La truffa Fideuram e la voce clonata: perché riconoscere chi parla non basta più

Arriva un messaggio WhatsApp dal vertice del gruppo: c’è un’operazione riservata all’estero, servono bonifici urgenti. Poco dopo squilla il telefono: è un avvocato che conoscete, con la sua voce di sempre, che vi conferma tutto e vi fa da tramite. Poi arrivano le email con le coordinate bancarie. Tutto torna.

Solo che nessuna di quelle persone vi ha mai scritto o chiamato.

È, in estrema sintesi, quello che è successo a Fideuram, la banca private del gruppo Intesa Sanpaolo. La vicenda è diventata pubblica il 25 settembre ed è stata ricostruita, tra gli altri, dal Post, dal Sole 24 Ore e da Cybersecurity360.

Cosa è successo

Secondo le ricostruzioni, a febbraio di quest’anno l’allora presidente di Fideuram, Paolo Molesini, ha ricevuto un messaggio WhatsApp che sembrava provenire da Carlo Messina, amministratore delegato di Intesa Sanpaolo. Il messaggio chiedeva, con urgenza e riservatezza, di disporre una serie di bonifici dalla tesoreria della banca per un’operazione internazionale.

A rendere credibile la richiesta è stata una telefonata successiva: dall’altra parte c’era una persona che si presentava come Paolo Nastasi, managing partner di uno studio legale internazionale, che Molesini conosceva. Gli investigatori ritengono che quella voce fosse stata riprodotta con strumenti di intelligenza artificiale. Infine, alcune email apparentemente dallo studio hanno fornito i dettagli dei conti su cui versare il denaro.

In totale sono usciti circa 95 milioni di euro, diretti soprattutto verso conti in Cina e Hong Kong. Una parte consistente è stata recuperata grazie alla collaborazione di banche estere, ma secondo quanto riportato almeno 36 milioni restano da rintracciare, probabilmente già convertiti in criptovalute. Molesini si è dimesso a marzo.

Non è una truffa “da banca”

Si potrebbe pensare che una storia del genere riguardi solo i grandi gruppi finanziari. Non è così. Lo schema è quello della CEO fraud (o “truffa del finto amministratore”), che in Security Smart incontriamo regolarmente anche in realtà molto più piccole: la segreteria di una scuola che riceve la richiesta “urgente” del dirigente, l’amministrazione di una PMI che deve pagare un fornitore con un IBAN “appena cambiato”, il tesoriere di un’associazione che riceve un messaggio dal presidente in viaggio.

Gli ingredienti sono sempre gli stessi:

• autorità: la richiesta arriva, o sembra arrivare, da qualcuno a cui non si dice di no;
• urgenza: bisogna agire subito, non c’è tempo per verificare;
• riservatezza: “non parlarne con nessuno”, così si evita che qualcuno faccia domande;
• canali informali: WhatsApp, telefono, email personali, fuori dalle procedure abituali.

La novità del caso Fideuram è un’altra: la conferma telefonica, che per anni abbiamo consigliato come controllo di sicurezza, in questo caso è stata essa stessa parte della truffa.

Il problema della voce

Come sottolinea Cybersecurity360 nella sua analisi, oggi una voce sintetica può imitare in modo convincente una persona reale. Per costruirla bastano spesso registrazioni già pubbliche: interviste, video, webinar, messaggi vocali. Dirigenti scolastici, presidenti di associazioni e titolari di PMI parlano in pubblico molto più di quanto pensino.

Il punto non è diventare esperti nel riconoscere i deepfake. È un’illusione: la qualità migliora di continuo e, al telefono, sotto pressione, nessuno ha modo di analizzare un audio. Il punto è smettere di usare la voce o il nome sul display come prova di identità quando in gioco ci sono soldi o dati.

Quando aiutiamo un cliente a rivedere i propri processi, il principio che cerchiamo di fissare è semplice: la verifica deve passare da un canale che l’attaccante non controlla. Se la richiesta arriva su WhatsApp, non si risponde su WhatsApp e non si richiama il numero che ci è stato dato: si chiama il numero che si ha già in rubrica, o si chiede di persona.

Il lato organizzativo (e normativo)

Una truffa di questo tipo raramente riesce perché “manca un software”. Riesce perché una sola persona può disporre un pagamento importante senza un secondo controllo, o perché le procedure esistono sulla carta ma vengono saltate “perché lo chiede il capo”.

Per chi rientra nella NIS2, la formazione del personale e le politiche di sicurezza nella gestione dei processi sono tra le misure che occorre adottare e poter dimostrare. E anche fuori dal perimetro NIS2, le stesse tecniche di manipolazione servono spesso a ottenere dati personali, non solo denaro: elenchi di studenti, dati di dipendenti, documenti di clienti. In quel caso si apre anche il tema della violazione di dati ai sensi del GDPR.

Cosa fare, in pratica

• Stabilite una regola di verifica “fuori canale”. Ogni richiesta di pagamento urgente, cambio IBAN o invio di dati riservati si conferma richiamando un numero già noto o parlando di persona, mai usando i contatti forniti nel messaggio stesso.
• Introducete il doppio controllo sui pagamenti. Sopra una certa soglia, nessuno dispone un bonifico da solo, nemmeno il titolare o il presidente. Deve essere una regola scritta e valere per tutti, soprattutto per i vertici.
• Concordate una parola di controllo. Tra le poche persone che possono autorizzare operazioni delicate, una domanda o una parola nota solo a loro è uno strumento semplice ed efficace contro le voci clonate.
• Rendete legittimo dire “aspetta, verifico”. Chi riceve una richiesta anomala deve sapere che fermarsi a controllare non sarà mai considerato un affronto, nemmeno se la richiesta viene davvero dal direttore.
• Allenate le persone su scenari realistici. Portate in formazione casi concreti come questo, inclusi messaggi WhatsApp e telefonate, non solo le classiche email di phishing: l’obiettivo è riconoscere lo schema (autorità, urgenza, segretezza), non il singolo trucco tecnico.

Matteo Gianniello — Consulente privacy e cyber security