Dagli ospedali alle banche di Wall Street, tre truffatori hanno usato volti e audio sintetici per svuotare i conti delle aziende. L’inchiesta negli Stati Uniti svela la fine della fiducia visiva e telefonica nei pagamenti d'affari.
Il telefono squilla, sullo schermo compare il numero interno e la voce all'altro capo è inconfondibile: tono perentorio, stessa cadenza, identiche inflessioni dell'amministratore delegato. Il messaggio è chiaro e non ammette ritardi: c'è un'acquisizione strategica da chiudere entro poche ore, coperta da un accordo di massima segretezza. I dettagli per il bonifico, aggiunge il dirigente, arriveranno subito dall'avvocato che segue la trattativa. Pochi minuti dopo, il legale chiama confermando l'operazione e indicando l'IBAN su cui inviare i fondi.
È il copione con cui un gruppo criminale è riuscito a sottrarre circa 129 milioni di dollari a decine di organizzazioni internazionali. Una maxi-frode che ha portato la Procura federale di New York a incriminare tre cittadini stranieri — Jacob Soall, Sharon Hazan e Guy Sheetrit — arrestati in Europa e noti nel sottobosco digitale con pseudonimi quasi beffardi, da "Rocky Balboa" a "Superman Cash".
Il trucco del "doppio contatto"
La classica "truffa del CEO" esiste da anni e si basava solitamente su email camuffate con abilità. L'inchiesta americana mostra però un salto di qualità radicale: il fattore umano non viene più ingannato con un testo scritto, ma con l'illusione sensoriale.
Per costruire le esche, la banda ha scandagliato il web alla ricerca di interviste, registrazioni di conferenze stampa, podcast e video promozionali dei vertici aziendali. Bastano pochi minuti di audio pulito per "istruire" software commerciali di clonazione vocale in grado di replicare timbro e respiro di chiunque in tempo reale. In alcuni casi, il contatto è avvenuto persino tramite brevi videochiamate, con avatar sintetici capaci di muovere labbra e occhi in modo naturale.
La vera chiave del raggiro è stata la combinazione di due figure autorevoli. L'impiegato dell'ufficio finanziario non riceveva una richiesta isolata: prima veniva condizionato dall'autorità del finto manager, che imponeva riservatezza assoluta con i colleghi, e subito dopo veniva rassicurato dal finto avvocato esterno, che forniva una parvenza di legittimità tecnica e i dati per il pagamento. Schiacciato tra l'urgenza e il timore di far saltare un affare vitale per l'azienda, l'addetto ai pagamenti eseguiva.
Dagli ospedali alle banche d'affari
A cadere nella rete non sono state piccole imprese sprovvedute, ma strutture con flussi finanziari imponenti:
Sanità: quasi 5 milioni di dollari sono stati sottratti a una rete ospedaliera del Missouri, approfittando della burocrazia complessa e frammentata del settore.
Finanza e investimenti: oltre 11 milioni spariti da una piattaforma fintech nel Regno Unito, mentre circa 7 milioni sono stati drenati tra una banca regionale del Rhode Island e una società di gestione fondi in Massachusetts.
Manifattura e logistica: oltre 5 milioni prelevati dai conti di un marchio di alimenti per animali in Florida.
Una volta partiti, i capitali venivano frammentati su una catena di conti correnti internazionali intestati a prestanome e convertiti all'istante in criptovalute, rendendo quasi impossibile il tracciamento rapido da parte delle forze dell'ordine.
Il salvataggio in extremis e la lezione
La truffa non è infallibile, ma fa leva sulla pigrizia delle abitudini. L'unico episodio in cui il colpo è fallito si è verificato presso una banca d'investimento a New York: un dipendente, incaricato di autorizzare un bonifico urgente da quasi tre milioni di dollari, ha avuto un dubbio e ha contattato il vero dirigente su un canale alternativo — il cellulare personale registrato nella rubrica interna, non il numero da cui era arrivata la chiamata. L'operazione è stata bloccata a pochi secondi dall'invio.
Il caso segna uno spartiacque per la sicurezza aziendale. Di fronte a tecnologie accessibili a chiunque, la vista e l'udito non possono più essere considerati criteri affidabili di autenticazione. Nessun trasferimento di denaro, per quanto urgente o "riservato", può dipendere dalla sola conferma a voce di un superiore.
La risposta delle imprese non passa solo da sofisticati filtri digitali, ma da regole organizzative ferree: validazioni crittografiche obbligatorie, codici fisici di sicurezza e il principio della doppia firma indipendente per qualsiasi cifra oltre una certa soglia. Nell'era dell'inganno sintetico, la prima linea di difesa resta il dubbio metodico.
Fonti e documenti
Articolo originale di Gerardo Costabile, presidente iisfa · esperto di cybersecurity.
