Immaginiamo una scena. È una mattina di lavoro e in azienda arriva una telefonata. Dall'altra parte c'è una voce familiare: quella dell'amministratore, di un responsabile o di un collaboratore fidato. La richiesta è urgente: bisogna disporre un bonifico, saldare una fattura o modificare le coordinate bancarie di un fornitore. Il tono è quello abituale, il nome è quello giusto e non sembra esserci alcun motivo per dubitare.

Eppure, quella voce potrebbe non appartenere alla persona che si crede di avere al telefono. Potrebbe essere stata ricreata con l'intelligenza artificiale.

Non è più uno scenario da film. Le tecnologie capaci di riprodurre voce e immagine di una persona sono diventate accessibili e possono essere utilizzate per costruire tentativi di frode molto più convincenti rispetto alle tradizionali email ingannevoli. Il bersaglio non è soltanto il singolo cittadino: anche le imprese, di qualsiasi dimensione, sono esposte.

Quando fidarsi non basta più

Il meccanismo è una forma evoluta di ingegneria sociale: invece di violare direttamente un sistema informatico, il criminale cerca di convincere una persona a compiere un'azione, sfruttando fiducia, urgenza e pressione psicologica.

L'intelligenza artificiale rende questa strategia più efficace. Un messaggio può essere scritto senza gli errori che un tempo permettevano di riconoscere una comunicazione sospetta. Una voce può essere imitata partendo da registrazioni reperibili online. Un video può mostrare un volto conosciuto mentre pronuncia parole mai dette.

La novità, quindi, non è soltanto tecnologica. È soprattutto nel modo in cui viene costruito l'inganno: non si chiede più alla vittima di credere a una comunicazione impersonale, ma di riconoscere come autentica una persona di cui si fida.

Un campanello d'allarme arriva dalla ricerca internazionale realizzata dall'Association of Certified Fraud Examiners (ACFE) insieme a SAS. Il rapporto 2026, basato sulle risposte di 713 professionisti impegnati nella prevenzione delle frodi, rileva che il 77% degli intervistati ha osservato un aumento, negli ultimi due anni, degli attacchi di social engineering basati su deepfake. Ancora più significativo il dato sulla preparazione: soltanto il 7% ritiene la propria organizzazione adeguatamente pronta a individuare o prevenire le frodi alimentate dall'intelligenza artificiale.

Anche in Italia il tema è tutt'altro che teorico. Una ricerca commissionata da Experian e condotta da Forrester Consulting, pubblicata nel febbraio 2026, evidenzia che il 68% dei responsabili aziendali italiani intervistati ritiene che le tecnologie di sicurezza attualmente disponibili non siano sufficienti a tenere il passo con l'evoluzione delle frodi.

A settembre 2026 è intervenuta persino la Banca d'Italia, mettendo in guardia dalla circolazione online di video deepfake che utilizzavano immagine e voce del Governatore Fabio Panetta per promuovere false opportunità di investimento. Un esempio che dimostra quanto anche l'identità di istituzioni e figure autorevoli possa essere sfruttata per rendere credibile un messaggio fraudolento.

La prima difesa è una procedura, non un clic

Di fronte a questi rischi, la tentazione è cercare un unico strumento tecnologico capace di riconoscere e bloccare ogni contenuto falso. Ma non esiste una soluzione che possa garantire da sola una protezione assoluta.

La sicurezza deve essere costruita su più livelli. Servono sistemi aggiornati per proteggere dispositivi, posta elettronica e infrastrutture aziendali, ma anche regole operative semplici e condivise.

Una richiesta di pagamento urgente, per esempio, dovrebbe essere verificata attraverso un secondo canale indipendente. Se arriva una telefonata, è opportuno interrompere la conversazione e richiamare la persona utilizzando un numero già conosciuto, non quello eventualmente comunicato durante la chiamata. Le modifiche delle coordinate bancarie di un fornitore dovrebbero prevedere una verifica separata. Per i trasferimenti più rilevanti, può essere utile introdurre una doppia autorizzazione.

Sono accorgimenti che possono sembrare elementari, ma fanno la differenza proprio perché interrompono il meccanismo della pressione e dell'urgenza su cui si basano molte frodi.

A questo si aggiunge la formazione del personale. Chi lavora in amministrazione, contabilità, acquisti o gestione dei fornitori deve sapere che una voce familiare o un video apparentemente autentico non costituiscono, da soli, una prova di identità.

Il ruolo della tecnologia e di un partner competente

È in questo contesto che cambia anche il significato della sicurezza informatica per le imprese. Non riguarda più soltanto la protezione di un computer o l'installazione di un antivirus, ma coinvolge l'intera organizzazione: dispositivi, reti, dati, comunicazioni, procedure e persone.

Per una piccola o media impresa, affrontare questi aspetti senza competenze interne dedicate può essere complesso. Occorre capire quali siano le vulnerabilità, quali strumenti siano davvero necessari e come integrarli nell'attività quotidiana, senza investire in soluzioni sproporzionate o difficili da gestire.

È un approccio che coinvolge anche realtà come Soft Tecnology, che affianca le aziende nella scelta e nell'implementazione di soluzioni ICT e di cybersecurity, attraverso un'offerta che comprende protezione informatica, infrastrutture, cloud e servizi di gestione dei dati. La collaborazione con partner tecnologici specializzati, tra cui ESET, consente di affrontare la protezione degli ambienti di lavoro con strumenti adeguati alle diverse esigenze aziendali.

Il valore di un partner tecnologico, però, non si misura soltanto dai prodotti che propone. Sta anche nella capacità di ascoltare l'impresa, comprenderne i processi e accompagnarla nelle scelte, evitando che la sicurezza diventi una somma di interventi isolati.

Perché un sistema di protezione efficace deve considerare anche ciò che accade quando qualcosa va storto: la disponibilità dei dati, i backup, la continuità dei servizi e la possibilità di riprendere il lavoro.

La domanda da porsi prima della prossima telefonata

L'intelligenza artificiale offre alle imprese opportunità importanti, ma gli stessi strumenti possono essere utilizzati per rendere più sofisticati i tentativi di frode. Non si tratta di diffidare di ogni telefonata o di ogni comunicazione, né di rinunciare all'innovazione. Si tratta di aggiornare il modo in cui si riconosce un'identità e si autorizza un'operazione.

La domanda, per chi guida un'impresa, è semplice: se domani arrivasse una richiesta urgente di pagamento apparentemente proveniente da una persona fidata, esisterebbe una procedura per verificarla prima di agire?

Se la risposta è incerta, il problema non è soltanto tecnologico. È organizzativo. E affrontarlo prima che si verifichi una frode può fare la differenza tra un rischio gestito e un danno concreto.