In questo articolo
È martedì pomeriggio. Il tuo fornitore di carne abituale chiama — riconosci subito la voce, lo stesso uomo con cui lavori da tre anni. Sembra di fretta: la banca del locale è passata a un nuovo sistema, e il pagamento di oggi deve andare su un altro conto. Te lo manda subito su WhatsApp. Puoi bonificare adesso, è tra due consegne?
La voce non è falsa. Suona esattamente come lui. Ed è proprio questo ciò che è cambiato: una voce che suona giusta non è più la prova che stai parlando con la persona giusta.
Cosa è davvero cambiato
La frode sulla fattura esiste da sempre — una lettera falsificata, un'email contraffatta da un dominio con una lettera di troppo, una firma che non torna del tutto. I ristoratori hanno ormai imparato a riconoscerla: un'email dal "commercialista" con uno spazio in più nell'indirizzo insospettisce.
Ciò che è nuovo è la voce. Una ricerca dell'azienda di sicurezza McAfee ha mostrato che bastano circa tre secondi di audio per clonare una voce con quasi l'85% di precisione — abbastanza da convincere un orecchio allenato, figuriamoci uno frettoloso. Quei tre secondi sono ovunque: un messaggio in segreteria, una risposta a una recensione Google registrata dal fornitore stesso, un frammento di un podcast. Nessuno deve fare nulla di insolito per rendere pubblico quell'audio; spesso è già lì.
La reale portata del fenomeno per i ristoranti indipendenti è difficile da quantificare — la maggior parte degli episodi non viene mai denunciata, per imbarazzo o perché l'importo sembrava troppo piccolo. Ciò che è documentato: per le grandi aziende, la perdita media per episodio di questo tipo (monitorata negli USA dall'FBI come "Business Email Compromise") va dalle decine alle centinaia di migliaia di euro, e i casi aumentano ogni anno. Il meccanismo che funziona lì è esattamente quello che funziona su una piccola cucina — cambia solo l'importo.
Il motivo per cui un'attività indipendente è particolarmente esposta non è tecnico, ma organizzativo. In una grande azienda una persona predispone un pagamento e un'altra lo approva. In un ristorante è spesso la stessa persona — il titolare, o chi è alla scrivania tra un servizio e l'altro. Una richiesta che sembra provenire da qualcuno di cui ci si fida già è pensata proprio per saltare quel secondo controllo che un'azienda più grande applicherebbe.
L'anatomia di una telefonata
Cinque momenti, ognuno con un segnale e uno stop
Un messaggio o una chiamata urgente, leggermente fuori dal canale abituale (WhatsApp invece dell'email) o a un orario strano — di solito con una scusa ("la banca ha cambiato sistema", "abbiamo cambiato conto").
Un vero fornitore o commercialista non ha mai fretta per un dato bancario. Aspettare non gli costa nulla; a te costa tutto se paghi subito.
La voce suona giusta — ma c'è pressione per agire oggi, e per non verificare prima con nessun altro. "Teniamolo semplice", oppure "non volevo disturbarti coi dettagli".
Un vero partner d'affari capisce che tu voglia controllare. Chi liquida questo è il segnale più chiaro di tutti e cinque.
Ti viene chiesto di non parlarne con il socio, il commercialista o chi altro dovrebbe deciderlo — "per semplicità" — o ti viene detto che il contatto abituale non è raggiungibile in questo momento.
È il segnale più netto di tutti e cinque. Un vero fornitore non ti chiede mai di nascondere qualcosa al tuo stesso commercialista.
Un IBAN modificato su una fattura esistente o in arrivo — a volte una piccola differenza rispetto al numero usato da anni, a volte uno completamente diverso, "solo per questa volta".
Richiama il numero che avevi già, da prima di questa conversazione — mai un numero arrivato nello stesso messaggio che chiede la modifica.
Appena il denaro parte con un normale bonifico, è praticamente perso quasi subito — a differenza di un pagamento con carta, non c'è storno automatico.
È l'ultimo momento, ed è proprio per questo che ogni momento precedente è la vera linea di difesa. Arrivati qui, tutto dipende da quanto in fretta chiami la banca (vedi sotto).
In ognuno di questi cinque momenti basta un'abitudine per fermarlo: richiamare un numero che avevi già, mai quello del messaggio che chiede la modifica.
Nessuno di questi cinque momenti richiede competenze tecniche per essere riconosciuto. Basta sapere cosa cercare — e avere già l'abitudine pronta prima che arrivi la chiamata.
Il protocollo del richiamo
C'è un'abitudine che funziona in ognuno dei momenti sopra, e costa quasi nulla: verifica sempre un dato di pagamento modificato usando contatti che avevi già — mai un numero, un'email o un link arrivati nello stesso messaggio che chiede la modifica. Chiama il numero salvato sul telefono, o quello dell'ultima fattura. Non quello che ti ha appena chiamato.
