Sicurezza digitale

Frode sulla Fattura e Clonazione Vocale IA: 5 Momenti in Cui Puoi Ancora Fermarla

Il tuo fornitore chiama per un IBAN. La voce è perfetta — ed è proprio questo il problema. Cinque momenti in quella telefonata, e cosa puoi ancora fare in ognuno.

In questo articolo
  1. Cosa è davvero cambiato
  2. Il protocollo del richiamo
  3. Quanto è sospetta questa telefonata?
  4. Se è già successo
  5. Da mettere in pratica questa settimana
  6. Il punto

È martedì pomeriggio. Il tuo fornitore di carne abituale chiama — riconosci subito la voce, lo stesso uomo con cui lavori da tre anni. Sembra di fretta: la banca del locale è passata a un nuovo sistema, e il pagamento di oggi deve andare su un altro conto. Te lo manda subito su WhatsApp. Puoi bonificare adesso, è tra due consegne?

La voce non è falsa. Suona esattamente come lui. Ed è proprio questo ciò che è cambiato: una voce che suona giusta non è più la prova che stai parlando con la persona giusta.

Cosa è davvero cambiato

La frode sulla fattura esiste da sempre — una lettera falsificata, un'email contraffatta da un dominio con una lettera di troppo, una firma che non torna del tutto. I ristoratori hanno ormai imparato a riconoscerla: un'email dal "commercialista" con uno spazio in più nell'indirizzo insospettisce.

Ciò che è nuovo è la voce. Una ricerca dell'azienda di sicurezza McAfee ha mostrato che bastano circa tre secondi di audio per clonare una voce con quasi l'85% di precisione — abbastanza da convincere un orecchio allenato, figuriamoci uno frettoloso. Quei tre secondi sono ovunque: un messaggio in segreteria, una risposta a una recensione Google registrata dal fornitore stesso, un frammento di un podcast. Nessuno deve fare nulla di insolito per rendere pubblico quell'audio; spesso è già lì.

La reale portata del fenomeno per i ristoranti indipendenti è difficile da quantificare — la maggior parte degli episodi non viene mai denunciata, per imbarazzo o perché l'importo sembrava troppo piccolo. Ciò che è documentato: per le grandi aziende, la perdita media per episodio di questo tipo (monitorata negli USA dall'FBI come "Business Email Compromise") va dalle decine alle centinaia di migliaia di euro, e i casi aumentano ogni anno. Il meccanismo che funziona lì è esattamente quello che funziona su una piccola cucina — cambia solo l'importo.

Il motivo per cui un'attività indipendente è particolarmente esposta non è tecnico, ma organizzativo. In una grande azienda una persona predispone un pagamento e un'altra lo approva. In un ristorante è spesso la stessa persona — il titolare, o chi è alla scrivania tra un servizio e l'altro. Una richiesta che sembra provenire da qualcuno di cui ci si fida già è pensata proprio per saltare quel secondo controllo che un'azienda più grande applicherebbe.

L'anatomia di una telefonata

Cinque momenti, ognuno con un segnale e uno stop

Momento 1 · L'innesco

Un messaggio o una chiamata urgente, leggermente fuori dal canale abituale (WhatsApp invece dell'email) o a un orario strano — di solito con una scusa ("la banca ha cambiato sistema", "abbiamo cambiato conto").

Un vero fornitore o commercialista non ha mai fretta per un dato bancario. Aspettare non gli costa nulla; a te costa tutto se paghi subito.

Momento 2 · La chiamata stessa

La voce suona giusta — ma c'è pressione per agire oggi, e per non verificare prima con nessun altro. "Teniamolo semplice", oppure "non volevo disturbarti coi dettagli".

Un vero partner d'affari capisce che tu voglia controllare. Chi liquida questo è il segnale più chiaro di tutti e cinque.

Momento 3 · L'isolamento

Ti viene chiesto di non parlarne con il socio, il commercialista o chi altro dovrebbe deciderlo — "per semplicità" — o ti viene detto che il contatto abituale non è raggiungibile in questo momento.

