Il deepfake è già una spesa operativa: come una PMI perde il controllo finanziario quando la voce del CEO non è più prova
La narrazione tipica della frode aziendale era lineare: un'e-mail falsa, un conto bancario nuovo, un dipendente distratto e un pagamento che non avrebbe dovuto essere eseguito. La tecnologia dei deepfake ha spezzato questo copione e lo ha sostituito con una minaccia più costosa da contrastare, perché colpisce un punto in cui un'organizzazione concentra molto valore: l'autorità.
Il rischio non è soltanto tecnologico: dipende anche dalla preparazione di chi autorizza i pagamenti. In un sondaggio condotto da business.com nel maggio 2024 su 244 dirigenti aziendali, il 32% non aveva fiducia nella capacità dei propri dipendenti di riconoscere tentativi di frode tramite deepfake, e il 61% dichiarava di non aver stabilito protocolli per affrontare questo rischio. Sono risposte di un campione specifico, non una misura universale della preparazione né una stima delle perdite aziendali. Per la direzione, il segnale utile è la distanza tra l'autorità attribuita a un'istruzione e le prove richieste per eseguirla.
Per una PMI, questo non è un tema di “governance sofisticata” né di comitati. È un problema di continuità: quando un’azienda non riesce a distinguere un ordine reale da uno simulato, il suo sistema di pagamenti diventa una vulnerabilità per il margine.
La meccanica della truffa: il deepfake trasforma l'urgenza in autorizzazione
Un caso documentato dal Governo di Hong Kong illustra il meccanismo. Alla fine di gennaio 2024, la polizia ricevette una denuncia relativa a una videoconferenza preregistrata che impersonava il direttore finanziario di un'azienda: la vittima autorizzò trasferimenti e perse circa 200 milioni di dollari di Hong Kong. Secondo l'indagine descritta nel giugno dello stesso anno, il video era stato realizzato con immagini e voci disponibili pubblicamente; durante la riunione non vi fu alcuna interazione reale e le istruzioni proseguirono tramite messaggistica. Il caso mostra come più canali possano sembrare confermare la stessa autorità senza fornire una verifica indipendente.
Ciò che è rilevante per una PMI non è l'importo specifico, ma la struttura di persuasione.
1) Il deepfake può compromettere i processi umani senza prima penetrare in un sistema. Una videochiamata o un messaggio audio possono svolgere il ruolo dell'equivalente moderno di “inoltralo per favore, è urgente”. Nelle organizzazioni con controlli deboli, l'urgenza sostituisce la verifica. Questo non esclude che altri attacchi combinino l'impersonificazione con un'intrusione tecnica.
2) L'attacco è già multicanale. Foto in messaggistica, chiamata su Teams, email formali e, a volte, pressione temporale. Questa combinazione crea una falsa sensazione di “conferma incrociata”. Quando l'attaccante simula più fonti, la vittima crede di aver convalidato.
3) Si indirizza al punto in cui l'azienda trasforma fiducia in denaro: la tesoreria. Non è necessario penetrare un ERP se il processo consente a un'istruzione di pagamento di uscire per “autorità percepita”.
Detto in termini finanziari semplici, il deepfake è una tassa sulla liquidità: aumenta la probabilità che un’uscita di cassa avvenga senza una controprestazione reale. E questo tipo di perdita non si recupera con marketing o vendite aggiuntive; si recupera con disciplina di controlli o con capitale esterno.
Il costo reale per le PMI: non è la frode, è il ridisegno del controllo interno
Una PMI tende a considerare la cybersecurity una spesa discrezionale fino a quando non si verifica un incidente. Il deepfake costringe a trattarla come un costo strutturale, perché aumenta il costo previsto di ogni eccezione nei pagamenti.
La metrica chiave è il valore atteso di perdita, che non richiede matematica sofisticata: probabilità di incidente per impatto medio.
Le osservazioni dei fornitori di sicurezza descrivono attività all'interno delle rispettive reti di clienti; non consentono di calcolare la probabilità esatta di frode per qualsiasi PMI. Per questo, una direzione finanziaria non dovrebbe trasformare un tasso settoriale in una previsione automatica di perdita. Deve valutare la propria esposizione: chi può ordinare pagamenti, attraverso quali canali e con quali controlli. In un'azienda con processi informali emergono due possibili moltiplicatori del rischio.
- Concentrazione di autorità. Nelle PMI, un CEO o un CFO è solitamente responsabile per l'approvazione di pagamenti, cambi di conto e eccezioni. Se quell’identità viene clonata, si clona il “sigillo” dell’azienda.
- Tolleranza operativa alle eccezioni. Le PMI guadagnano velocità con scorciatoie: pagamenti tramite WhatsApp, approvazioni vocali, cambi di conto confermati da chiamate. Il deepfake trasforma questa velocità in un vettore di perdita.
L'effetto secondario è altrettanto costoso: paralisi operativa. Se un'azienda reagisce in ritardo, congela pagamenti, frena acquisti, compromette relazioni con fornitori e può incorrere in penalità. La frode è l’uscita di cassa; il danno operativo è la compressione del margine a causa di inefficienze e urgenze.
La lettura corretta per la direzione generale è questa: la difesa non consiste nel “rilevare deepfake” come se fosse un antivirus, ma nel fare in modo che l’autorizzazione dei pagamenti non dipenda da un canale falsificabile. La voce e il video sono già falsificabili a costo contenuto.
Protocolli che cambiano davvero i numeri: separare autorità da esecuzione
Il 61% che dichiarava di non avere protocolli nel sondaggio di business.com del 2024 evidenzia una carenza specifica in quel campione. Non dimostra che tutte le aziende siano esposte allo stesso modo, ma impone una domanda operativa: se domani arrivasse un ordine di pagamento con voce o immagine falsificate, quale procedura impedirebbe all'urgenza di sostituire la verifica?