Tre regole rendono questo protocollo applicabile in una cucina dove nessuno ha tempo per un ufficio compliance:
- Ogni dato bancario modificato merita un secondo paio d'occhi — anche in un'attività di due persone. È il socio, il commercialista, o chiunque non sia la stessa persona che ha ricevuto la chiamata E invia il pagamento. Una sola persona che fa entrambe le cose è esattamente la situazione che la frode cerca.
- Una prima modifica su una fattura importante merita una breve pausa — un giorno, o finché non raggiungi il fornitore al vecchio numero. Una modifica vera supera facilmente questa pausa; una fraudolenta quasi mai, perché la pressione ad agire subito era tutto il punto.
- Concorda con il team che nessuno verrà preso in giro per una chiamata di verifica. Il motivo principale per cui questo protocollo fallisce non è l'ignoranza — è che qualcuno si sente a disagio a richiamare il fornitore "per controllare se era davvero lui". Fanne la norma, non l'eccezione.
Senza richiamo contro con richiamo
La stessa richiesta, due percorsi
Arriva messaggio con IBAN modificato
Il pagamento parte subito
Il denaro è perso — nessuno storno possibile
Arriva messaggio con IBAN modificato
Richiamo al numero già noto (< 2 minuti)
Frode scoperta — nulla perso
La difesa costa meno di due minuti. L'errore che evita costa quanto c'era sulla fattura.
Quanto è sospetta questa telefonata?
Nessun segnale qui sotto da solo prova la frode — ma più ce ne sono, più forte è la ragione per richiamare prima di pagare. Spunta ciò che vale per una telefonata appena avuta, o in corso ora.
Verifica del rischio per questa telefonata
Spunta ciò che vale — il verdetto si aggiorna da solo
Verdetto
Rischio basso
Pochi segnali presenti. Comunque nessun danno a richiamare il numero noto prima di confermare — costa solo due minuti.
0 / 7 segnali spuntati
Questa lista non sostituisce il buon senso — una telefonata con zero segnali può comunque essere una frode, e un solo segnale non prova nulla. È un promemoria per il momento in cui senti fretta e vuoi controllare se è normale.
Se è già successo
Se ti accorgi solo dopo il bonifico che qualcosa non andava, ogni minuto conta. Fai così, in quest'ordine:
- Chiama subito la linea antifrode della tua banca — non il servizio clienti generale. Le banche a volte possono ancora richiamare un bonifico finché il denaro non è arrivato del tutto sul conto ricevente, ma questa finestra è di solito di minuti o poche ore, non giorni.
- Sporgi denuncia alla polizia. Anche se l'importo sembra piccolo: serve per un'eventuale richiesta all'assicurazione, e aiuta la polizia a riconoscere lo schema se lo stesso truffatore colpisce altre attività.
- Avvisa il tuo vero fornitore o commercialista. Possono avvertire altri clienti che potrebbero ricevere la stessa chiamata — ed è altrettanto spiacevole per loro che il loro nome e la loro voce vengano usati così.
- Non vergognarti di segnalarlo al tuo team. Succede ad aziende di ogni dimensione: nel 2024 la filiale britannica di un'azienda energetica tedesca avrebbe trasferito 220.000 euro dopo che il suo dirigente ha ricevuto una chiamata identica a quella dell'amministratore delegato della casa madre tedesca, con una voce clonata, che chiedeva un pagamento urgente per chiudere un accordo. Se può succedere lì, non è un tuo fallimento personale se succede a te.
Da mettere in pratica questa settimana
Quattro cose da avviare questa settimana, senza sistemi né budget:
- Scrivi il protocollo del richiamo, alla lettera — una riga su un foglio vicino alla cassa o alla scrivania: "Dato bancario modificato: richiama il vecchio numero, mai il nuovo."
- Dillo a chiunque si occupi di pagamenti — anche a chi paga una fattura nel tuo giorno libero.
- Concorda una parola d'ordine o una domanda di controllo con i fornitori abituali e il commercialista per le modifiche telefoniche — qualcosa che una voce clonata non saprebbe.
- Metti un secondo paio d'occhi su ogni pagamento oltre un importo che consideri rilevante — anche se significa che socio o commercialista ricevono un messaggio prima che tu invii.
Il punto
Una voce clonata è convincente perché è esattamente ciò che dichiara di essere: una voce che suona giusta. Ciò che non torna sono la fretta, la richiesta di tenere il silenzio e il numero modificato — e questi tre elementi sono riconoscibili senza alcuna competenza tecnica. Un'abitudine, richiamare un numero che avevi già, ferma quasi ogni versione di questa storia prima che parta il denaro.