Immagina questa scena
Il tuo responsabile amministrativo riceve una videochiamata. Sullo schermo compare il CFO dell’azienda: faccia, voce, modo di parlare, persino le sfumature verbali abituali. Tutto è convincente. Il CFO spiega che c’è un’acquisizione urgente da chiudere entro fine giornata. Serve un bonifico da 200.000 euro. Subito.
Il responsabile esegue. Poi chiama il CFO sul cellulare per confermare. Risponde il vero CFO, che non sa nulla di nessun bonifico.
Quella videochiamata non era il CFO. Era un deepfake: un contenuto audio-video generato dall’intelligenza artificiale, costruito analizzando i video pubblici del dirigente su LinkedIn e YouTube. Bastano pochi minuti di registrazione per clonare una voce. Bastano alcune foto per ricostruire un volto in movimento.
Questo scenario non è ipotetico. È successo ad Arup, una delle più grandi società di ingegneria al mondo: 25 milioni di dollari trasferiti dopo una videoconferenza deepfake con il CFO e altri colleghi, tutti falsi. È successo a un’azienda manifatturiera di Treviso: 800.000 euro persi dopo una telefonata con la voce clonata del proprietario. E potrebbe succedere alla tua.
Le frodi tramite deepfake sono aumentate del 3.000% dal 2022 al 2024 (fonte: Identity Fraud Report 2025, Entrust). Non riguardano solo le multinazionali. Riguardano qualsiasi azienda con un conto corrente e dipendenti che ricevono istruzioni via digitale.
Cos’è un deepfake?
Un deepfake aziendale è un contenuto audio o video generato dall’intelligenza artificiale che imita in modo realistico la voce, il volto o l’identità di un dirigente o dipendente aziendale. Viene usato dai truffatori per impersonare CEO, CFO o proprietari e indurre i dipendenti a eseguire bonifici fraudolenti, condividere dati riservati o autorizzare operazioni non approvate. Bastano pochi minuti di audio o video pubblici per costruire un deepfake convincente.
Leggi anche: Cybersecurity per PMI: perché sei già un bersaglio e come difenderti nel 2026 – il contesto più ampio in cui i deepfake si inseriscono.
Come funziona un deepfake: più semplice di quanto pensi
Non serve essere hacker. Non servono competenze tecniche avanzate. Servono i video pubblici della vittima, uno strumento AI accessibile online e qualche ora di elaborazione.
L’intelligenza artificiale analizza le registrazioni disponibili: interviste, presentazioni, video LinkedIn, partecipazioni a eventi. Estrae le caratteristiche uniche della voce, il modo di muovere le labbra, le espressioni facciali. Poi le ricombina per generare nuovi contenuti in cui la persona sembra dire o fare cose mai accadute.
Per clonare una voce bastano pochi minuti di audio. Per costruire un volto in movimento bastano alcune decine di foto. I risultati sono già oggi difficili da distinguere dal reale, e migliorano ogni mese. Il numero di deepfake rilevati a livello globale è passato da 500.000 nel 2023 a oltre 8 milioni nel 2025 (fonte: Fortune Italia).
Il bersaglio preferito sono i dirigenti con alta visibilità pubblica: CEO, CFO, proprietari. Più video e audio pubblici esistono di una persona, più è facile costruire un deepfake convincente.
Come funziona un deepfake?
Un deepfake viene creato attraverso algoritmi di intelligenza artificiale che analizzano video e registrazioni audio pubbliche di una persona reale. Il sistema estrae le caratteristiche uniche della voce, delle espressioni facciali e dei movimenti, e le usa per generare nuovi contenuti in cui la persona appare dire o fare cose mai accadute. Bastano pochi minuti di audio per clonare una voce e alcune decine di foto per ricostruire un volto in movimento. Gli strumenti sono oggi accessibili online anche senza competenze tecniche avanzate.
I casi reali: da Hong Kong a Treviso
Purtroppo è diffusa l’idea che questi attacchi riguardino solo le grandi aziende internazionali. I dati dicono il contrario. Ecco tre casi reali, in ordine decrescente di dimensione.
Arup, Hong Kong: 25 milioni di dollari
Arup è una delle più grandi società di ingegneria al mondo. Nel 2024 un dipendente dell’ufficio di Hong Kong ha partecipato a una videoconferenza con quello che sembrava essere il CFO e altri colleghi. Tutti deepfake, generati in tempo reale. Al termine della chiamata, ha eseguito una serie di bonifici per un totale di 25 milioni di dollari. Rob Greig, CIO di Arup, ha dichiarato che il numero e la sofisticatezza degli attacchi deepfake all’azienda sono aumentati drasticamente negli ultimi mesi.
