La tecnologia dei deepfake ha reso notevolmente più semplice per i truffatori impersonare professionisti del mondo aziendale. Ora un truffatore può partecipare a una chiamata in video e rispondere alle domande in tempo reale con credibilità, spacciandosi per un’altra persona.

Si tratta del terzo canale di impersonificazione basata sull’AI, dopo email e voce, ed è quello per cui le aziende sono meno preparate: un volto in una videochiamata sembra completamente umano e impossibile da falsificare.

Abbiamo già parlato di come le campagne di phishing basate sull’AI siano più veloci e semplici da avviare e di come il voice cloning stia aumentando i tentativi di vishing. In questo articolo esploreremo cosa succede quando l’identità di una persona viene appropriata tramite video deepfake e come impedire che i membri del team cadano nelle truffe con i deepfake.

Cosa rende diverse le frodi con video deepfake

L’inganno via email si basa sui dettagli scritti: il tono giusto, il contesto giusto e una richiesta plausibile ma urgente. Il voice cloning si basa sull’udito: una voce familiare che dice qualcosa di abbastanza urgente da aggirare un momento di dubbio. La frode con video deepfake va oltre e compromette l’unico istinto di verifica che la maggior parte delle persone non pensa mai di mettere in discussione: vedere il volto di qualcuno e sentirlo parlare, in tempo reale, in una chiamata identica a tutte le altre videoconferenze del calendario.

I dipendenti sono addestrati a essere scettici davanti a un’email e a ricontrollare le telefonate inaspettate. Quasi nessuno è addestrato a mettere in dubbio una videochiamata faccia a faccia, perché il video è sempre stato affidabile quanto un incontro di persona.

Questa nuova frontiera delle frodi richiede una rivalutazione di ciò che è attendibile sul lavoro, così come di quanto facilmente i processi possano essere aggirati dall’urgenza.

Come funzionano le truffe con deepfake nella pratica

La frode con video deepfake può assumere diverse forme. La più semplice è un video deepfake preregistrato riprodotto durante una chiamata in diretta, a volte con il malintenzionato che silenzia la propria camera e adduce problemi di connettività per spiegare perché il “dirigente” non risponde in modo naturale alle domande di approfondimento.

Gli attacchi più sofisticati utilizzano strumenti di face swapping in tempo reale durante una vera chiamata in diretta, consentendo al malintenzionato di rispondere, annuire e reagire sul momento, un comportamento molto più difficile da individuare.

È emerso un terzo schema, che punta specificamente alle riunioni di onboarding e compliance. Una persona sintetica in video che si finge un revisore, una nuova assunzione o un contatto delle risorse umane può partecipare a un’intera riunione pensata per ottenere l’accesso ai sistemi, risposte di sicurezza o credenziali, proprio perché queste riunioni si basano sul presupposto che una videochiamata con una persona reale sia intrinsecamente attendibile.

Un esempio reale di frode con deepfake

Nel 2024, un dipendente del reparto finanziario dell’ufficio di Hong Kong di Arup(nuova finestra), un’azienda di ingegneria con sede nel Regno Unito, ha partecipato a una videochiamata con persone che sembravano essere il CFO dell’azienda e diversi colleghi. Ogni persona presente in quella chiamata era un deepfake generato con l’AI, creato a partire da immagini pubblicamente disponibili di veri dirigenti.

Credendo genuina la richiesta, il dipendente ha autorizzato quindici bonifici per un totale di circa 25 milioni di dollari prima che la frode venisse scoperta, e solo perché per caso ha ricontattato la vera sede centrale dell’azienda in merito alla “transazione riservata” che aveva appena completato.

Il caso Arup resta l’illustrazione più chiara dell’aspetto che questo attacco può assumere su larga scala, ma non è un episodio isolato. Il Fraud Report 2026 di UK Finance(nuova finestra) ha rilevato che le perdite complessive dovute alle frodi sui pagamenti hanno raggiunto 1,28 miliardi di sterline nel 2025, e ha segnalato in particolare gruppi criminali organizzati che ricorrono sempre più spesso a deepfake, voci clonate e identità sintetiche per impersonare persone attendibili e aggirare i controlli di identità.

Una ricerca di settore indipendente di Sumsub(nuova finestra) ha registrato un aumento del 94% anno su anno dei tentativi di deepfake nel Regno Unito, e una indagine di Gartner sui responsabili della sicurezza(nuova finestra) ha rilevato che il 62% delle organizzazioni ha subito qualche forma di attacco deepfake nei dodici mesi precedenti. Qualsiasi azienda che continua a considerare questo un problema futuro è indietro rispetto a quanto già dimostrano i dati.

