l’app da installare.

Il costo per chi attacca è minimo: lo stesso sistema può gestire molte conversazioni insieme, e se una vittima non abbocca ne arrivano altre. Per questo conta il comportamento, più del singolo messaggio. Un testo ben scritto non è un segnale di sicurezza: oggi chiunque può scrivere in un italiano impeccabile.

La versione aziendale: la lettera cambiata

Contro le imprese lo schema si chiama business email compromise, in sigla BEC. Chi attacca studia chi lavora in amministrazione e come sono fatte le richieste di pagamento. Registra un indirizzo con una o due lettere diverse da quello vero e scrive imitando lo stile del titolare o di un fornitore. Se i colleghi usano una chat, nella chat si fa lo stesso. L’addetta esegue per abitudine, perché la richiesta sembra identica alle cento precedenti.

Nel rapporto 2025 dell’FBI il BEC risulta uno dei reati con le perdite più alte: circa 3,05 miliardi di dollari su quasi 25.000 segnalazioni. Le denunce di BEC in cui era presente l’intelligenza artificiale, per esempio testi generati o voci clonate, valgono oltre 30 milioni di dollari. Il numero sembra piccolo accanto al totale, ma è il primo anno in cui l’FBI lo misura a parte.

Una variante frequente è il cambio di IBAN: un fornitore «comunica» le nuove coordinate bancarie. Non serve entrare in nessun computer, basta arrivare prima di chi controlla, oppure scrivere da una casella davvero compromessa. A questo scenario è dedicata anche la guida su furto di sessione e passkey, perché spesso il messaggio «del fornitore» parte da un account vero, rubato.

Quando anche voce e volto sono falsi

Nel gennaio 2024 un dipendente della sede di Hong Kong della società di ingegneria Arup ha partecipato a una videochiamata con quelli che sembravano il direttore finanziario e altri colleghi. Erano tutti ricostruzioni fatte con l’intelligenza artificiale. Seguendo le istruzioni, ha eseguito 15 bonifici verso cinque conti, per 200 milioni di dollari di Hong Kong, circa 25,6 milioni di dollari. La polizia di Hong Kong ha spiegato che immagini e voci erano state ricavate da materiale pubblico. L’inganno è emerso quando il dipendente ha contattato la sede centrale.

Il caso mostra due cose. Una videochiamata non basta più come prova d’identità. E la richiesta era riservata e urgente, le due leve preferite da chi truffa. Per questo la difesa non può essere «imparare a riconoscere i deepfake»: i sistemi migliorano più in fretta di quanto cambino le nostre abitudini.

Cinque regole che funzionano anche se l’inganno riesce

Sono regole di procedura. Non chiedono di accorgersi di nulla: funzionano anche se la contraffazione è perfetta.

1. Richiamata su un numero già noto. Per ogni pagamento nuovo, ogni cambio di IBAN o ogni richiesta fuori routine, chiama la persona su un numero che avevi prima della richiesta, mai su quello indicato nel messaggio. Per un familiare: riattacca e richiama dal numero in rubrica.
2. Doppia approvazione sopra una soglia. Chi dispone il bonifico e chi lo autorizza sono due persone diverse, e almeno una non ha partecipato alla conversazione. Anche in una microimpresa: titolare e commercialista possono bastare.
3. Attesa per i beneficiari nuovi. Un conto mai usato prima non riceve somme importanti nello stesso giorno. Il ritardo fa perdere l’urgenza a chi la fabbrica, e dà tempo a una verifica.
4. Segreto e fretta sono segnali. Una richiesta che chiede di non dirlo a nessuno, «perché è riservato», va verificata proprio per questo. Nessuna operazione legittima salta i controlli per rispetto della riservatezza.
5. Una domanda a cui risponde solo chi è davvero lì. Tra familiari e colleghi stretti funziona un fatto privato o una parola concordata. Va scelta in anticipo e mai scritta in chat, perché una risposta improvvisata si può cercare online.

Chi si occupa di sicurezza consiglia anche di chiedere all’interlocutore in video di passarsi una mano davanti al viso, perché i filtri meno raffinati sbagliano i contorni. Considerala un controllo in più, non una prova: i sistemi migliorano e un esito pulito non garantisce nulla. Le regole sopra non dipendono dal riconoscere la contraffazione, ed è per questo che reggono.

Segnali per fermarsi un minuto

Nessuno di questi segnali basta da solo, ma due insieme sono un buon motivo per sospendere e verificare:

• La conversazione passa su un altro canale, spesso una chat cifrata, subito dopo i primi scambi.
• Ti si chiede un’azione che non hai mai fatto con quella persona: un pagamento, un codice ricevuto per SMS, l’installazione di un’app.
• C’è una scadenza vicina, un premio, una penale o un’occasione che «chiude oggi».
• Si chiede riservatezza, anche verso colleghi, famigliari o la banca.
• L’operazione usa un canale insolito: criptovalute, buoni regalo, un conto estero o un IBAN diverso da quello di sempre.

Se il bonifico è già partito

I primi minuti contano più di tutto il resto.

1. Chiama subito la banca dal numero ufficiale e chiedi il richiamo o il blocco dell’operazione. I bonifici istantanei si eseguono in pochi secondi e, una volta partiti, il recupero dipende dalla collaborazione della banca del beneficiario: non è garantito, ma più si è rapidi più sono le possibilità.
2. Conserva tutto: email con le intestazioni complete, chat, schermate, IBAN, orari. Non cancellare nulla, nemmeno la conversazione che ti vergogni di aver tenuto.
3. Presenta denuncia presso un ufficio di polizia, portando le prove: le indicazioni aggiornate della Polizia Postale sono sul sito del Commissariato di P.S. online. Più la denuncia è precisa, più le banche e gli inquirenti possono agire.
4. In azienda, avvisa chi può essere il prossimo bersaglio: spesso la stessa persona viene contattata più volte, con pretesti diversi.
5. Cambia le password dei conti coinvolti e verifica le regole di inoltro della posta, come spiegato nella guida sul furto di sessione.

Domande frequenti

Fonti

• FBI Internet Crime Complaint Center, Internet Crime Report 2025
• CNN, British engineering giant Arup revealed as $25 million deepfake scam victim (16 maggio 2024)
• Polizia di Stato, Commissariato di P.S. online
• Racconti di chi lavora o ha lavorato in questi ambienti: sono testimonianze, riportate come tali e non come fatti verificati.