Una chiamata con la voce del tuo CEO chiede un bonifico riservato: una truffa con l'IA ha sottratto 129 milioni di dollari alle aziende, e una regola la ferma

La frode è tra le ricerche più frequenti in Arabia Saudita oggi, martedì 10 novembre 2026. Cinque giorni fa i procuratori federali USA di New York hanno annunciato accuse contro una banda che ha usato l'IA per clonare la voce e l'immagine di amministratori delegati e avvocati, convincendo dei dipendenti a trasferire oltre 129 milioni di dollari, circa 483 milioni di riyal sauditi, tra il 2024 e il 2026. La lezione per ogni azienda: non inviare mai denaro perché la voce sembra quella del capo. Ogni richiesta di bonifico fuori dalla procedura normale va confermata con una chiamata che fai tu a un numero già registrato, più l'approvazione di una seconda persona, senza eccezioni per gli affari riservati. (Abbiamo trattato il quadro generale nel nostro articolo su deepfake e frodi con l'IA, e le email false nel nostro articolo sulle email di phishing.)

Cosa è successo, in cifre

Giovedì 5 novembre 2026 la Procura federale del Distretto meridionale di New York ha reso pubblico un atto d'accusa contro 3 persone arrestate in Spagna e nel Regno Unito, per le quali sono pendenti richieste di estradizione. Tutto ciò che contiene l'atto d'accusa sono accuse non ancora provate in tribunale. Il comunicato ha indicato 6 aziende vittime, tra le altre:

• Un gruppo ospedaliero del Missouri: 4.829.580 $.
• Una banca del Rhode Island: 2.684.580 $.
• Un gruppo ospedaliero della California: 2.968.497 $.
• Un'azienda di tecnologia finanziaria del Regno Unito: 11.578.474 $.
• Una società di fondi comuni del Massachusetts: 4.639.918 $.
• Un produttore di cibo per animali della Florida: 5.242.747 $.

Queste sei da sole valgono circa 31,9 milioni di dollari. Nota che le vittime non erano piccole attività distratte: tra loro ci sono una banca, una fintech e un gestore di fondi, organizzazioni con team finanziari e controlli.

Come si svolge la chiamata, passo dopo passo

Secondo il comunicato della procura, il copione si ripeteva sempre nello stesso ordine:

1. Chiama il CEO: il truffatore si spaccia per l'amministratore delegato, usa l'IA per imitarne la voce o l'immagine nella chiamata e chiede aiuto al dipendente per un'operazione finanziaria riservata.
2. Entra l'avvocato: il falso CEO dice al dipendente di contattare avvocati di grandi studi internazionali che lavorerebbero all'operazione, e i truffatori si spacciano anche per questi avvocati.
3. Il bonifico: il falso avvocato ordina un bonifico ingente verso un conto controllato dalla banda, in paesi tra cui Stati Uniti, Spagna, Portogallo, Grecia, Emirati Arabi Uniti, Singapore, Austria, Slovacchia e Cina.
4. L'occultamento: una volta arrivato, il denaro viene convertito in criptovaluta per nasconderne l'origine.

Il dettaglio più eloquente: uno degli imputati conservava un copione scritto a mano intitolato Lawyer Call, con frasi pensate per convincere i dipendenti a non parlare delle chiamate con i colleghi. La segretezza non è un dettaglio secondario di questa truffa. È lo strumento che spegne ogni controllo interno.

Perché riconoscere la voce non basta

Il consiglio di ascoltare con attenzione non funziona più. Il rapporto annuale 2025 dell'Internet Crime Complaint Center dell'FBI afferma che i contenuti sintetici creati con l'IA sono sempre più difficili da individuare e più facili da produrre, e che la clonazione della voce viene usata per chiedere bonifici. Solo nel 2025:

• Il centro ha ricevuto 22.364 denunce che citavano l'IA, con perdite per 893.346.472 $.
• Le aziende hanno segnalato oltre 30 milioni di dollari persi in frodi di compromissione della posta aziendale con l'IA.
• La compromissione della posta aziendale nel complesso è costata 3.046.598.558 $ su 24.768 denunce.