In una PMI, l'obiettivo non è burocratizzare, ma progettare un sistema in cui la frode richieda di rompere più parti contemporaneamente. Tre decisioni pratiche producono un impatto diretto sul controllo della liquidità.
1) Soglie di pagamento con doppio controllo reale, non nominale. Doppio controllo significa due persone e due canali distinti, con evidenza. Se un trasferimento supera una soglia, l'approvazione non può avvenire tramite audio, videoconferenza o messaggistica. Deve esserci un secondo fattore operativo: un flusso in banca aziendale con permessi separati, o una conferma tramite canale precedentemente concordato e registrato.
2) Conti bancari dei fornitori con “periodo di raffreddamento”. Il cambio di conto è il punto classico della frode. La regola finanziariamente sensata è semplice: cambi di conto non applicati lo stesso giorno per pagamenti consistenti. Il cambio viene registrato, convalidato tramite un canale non improvvisato e eseguito dopo un periodo minimo. Questo riduce il valore dell'attacco di urgenza, che è la sua principale leva.
3) Processo di eccezioni con tracciabilità. Il deepfake prospera nell'eccezione: “fai subito”, “è confidenziale”, “non portarlo a un livello gerarchico superiore”. Una PMI ha bisogno dell'equivalente di una “chiusura contabile” per pagamenti urgenti: qualsiasi eccezione richiede registrazione, motivazione ed evidenza. Non per punire, ma affinché il team sappia che l'eccezione è un evento soggetto ad audit.
Queste misure non richiedono necessariamente budget enormi. Richiedono di accettare un'idea scomoda: la fiducia interna non basta come prova. Pindrop ha segnalato un aumento su base annua del 680% nell'attività di deepfake durante il 2024, nell'ambito della propria analisi delle chiamate. Separatamente, Ontinue ha comunicato un incremento del 1.633% degli incidenti legati al vishing rilevati dal proprio team ATO nel primo trimestre del 2025; il suo rapporto confronta il dato con il trimestre precedente. Sono osservazioni di fornitori e di fenomeni diversi, non tassi mondiali intercambiabili né misure delle perdite di cassa. Per una PMI servono a giustificare controlli verificabili, non a prevedere quanto denaro perderà.
L'angolo che il consiglio di amministrazione tende a ignorare: il deepfake colpisce anche il flusso di cassa
Il titolo dei media tende a concentrarsi sulla reputazione o sul “rischio d'immagine del CEO”. Per una PMI, il colpo materiale si verifica prima: nella tesoreria quotidiana.
Quando un’azienda subisce un trasferimento fraudolento, non perde solo denaro. Perde opzioni.
- Perde potere di negoziazione con i fornitori se resta senza liquidità nel momento sbagliato.
- Perde margine se deve finanziarsi a costi elevati per coprire un buco di cassa.
- Perde capacità di investimento se reindirizza il budget a coprire il buco.
Nelle aziende finanziate dai propri clienti, il flusso è il loro ossigeno. Un incidente di frode, anche in scala inferiore rispetto ai casi emblematici, può forzare sconti aggressivi per generare liquidità rapida, alterare le politiche di incasso o posticipare acquisti critici. Questo si traduce in deterioramento del servizio, abbandono dei clienti e calo delle entrate future. L'attacco si paga due volte: prima come perdita immediata, poi come erosione operativa.
Per questo motivo, il dibattito “il consiglio non è pronto per l'era dell'IA” atterra nelle PMI come un'istruzione concreta: il CEO e il team finanziario devono concordare una matrice di autorizzazioni che sopravviva alla falsificazione dell’identità.
Conta anche la percezione: nel sondaggio di business.com del maggio 2024, il 31% dei dirigenti intervistati riteneva che i deepfake non avessero aumentato il proprio rischio di frode. Il sondaggio non misura quanto questa convinzione renda un attacco più o meno costoso. La mia lettura per la direzione è che sottovalutare l'esposizione può ritardare gli investimenti nei controlli e prolungare la presenza di processi deboli. All'attaccante non serve che tutte le aziende siano vulnerabili; basta trovarne una che mantenga un percorso di pagamento privo di verifica indipendente.
La direzione corretta: trasformare i pagamenti in un sistema verificabile, non in un atto di fede
La risposta efficace combina tecnologia e processo, ma l'ordine è importante. Se una PMI acquista strumenti senza ridisegnare il proprio flusso di autorizzazione, il costo aumenta e il rischio rimane. Se prima ridisegna il flusso, la tecnologia diventa un moltiplicatore.
La mia raccomandazione, strettamente da un punto di vista di architettura finanziaria, è trattare ogni uscita di cassa come un contratto in miniatura: evidenza, tracciabilità e separazione delle funzioni. L'azienda non ha bisogno di assumere paranoia, ma deve assumere contabilità.
La possibilità di falsificare voci e immagini richiede un cambiamento culturale operativo: nessuno deve “obbedire” a una voce come unica prova quando c'è denaro in gioco. Si segue un protocollo. Per prendere questa decisione non occorre assumere una cifra mondiale delle frodi: l'esistenza di casi documentati basta per verificare se l'autorizzazione dei pagamenti dipende da segnali falsificabili. Una PMI preserva meglio il controllo quando trasforma tale autorizzazione in un sistema ripetibile, con prove e separazione delle funzioni.
La liquidità non è difesa con discorsi né con gerarchie, si difende con meccanismi che rendano più costoso sbagliare che verificare, perché l'unico finanziamento che mantiene il controllo di un'azienda è il denaro del cliente incassato con margine e protetto da processi.