È il segnale più netto di tutti e cinque. Un vero fornitore non ti chiede mai di nascondere qualcosa al tuo stesso commercialista.

Momento 4 · La vera richiesta

Un IBAN modificato su una fattura esistente o in arrivo — a volte una piccola differenza rispetto al numero usato da anni, a volte uno completamente diverso, "solo per questa volta".

Richiama il numero che avevi già, da prima di questa conversazione — mai un numero arrivato nello stesso messaggio che chiede la modifica.

Momento 5 · Il bonifico

Appena il denaro parte con un normale bonifico, è praticamente perso quasi subito — a differenza di un pagamento con carta, non c'è storno automatico.

È l'ultimo momento, ed è proprio per questo che ogni momento precedente è la vera linea di difesa. Arrivati qui, tutto dipende da quanto in fretta chiami la banca (vedi sotto).

In ognuno di questi cinque momenti basta un'abitudine per fermarlo: richiamare un numero che avevi già, mai quello del messaggio che chiede la modifica.

Nessuno di questi cinque momenti richiede competenze tecniche per essere riconosciuto. Basta sapere cosa cercare — e avere già l'abitudine pronta prima che arrivi la chiamata.

Il protocollo del richiamo

C'è un'abitudine che funziona in ognuno dei momenti sopra, e costa quasi nulla: verifica sempre un dato di pagamento modificato usando contatti che avevi già — mai un numero, un'email o un link arrivati nello stesso messaggio che chiede la modifica. Chiama il numero salvato sul telefono, o quello dell'ultima fattura. Non quello che ti ha appena chiamato.

Tre regole rendono questo protocollo applicabile in una cucina dove nessuno ha tempo per un ufficio compliance:

  • Ogni dato bancario modificato merita un secondo paio d'occhi — anche in un'attività di due persone. È il socio, il commercialista, o chiunque non sia la stessa persona che ha ricevuto la chiamata E invia il pagamento. Una sola persona che fa entrambe le cose è esattamente la situazione che la frode cerca.
  • Una prima modifica su una fattura importante merita una breve pausa — un giorno, o finché non raggiungi il fornitore al vecchio numero. Una modifica vera supera facilmente questa pausa; una fraudolenta quasi mai, perché la pressione ad agire subito era tutto il punto.
  • Concorda con il team che nessuno verrà preso in giro per una chiamata di verifica. Il motivo principale per cui questo protocollo fallisce non è l'ignoranza — è che qualcuno si sente a disagio a richiamare il fornitore "per controllare se era davvero lui". Fanne la norma, non l'eccezione.

Senza richiamo contro con richiamo

La stessa richiesta, due percorsi

Senza verifica con richiamo

Arriva messaggio con IBAN modificato

Il pagamento parte subito

Il denaro è perso — nessuno storno possibile

Con verifica con richiamo

Arriva messaggio con IBAN modificato

Richiamo al numero già noto (< 2 minuti)

Frode scoperta — nulla perso

La difesa costa meno di due minuti. L'errore che evita costa quanto c'era sulla fattura.

Quanto è sospetta questa telefonata?

Nessun segnale qui sotto da solo prova la frode — ma più ce ne sono, più forte è la ragione per richiamare prima di pagare. Spunta ciò che vale per una telefonata appena avuta, o in corso ora.

Verifica del rischio per questa telefonata

Spunta ciò che vale — il verdetto si aggiorna da solo

Verdetto

Rischio basso

Pochi segnali presenti. Comunque nessun danno a richiamare il numero noto prima di confermare — costa solo due minuti.

0 / 7 segnali spuntati

Questa lista non sostituisce il buon senso — una telefonata con zero segnali può comunque essere una frode, e un solo segnale non prova nulla. È un promemoria per il momento in cui senti fretta e vuoi controllare se è normale.

