Per anni la cyber security è stata sinonimo di firewall, antivirus e protezione perimetrale. Oggi lo scenario è cambiato: i criminali informatici hanno capito che è più redditizio e meno rischioso aggirare le difese tecniche e colpire direttamente la governance finanziaria, prendendo di mira chi ha il potere di autorizzare un bonifico. Business Email Compromise, deepfake vocali e video generati dall’intelligenza artificiale stanno trasformando le frodi aziendali, e molte PMI restano impreparate perché continuano a investire solo su strumenti tradizionali.
Il cambio di paradigma: dall’infrastruttura alla governance
L’attenzione delle aziende, soprattutto piccole e medie, è ancora concentrata sulla sicurezza degli accessi e sulla protezione dei dispositivi. Firewall, antimalware e autenticazione a più fattori vengono considerati un baluardo sufficiente. La realtà è che gli attacchi più efficaci oggi bypassano completamente questi livelli, sfruttando la fiducia e i processi interni. Non serve forzare una rete se si può convincere un CFO a effettuare un pagamento con una semplice email o una telefonata apparentemente autentica. La superficie d’attacco si sposta così dai sistemi informatici alla catena decisionale umana, rendendo cruciale la governance dei processi di pagamento.
BEC e deepfake: le armi della nuova cyber criminalità
La Business Email Compromise (BEC) non è una novità, ma le tecniche si sono raffinate. Gli aggressori studiano organigrammi, abitudini e relazioni interne, per poi inviare richieste di bonifico urgenti che sembrano provenire da amministratori delegati o partner di fiducia. La combinazione con deepfake audio e video rende la truffa ancora più insidiosa: la voce del CEO o la sua immagine in una videochiamata possono essere sintetizzate in modo convincente, eliminando ogni sospetto. In molti casi, il dipendente autorizza il pagamento senza esitare, perché la richiesta appare perfettamente legittima.
PMI più esposte: investimenti sbagliati e falsa sicurezza
Le piccole e medie imprese italiane destinano budget significativi alla sicurezza IT, ma raramente strutturano procedure di controllo per i pagamenti. Molte realtà si affidano a un’unica persona per la tesoreria, senza prevedere doppie verifiche o autorizzazioni incrociate per importi superiori a una certa soglia. Questa debolezza organizzativa è amplificata dall’uso di strumenti di messaggistica informale per confermare disposizioni urgenti. Il risultato è un ambiente dove un singolo errore umano può causare perdite finanziarie enormi, senza che gli attaccanti debbano scrivere una riga di codice malevolo.
L’AI come acceleratore di minacce
L’intelligenza artificiale generativa ha democratizzato la creazione di contenuti ingannevoli. Oggi chiunque può produrre email con un livello di personalizzazione e correttezza linguistica quasi perfetto, superando i tradizionali indicatori di phishing come errori grammaticali o formattazioni sospette. Le tecnologie di sintesi vocale e video consentono di clonare volti e voci con pochi minuti di campione, rendendo i deepfake accessibili anche a gruppi criminali con risorse limitate. Questo innalzamento della qualità media degli attacchi costringe le aziende a ripensare la fiducia nei canali di comunicazione.
Cosa significa per chi legge
La protezione non può più limitarsi alla tecnologia: deve coinvolgere processi, persone e consapevolezza. Ecco tre punti pratici:
- Introdurre autorizzazioni a più livelli: per pagamenti sopra una certa cifra, prevedere sempre la validazione di almeno due persone, meglio se con canali separati.
- Formazione specifica per chi gestisce la tesoreria: simulare scenari di BEC e deepfake, insegnare a riconoscere le richieste anomale e a verificare sempre con un contatto telefonico indipendente.
- Istituire procedure di verifica vincolanti: ogni modifica urgente delle coordinate bancarie o delle istruzioni di pagamento deve passare attraverso un codice di autenticazione condiviso offline, mai solo via email o chat.
Investire in governance finanziaria e nella preparazione del personale è oggi l’unica strada per contenere un rischio che i firewall, da soli, non possono fermare.