L’episodio Arup è particolarmente istruttivo su cosa tenere d’occhio. L’istinto iniziale del dipendente era corretto: ha considerato l’email originale come un probabile tentativo di phishing e ha chiesto una videochiamata proprio per confermarlo, ossia esattamente il passaggio di verifica che la maggior parte delle formazioni sulla sicurezza raccomanderebbe.

L’errore si è verificato al passaggio successivo, quando la videochiamata in sé è stata considerata una prova sufficiente, perché nessuno gli aveva detto che un volto convincente sullo schermo non è più affidabile. In quel momento, l’errore è stato causato da una formazione aziendale insufficiente, non dal dipendente.

Quali sono alcuni possibili scenari di frode con deepfake?

Le dinamiche descritte sopra si manifestano in una manciata di scenari ricorrenti, ciascuno rivolto a un diverso punto di leva all’interno di un’azienda. Hanno in comune lo stesso trucco di fondo: un volto e una voce convincenti in una chiamata dall’aspetto del tutto normale, ma il bersaglio e il guadagno possono differire.

Il volto di un CFO che autorizza un bonifico

Un deepfake di un alto dirigente finanziario appare in una chiamata e ordina a un subordinato di elaborare un pagamento urgente e riservato. La presenza di un volto familiare, apparentemente in diretta, elimina i dubbi che una sola email avrebbe suscitato.

Un finto revisore che estorce le credenziali dei sistemi

Una persona sintetica che si finge un revisore esterno o un revisore di compliance conduce un colloquio video con il personale IT o finanziario, presentato come una consueta verifica, e pone domande studiate appositamente per far emergere dettagli sull’accesso ai sistemi, risposte alle domande di sicurezza o informazioni di login.

Un responsabile HR sintetico durante l’onboarding di un nuovo dipendente

Un contatto HR deepfake conduce una chiamata di onboarding con una vera nuova assunzione, o con un dipendente esistente con il pretesto di un aggiornamento delle Policy, e utilizza la sessione per raccogliere dettagli sui sistemi interni, sui permessi di accesso o sulle informazioni per il recupero delle credenziali.

Impersonificazione di un membro del consiglio verso un responsabile finanziario

Un deepfake di un membro del consiglio o di un amministratore non esecutivo di alto livello partecipa a una chiamata con un responsabile finanziario per autorizzare una transazione o richiedere informazioni finanziarie riservate, sfruttando l’autorità di un ruolo che un team finanziario è culturalmente addestrato a non mettere in discussione.

Perché le frodi con deepfake sono più difficili da individuare

La maggior parte dei programmi di formazione anti-phishing e anti-vishing funziona insegnando alle persone ad aggiungere attrito a un processo che qualcuno sta cercando di far passare in fretta: un’email può essere inoltrata all’IT per una verifica, una telefonata può essere interrotta per verificare un numero di telefono.

Le videochiamate non ricevono lo stesso scrutinio istintivo, perché per anni la videochiamata è stata il sostituto digitale più vicino al trovarsi in una stanza con qualcuno. Raramente si dice ai dipendenti di essere diffidenti verso il volto di un collega, perché l’assunzione culturale alla base delle videoconferenze è che siano del tutto affidabili.

È proprio questa assunzione che la frode con video deepfake sfrutta. Un malintenzionato non deve superare lo scetticismo del dipendente riguardo alla richiesta in sé. Gli basta fornire l’unica cosa che in passato ha sempre dissipato lo scetticismo: un volto familiare che risponde in modo naturale in tempo reale.

Si tratta di una barra molto più alta per un dipendente, ed è per questo che i protocolli di verifica per questo canale devono essere procedurali e non basarsi sul semplice fatto che qualcuno noti qualcosa di strano.

C’è anche una dinamica sociale da sfidare. Mettere in dubbio una richiesta scritta sembra normale prudenza. Mettere in dubbio una telefonata sembra ragionevole, dato che impersonare una voce è un rischio noto da anni.

Ma mettere in dubbio un volto in una videochiamata, soprattutto quello di un collega senior, può sembrare quasi un’accusa, ed è proprio per questo che i dipendenti esitano a farlo anche quando qualcosa nell’interazione appare leggermente strano. Rimuovere quel costo sociale, trasformare la domanda in una prassi normale e attesa anziché imbarazzante, è importante per la prevenzione dei deepfake e per la difesa quanto qualsiasi controllo tecnico.

Protocolli di verifica che funzionano specificamente per il video

Crea un codice

Parole in codice o gesti concordati in anticipo attraverso un canale separato sono una delle poche cose che un deepfake non può davvero produrre, perché non esistono in nessun materiale pubblico su cui un malintenzionato potrebbe addestrare un modello.