Ferrari, Italia: tentativo sventato da una domanda
Nel luglio 2024 alcuni dirigenti della Ferrari hanno ricevuto messaggi WhatsApp apparentemente dal CEO Benedetto Vigna, con voce clonata tramite AI. La richiesta era di autorizzare un’operazione urgente e riservata. Un dirigente si è insospettito e ha posto una domanda personale: “Qual è il titolo del libro che mi ha consigliato la settimana scorsa?” L’AI non ha saputo rispondere. La truffa è andata in fumo. Il caso dimostra che i protocolli umani più semplici possono bloccare le tecnologie più sofisticate.
Azienda manifatturiera di Treviso: 800.000 euro
Una PMI del Nord-Est ha ricevuto una telefonata dal “proprietario”: voce perfetta, tono familiare, contesto credibile. Urgenza di pagare un fornitore cinese per non bloccare la produzione. Il responsabile ha eseguito il bonifico. Solo dopo ha scoperto che la voce era sintetica. 800.000 euro persi, senza possibilità di recupero.
Il denominatore comune: l’urgenza, la familiarità e l’autorità. Tre leve che i truffatori usano per far saltare qualsiasi riflessione critica. E che funzionano indipendentemente dalla dimensione dell’azienda.
Il 92% dei manager italiani non ha protocolli specifici contro le truffe basate su intelligenza artificiale (fonte: Manager.it).
Leggi anche: Anthropic Mythos: quando l’AI supera l’umano nella cybersecurity – come l’AI sta ridefinendo i confini della sicurezza informatica.
Come riconoscere un deepfake: i segnali da conoscere
I deepfake non sono ancora perfetti. Esistono segnali che, se si sa dove cercarli, possono rivelare la natura sintetica di un contenuto. Il problema è che richiedono attenzione e che i truffatori usano l’urgenza proprio per eliminare quella attenzione.
Segnali visivi:
- Movimenti del volto leggermente innaturali, soprattutto attorno a occhi e bocca.
- Illuminazione incoerente tra il viso e lo sfondo.
- Sfarfallii o sfocature nei contorni del volto quando la persona si muove.
- Micro-espressioni assenti: il volto appare piatto o poco reattivo.
- Sincronizzazione labiale imperfetta.
Segnali vocali:
- Tono di voce piatto o leggermente robotico, soprattutto su vocali lunghe.
- Rumori di fondo incoerenti o completamente assenti.
- Pause innaturali o ritmo di parlato leggermente meccanico.
Il segnale più importante di tutti: una richiesta urgente, fuori dai canali abituali, che richiede un’azione immediata senza possibilità di verifica. Questa è la firma di quasi tutte le truffe deepfake, indipendentemente dalla qualità tecnica del contenuto. Se arriva un’istruzione urgente da un canale insolito, fermarsi e verificare è sempre la scelta giusta.
Come si riconosce un deepfake?
I segnali tecnici includono movimenti facciali innaturali, illuminazione incoerente, sfarfallii nei contorni, sincronizzazione labiale imperfetta e tono di voce piatto. Ma il segnale più importante è comportamentale: una richiesta urgente e insolita, che arriva fuori dai canali abituali e non ammette verifica. Quasi tutte le truffe deepfake usano l’urgenza per eliminare la riflessione critica. Fermarsi e verificare tramite un canale diverso è sempre la difesa più efficace.
Come proteggersi: procedure prima che tecnologia
La buona notizia è che le difese più efficaci non richiedono investimenti tecnologici complessi. Richiedono procedure chiare e personale formato. Il caso Ferrari lo dimostra: una domanda personale ha fermato una truffa milionaria.
Protocollo di verifica per i pagamenti
Qualsiasi richiesta di bonifico arrivata via digitale, anche dal CEO, deve essere verificata con una chiamata su un numero già conosciuto, non su quello da cui è arrivata la richiesta. Nessuna eccezione, nessuna urgenza che giustifichi di saltare questo passaggio.
Parola d’ordine interna
Definire una parola o una domanda di verifica tra i responsabili finanziari e il management. Se chi chiama non la conosce, la chiamata non è autentica. Semplice, gratuito, efficace.
Doppia autorizzazione sui pagamenti
Nessun bonifico sopra una soglia definita dall’azienda deve essere eseguito da una sola persona, indipendentemente da chi ha fatto la richiesta. Questa regola elimina alla radice la possibilità che un singolo deepfake vada a buon fine.
Formazione del personale
Il 90% delle violazioni informatiche parte da un errore umano. I dipendenti devono sapere che queste truffe esistono, come sembrano e cosa fare quando ricevono una richiesta sospetta. Non basta dirlo una volta: serve formazione periodica con esempi concreti.
Limitare la presenza pubblica dei dirigenti
Meno video e audio pubblici esistono di CEO, CFO e proprietari, meno materiale hanno i truffatori. Non significa sparire dai social: significa essere consapevoli che ogni contenuto pubblico è potenziale materiale di addestramento per un deepfake.