Sono dati statunitensi, ma il metodo non ha confini, e i conti della banda includevano gli Emirati Arabi Uniti. In Arabia Saudita la Banca centrale saudita (SAMA) osserva che i metodi di frode variano ma lo scopo resta lo stesso, rubare il tuo denaro o usare il tuo conto per operazioni illegali, e consiglia di informarsi solo da fonti ufficiali. In azienda, la fonte ufficiale è un numero che hai già registrato, non il numero che ti ha chiamato.

5 regole che proteggono i bonifici della tua azienda

1. La richiamata è obbligatoria. Ogni richiesta di bonifico al telefono, in video o su WhatsApp, anche con la voce del CEO, si conferma con una chiamata che il dipendente fa al numero del CEO presente negli archivi aziendali, mai richiamando lo stesso numero né entrando in un link di riunione inviato da chi chiede.
2. Nessuna eccezione per la riservatezza. Scrivilo nella policy aziendale: nessun affare riservato è esentato dalla procedura di approvazione. Di' al tuo team che il vero CEO non chiederà mai di nascondere un bonifico al responsabile finanziario. Qualsiasi richiesta di non dire nulla ai colleghi significa fermarsi subito.
3. Due approvazioni oltre una soglia. Stabilisci un importo oltre il quale un bonifico richiede un secondo approvatore che non era nella chiamata, possibilmente imposto nel sistema finanziario e nei permessi del conto bancario, non solo scritto in un manuale.
4. Una parola di verifica interna. Concorda con chi può chiedere bonifici una domanda o una parola usata solo nelle richieste di pagamento e mai scritta in email o chat. Un truffatore può clonare una voce, ma non può sapere ciò che non ha mai sentito.
5. Segnala in ore, non in giorni. Se il denaro è partito, chiama subito la banca e chiedi di bloccarlo. Nel 2025 il Recovery Asset Team dell'FBI ha lavorato con le banche su 3.900 casi e congelato 679.013.183 $, con un tasso di successo del 58%, e il fattore principale è stata la rapidità delle segnalazioni.

Il punto di vista di Origami

Leggiamo questo caso come un problema di processo più che di tecnologia. La banda non ha violato i sistemi di nessuna vittima. Ha sfruttato una sola cosa: un dipendente che poteva muovere denaro da solo e che obbediva a una voce familiare. Quando falsificare voce e volto costa poco, l'unica regola che regge è quella che non dipende dal giudizio del dipendente su ciò che sente.

Per questo, quando sviluppiamo sistemi su misura di contabilità, acquisti o pagamenti per le aziende saudite, inseriamo il flusso di approvazione nel sistema stesso: limiti di importo, una seconda approvazione e un registro di ogni richiesta e di chi l'ha approvata, così che nessuna chiamata convincente possa aggirarlo. Se vuoi una revisione del tuo flusso di approvazione dei pagamenti, contattaci o scopri i nostri servizi.

In sintesi: cosa fare questa settimana

• Riunisci tutti coloro che possono inviare o approvare pagamenti e spiega loro questo caso in 10 minuti.
• Inserisci la regola della richiamata e quella dell'assenza di eccezioni per la riservatezza in una policy scritta firmata dal team.
• Controlla i permessi del conto bancario: una sola persona può inviare qualsiasi importo senza seconda approvazione?
• Salva il numero antifrode della tua banca presso il team finanziario prima di averne bisogno.

Fonti

• Dipartimento di Giustizia USA, Procura federale del Distretto meridionale di New York — comunicato del 5 novembre 2026: le accuse, il metodo di sostituzione del CEO e degli avvocati, le perdite delle sei aziende e i paesi in cui erano aperti i conti.
• FBI Internet Crime Complaint Center — rapporto annuale 2025 dell'IC3: denunce e perdite legate all'IA, perdite da compromissione della posta aziendale e risultati del congelamento dei fondi.
• Banca centrale saudita (SAMA) — avviso su messaggi e chiamate sospette: metodi di furto d'identità, il loro scopo e il consiglio di affidarsi solo a fonti ufficiali.