Se è già successo

Se ti accorgi solo dopo il bonifico che qualcosa non andava, ogni minuto conta. Fai così, in quest'ordine:

  1. Chiama subito la linea antifrode della tua banca — non il servizio clienti generale. Le banche a volte possono ancora richiamare un bonifico finché il denaro non è arrivato del tutto sul conto ricevente, ma questa finestra è di solito di minuti o poche ore, non giorni.
  2. Sporgi denuncia alla polizia. Anche se l'importo sembra piccolo: serve per un'eventuale richiesta all'assicurazione, e aiuta la polizia a riconoscere lo schema se lo stesso truffatore colpisce altre attività.
  3. Avvisa il tuo vero fornitore o commercialista. Possono avvertire altri clienti che potrebbero ricevere la stessa chiamata — ed è altrettanto spiacevole per loro che il loro nome e la loro voce vengano usati così.
  4. Non vergognarti di segnalarlo al tuo team. Succede ad aziende di ogni dimensione: nel 2024 la filiale britannica di un'azienda energetica tedesca avrebbe trasferito 220.000 euro dopo che il suo dirigente ha ricevuto una chiamata identica a quella dell'amministratore delegato della casa madre tedesca, con una voce clonata, che chiedeva un pagamento urgente per chiudere un accordo. Se può succedere lì, non è un tuo fallimento personale se succede a te.

Da mettere in pratica questa settimana

Quattro cose da avviare questa settimana, senza sistemi né budget:

  • Scrivi il protocollo del richiamo, alla lettera — una riga su un foglio vicino alla cassa o alla scrivania: "Dato bancario modificato: richiama il vecchio numero, mai il nuovo."
  • Dillo a chiunque si occupi di pagamenti — anche a chi paga una fattura nel tuo giorno libero.
  • Concorda una parola d'ordine o una domanda di controllo con i fornitori abituali e il commercialista per le modifiche telefoniche — qualcosa che una voce clonata non saprebbe.
  • Metti un secondo paio d'occhi su ogni pagamento oltre un importo che consideri rilevante — anche se significa che socio o commercialista ricevono un messaggio prima che tu invii.

Il punto

Una voce clonata è convincente perché è esattamente ciò che dichiara di essere: una voce che suona giusta. Ciò che non torna sono la fretta, la richiesta di tenere il silenzio e il numero modificato — e questi tre elementi sono riconoscibili senza alcuna competenza tecnica. Un'abitudine, richiamare un numero che avevi già, ferma quasi ogni versione di questa storia prima che parta il denaro.

Domande frequenti

La mia banca può annullare un bonifico già inviato?

A volte, e solo agendo in fretta. Finché il denaro non è arrivato del tutto sul conto ricevente, una banca spesso può ancora richiamare un bonifico — ma questa finestra è di solito di minuti o poche ore. Chiama subito la linea antifrode della tua banca, non il servizio clienti generale.

È coperto dalla mia assicurazione per il ristorante?

Varia molto a seconda della polizza e dell'assicuratore — alcune polizze aziendali coprono specificamente la frode informatica o quella sulla fattura, altre per niente. Chiedi direttamente al tuo assicuratore invece di dare per scontato che sia incluso.

Come lo affronto col mio fornitore senza offenderlo?

La maggior parte dei fornitori apprezza che si richiami per conferma — protegge anche loro, dato che il loro nome e la loro voce potrebbero essere usati impropriamente da qualcun altro. Basta un semplice "richiamo solo per confermare, è la nostra procedura standard", e qualsiasi partner serio lo trova del tutto normale.

E se non è una voce clonata, ma solo un'email contraffatta?

Lo stesso protocollo del richiamo funziona altrettanto bene: un dato bancario modificato merita sempre conferma tramite un canale e contatti che avevi già, che la richiesta arrivi per telefono, WhatsApp o email.

Posso capire a orecchio se una voce è clonata?

Non più in modo affidabile. Gli studi mostrano che i cloni vocali moderni sono quasi indistinguibili dalla voce reale per l'orecchio umano. Non fidarti dell'udito, fidati del protocollo: verifica tramite un canale che il truffatore non controlla.