Leggi anche: Assistenza IT per aziende: perché un partner vale più di mille strumenti – la sicurezza informatica strutturata parte da un presidio continuativo.
Cosa dice la legge: Italia e NIS2
In Italia, la Legge n.132/2025 ha criminalizzato esplicitamente i deepfake: creare o diffondere contenuti deepfake che rappresentano persone reali senza consenso è reato penale, punito con la reclusione da 1 a 5 anni. Se il contenuto ha natura diffamatoria o causa danni economici, le pene possono essere più severe.
La direttiva NIS2, in vigore in Italia dal 2025, impone alle aziende che rientrano nel perimetro misure strutturate di gestione del rischio informatico, che includono esplicitamente la protezione contro le frodi basate su ingegneria sociale avanzata come i deepfake.
Il problema pratico resta la difficoltà di perseguire questi crimini: server in paesi non collaborativi, pagamenti in criptovalute, identità anonime. Su 847 denunce per truffe AI nel 2023, solo 23 hanno portato a rinvio a giudizio (fonte: Manager.it). La prevenzione è l’unica difesa realmente efficace.
Cosa dice la legge italiana sui deepfake aziendali?
La Legge italiana n.132/2025 ha criminalizzato i deepfake senza consenso: è reato penale punibile con la reclusione da 1 a 5 anni. La direttiva NIS2, in vigore in Italia dal 2025, impone misure strutturate contro le frodi di ingegneria sociale avanzata, inclusi i deepfake. Tuttavia, la difficoltà pratica di perseguire i responsabili rende la prevenzione interna l’unica difesa concretamente efficace.
Leggi anche: AI Act 2026: obblighi e conformità per le aziende italiane – il quadro normativo completo sull’AI che ogni azienda italiana deve conoscere.
Come ti supportiamo contro gli attacchi deepfake
La difesa contro i deepfake non è un problema tecnologico: è un problema di processi, formazione e presidio continuativo. La tecnologia di rilevamento esiste, ma è in costante rincorsa rispetto agli strumenti di generazione. La vera protezione viene da procedure chiare e da un team formato.
In Brain Computing affianchiamo le aziende italiane con un approccio strutturato alla sicurezza informatica:
- Consulenza Cybersecurity: analisi del rischio specifico, definizione dei protocolli di verifica e piano di protezione personalizzato.
- Formazione del personale: sessioni pratiche su come riconoscere tentativi di frode deepfake, phishing evoluto e social engineering AI.
- Vulnerability Assessment: identificazione dei punti deboli dell’infrastruttura e dei processi prima che li trovino i truffatori.
- Consulenza IT: presidio continuativo dell’infrastruttura con monitoraggio h24 e risposta rapida agli incidenti.
Non aspettare che succeda. Il Check Up Digitale è il punto di partenza: analizziamo insieme lo stato attuale della tua sicurezza e ti diciamo concretamente cosa fare per proteggere la tua azienda.
Richiedi il Check Up Digitale
Domande frequenti sui deepfake aziendali
Cos’è un deepfake aziendale?
Un deepfake aziendale è un contenuto audio o video generato dall’AI che imita in modo realistico la voce o il volto di un dirigente aziendale. Viene usato per indurre i dipendenti a eseguire bonifici fraudolenti, condividere dati riservati o autorizzare operazioni non approvate. Bastano pochi minuti di audio pubblico per clonare una voce e alcune decine di foto per ricostruire un volto in movimento.
Come funziona un deepfake?
L’AI analizza video e registrazioni pubbliche di una persona ed estrae le caratteristiche uniche della voce, delle espressioni e dei movimenti. Li usa poi per generare contenuti in cui la persona appare dire o fare cose mai accadute. Gli strumenti sono oggi accessibili online senza competenze tecniche avanzate. Il numero di deepfake rilevati è passato da 500.000 nel 2023 a oltre 8 milioni nel 2025.
Come ci si protegge dalle truffe deepfake in azienda?
Le difese più efficaci non richiedono tecnologie complesse. Servono procedure chiare: verificare qualsiasi richiesta di pagamento via digitale con una chiamata su un numero già conosciuto, definire una parola d’ordine interna tra management e responsabili finanziari, imporre la doppia autorizzazione sui bonifici sopra una certa soglia e formare periodicamente il personale su come riconoscere questi tentativi.
Cosa dice la legge italiana sui deepfake?
La Legge n.132/2025 ha criminalizzato i deepfake senza consenso: è reato penale punibile con 1-5 anni di reclusione. La NIS2 impone misure strutturate contro le frodi di ingegneria sociale avanzata. Tuttavia, la difficoltà pratica di perseguire i responsabili, spesso operativi da paesi non collaborativi, rende la prevenzione interna l’unica difesa concretamente efficace.
