SOCIAL ENGINEERING 2.0: L’AI LANCIA L’ESCA, TU NON ABBOCCARE

L'evoluzione del crimine informatico: perché le nuove insidie della rete non sono mai state così sofisticate.

Social Engineering 2.0
Una volta era facile riconoscere una truffa online: email scritte male, richieste strane, messaggi poco credibili. Oggi non è più così. Le truffe sono diventate eleganti, coerenti, perfettamente plausibili. E il motivo è semplice: l’intelligenza artificiale.

Nel 2019, il CEO di una società energetica britannica ha ricevuto una telefonata dal suo capo. Voce familiare, tono naturale, richiesta urgente: autorizzare un bonifico. Tutto sembrava normale. Ha eseguito. Solo dopo si è scoperto che quella voce era stata generata da un sistema di AI, capace di imitare perfettamente il modo di parlare del dirigente.

Nel 2023, una multinazionale (il caso è stato reso pubblico nel 2024 e riguarda Hong Kong) è stata vittima di una truffa estremamente sofisticata basata su deepfake in tempo reale.
Tutto inizia in modo apparentemente innocuo: un dipendente del team finance riceve un messaggio che lo invita a partecipare a una videochiamata interna per discutere alcune operazioni urgenti. Nulla di strano. Succede ogni giorno. Durante la call, il dipendente vede il CFO dell’azienda, insieme ad altri colleghi del team. Il contesto è perfettamente coerente con la realtà aziendale. Le persone parlano, si muovono, interagiscono. La riunione scorre in modo naturale, senza alcun segnale sospetto. A un certo punto, il CFO, o meglio, quello che sembra il CFO, chiede di procedere con alcune transazioni urgenti e riservate. La richiesta è plausibile, il contesto è corretto, le persone sono quelle “giuste”. Il dipendente esegue. Solo dopo emerge la verità: nessuna delle persone presenti nella call era reale. I volti erano deepfake generati dall’intelligenza artificiale. Le voci sintetiche, ma perfettamente credibili. L’interazione costruita con cura per sembrare autentica. In altre parole, non era una riunione. Era una simulazione.

Questo è il nuovo volto del social engineering: non più tentativi goffi di inganno, ma simulazioni credibili della realtà. L’AI permette agli attaccanti di studiare le persone, analizzare i contesti, imitare voci e comportamenti. Non devono più convincerti con qualcosa di strano. Devono solo sembrare autentici.

E qui sta il punto: il problema non è tecnologico, è umano. Quando riceviamo una richiesta urgente da qualcuno che riconosciamo, il nostro cervello tende ad agire subito. È naturale. Ma è anche esattamente ciò che viene sfruttato.

Viviamo in un mondo dove lavoriamo da remoto, comunichiamo via email e partecipiamo a call ogni giorno. La fiducia è diventata digitale. E oggi può essere facilmente falsificata. Una voce non è più una prova. Un video non è più una garanzia. Un messaggio ben scritto non è più un segnale di autenticità.

Questo non significa diventare paranoici, ma più consapevoli. Fermarsi un attimo, verificare una richiesta importante su un altro canale, non lasciarsi guidare dall’urgenza. Piccole azioni che fanno una grande differenza. Perché oggi il vero rischio non è ciò che sembra sospetto. È ciò che sembra perfettamente normale.

E forse la competenza più importante, nell’era dell’AI, non è riconoscere una truffa… ma capire quando è il momento di non fidarsi subito.

Come riconoscere una truffa (anche quando sembra perfetta)

1. Urgenza sospetta
Se qualcuno ti chiede di agire subito, fare un bonifico, inviare dati, cliccare un link , fermati. L’urgenza è il trucco più usato perché riduce la tua capacità di ragionare. Regola pratica: se è urgente, merita verifica. Non velocità.

2. Autorità “troppo diretta”
Messaggi da CEO, direttori o clienti importanti che richiedono azioni insolite sono un classico. Oggi possono sembrare realissimi (email perfette, voce identica).Chiediti: questa richiesta è coerente con il modo in cui quella persona comunica di solito?

3. Contesto realistico… ma leggermente “fuori posto”
Le truffe moderne sono ben costruite, ma spesso hanno piccoli dettagli strani:

• orari insoliti
• richieste fuori processo
• cambi improvvisi di modalità (es: “scrivimi su WhatsApp invece che email”).

Come proteggersi davvero

1. Verifica sempre su un secondo canale
È la difesa più potente in assoluto. Ricevi una richiesta delicata? Chiama la persona. Scrivile su un altro canale. Conferma. Mai fidarsi di una sola fonte, soprattutto se digitale.

2. Rallenta intenzionalmente
Gli attacchi funzionano perché ti fanno reagire. Tu devi fare l’opposto: rispondere, non reagire. Anche solo 2 minuti di pausa possono salvarti.

3. Definisci regole chiare (soprattutto in azienda)
Esempi: nessun bonifico senza doppia approvazione nessuna condivisione dati sensibili via email sempre conferma vocale per richieste critiche. Le procedure battono l’improvvisazione.

4. Allena il “dubbio sano”
Non serve diventare paranoici, ma nemmeno ingenui. La domanda giusta oggi non è: “sembra vero?” Ma: “è stato verificato?”

5. Proteggi la tua presenza online
Meno informazioni pubbliche = meno materiale per gli attaccanti. Attenzione a cosa condividi su LinkedIn Evita dettagli su ruoli, processi interni, gerarchie Occhio anche ai post “innocenti” (es: “primo giorno nel team finance!”). Per qualcuno sono indizi preziosi.

Per approfondire meglio questo tema, puoi guardare il nostro corso gratuito, ora disponibile su YouTube.