Una frase semplice e modificabile o un segnale fisico, confermati periodicamente tra il personale dirigenziale e i team finanziari, danno ai dipendenti qualcosa di concreto da richiedere, invece di affidarsi a una sensazione soggettiva che la chiamata sembri strana.

Fissa regole di autorizzazione non negoziabili

Nessuna autorizzazione finanziaria o divulgazione di credenziali dovrebbe avvenire mai tramite una sola videochiamata. Questa deve essere una Policy concreta, non una decisione lasciata alla discrezione di chi si trova sulla chiamata in quel momento: qualsiasi richiesta di questo tipo, indipendentemente da chi sembri fare la richiesta, richiede una seconda conferma attraverso un canale realmente separato, utilizzando dettagli di contatto già archiviati e non dati forniti durante la chiamata stessa.

I dipendenti devono ricevere l’autorizzazione esplicita e ripetuta di chiedere “sei davvero tu?” in qualsiasi chiamata, indipendentemente da chi sembri essere sullo schermo. Devono anche sentirsi liberi di chiedere una prova, tramite un altro canale, che la persona sia davvero chi dice di essere.

L’istinto che impedisce alle persone di mettere in discussione una figura dirigenziale è proprio ciò su cui si basa questo attacco, e quell’istinto scompare solo quando la dirigenza rende inequivocabile che la domanda sia sempre lecita.

Conserva i registri

Registrare e conservare i log delle videoconferenze sensibili, in particolare tutto ciò che riguarda autorizzazioni finanziarie, accesso alle credenziali o onboarding, offre a un’azienda qualcosa da rivedere dopo il fatto se una richiesta risulta fraudolenta, e sapere che una riunione viene registrata è di per sé un lieve deterrente contro i malintenzionati che preferiscono operare senza lasciare tracce.

Tratta le videochiamate allo stesso modo delle email

La frode con video deepfake riesce perché sfrutta l’unico canale per cui le aziende non hanno mai addestrato i dipendenti a essere diffidenti. L’inganno via email è coperto dalla sensibilizzazione al phishing, e l’inganno vocale è coperto dalla verifica tramite richiamata e dalla formazione di cui abbiamo scritto riguardo all’ingegneria sociale più in generale.

Essere consapevoli delle videochiamate deepfake non richiede che i dipendenti diventino analisti forensi in grado di individuare un video sintetico fotogramma per fotogramma. Richiede che un’azienda accetti che un volto e una voce convincenti non sono più, da soli, la prova di nulla, e che sviluppi abitudini di verifica che non dipendano dal fatto che qualcuno diventi sospettoso sul momento.

Rinforzare quella cultura insieme alle pratiche più ampie illustrate nella nostra guida alla costruzione di una solida cultura della sicurezza sul posto di lavoro dà a un team lo stesso istinto per il video che una buona formazione già sviluppa per email e telefonate.

La connessione con le credenziali: limitazione della portata di una verifica fallita

Qualunque forma assuma un attacco basato su video deepfake, frode ai danni del CFO, falso revisore o finto contatto delle risorse umane, l’obiettivo finale è sempre uno di due: una transazione finanziaria o un insieme di credenziali. Il video è semplicemente il mezzo di consegna di una richiesta che, se va a buon fine, trasferisce direttamente denaro o fornisce all’attaccante un login che consente di causare danni a proprio piacimento.

Ecco perché l’igiene delle credenziali è importante, anche quando l’attacco in sé, inizialmente, non ha nulla a che fare con una password rubata. Se una chiamata deepfake induce qualcuno a consegnare una credenziale, password univoche e l’autenticazione a più fattori limitano ciò che quella singola credenziale può effettivamente raggiungere.

Anche in questo caso vale il principio di contenimento che abbiamo illustrato a proposito della compromissione delle email aziendali: l’obiettivo non è rendere ogni dipendente individualmente inattaccabile di fronte a un attacco sofisticato, ma garantire che, quando la verifica fallisce una volta, il danno rimanga contenuto.

Un gestore di password aziendale come Proton Pass for Business rende il contenimento realisticamente sostenibile: rimuove la pressione a riutilizzare password familiari su più account e semplifica per i dipendenti il rispetto delle policy sulle password. Abbinato a una piattaforma sicura per le videoconferenze e a una cultura del lavoro che considera normale, e non sospetto, mettersi in pausa per verificare, questa combinazione è ciò che realmente limita i danni quando le videochiamate non sono più pienamente attendibili.

Riduci l’esposizione del tuo team alle frodi da impersonificazione con un gestore di password aziendale.