L'AI ha reso gratis la credibilità. La fiducia, no.

Febbraio 2026, Fideuram, la banca privata di Intesa Sanpaolo. Un messaggio WhatsApp arriva a un dipendente: foto profilo, tono e firma sono quelli del CEO. Poco dopo squilla il telefono. Una voce calma si presenta come un avvocato e conferma l'operazione. Nessun malware, nessuna falla nel software. Secondo le ricostruzioni, la banca autorizza bonifici per circa 95 milioni di euro; circa 36 non vengono recuperati. L'inchiesta è aperta.

Nessun server compromesso, nessun database violato. Il buco era una procedura che si fidava della voce.

Il malware resta in laboratorio

Il racconto più diffuso parla di modelli che scrivono virus. Unit 42, il team di ricerca di Palo Alto Networks, ha censito 405 campioni di malware scritto con l'aiuto dell'AI: dodici visti in produzione, il 3 per cento. È telemetria di un fornitore, quindi una stima. L'ordine di grandezza regge: quasi tutto quel malware resta in laboratorio.

Le truffe hanno già incassato. Arup, multinazionale dell'ingegneria, ha confermato 25,6 milioni di dollari persi in una videochiamata con un finto direttore finanziario, a Hong Kong, nel 2024. In Italia, nel febbraio 2025, un imprenditore ha versato circa un milione di euro dopo aver sentito la voce clonata del ministro della Difesa Guido Crosetto.

Gli indicatori di tendenza vanno presi con le molle. Signicat, che vende verifica dell'identità, misura un aumento del 2.137 per cento dei tentativi di deepfake in tre anni. Survey commerciale: utile per la direzione, da scontare nel valore assoluto.

IBM, nel Cost of a Data Breach 2026, calcola 4,99 milioni di dollari di costo medio per violazione, il 12 per cento in più, e una crescita del 56 per cento degli attacchi guidati dall'AI. Chi usa AI e automazione nella sicurezza dichiara però un risparmio di 1,93 milioni. Due curve opposte: dipende da dove la metti.

La credibilità costa pochi secondi

Fino a qualche anno fa, per sembrare qualcun altro servivano una squadra e settimane di studio. Oggi bastano pochi secondi di audio presi da un video pubblico. L'AI non ha reso gli attacchi più intelligenti: ha trasformato la credibilità in una merce a basso costo, disponibile in quantità illimitata.

Uno studio peer-reviewed di Heiding e colleghi misura le email di phishing scritte da un modello linguistico: tasso di clic tra il 54 e il 56 per cento, quanto quelle di esperti umani. Non colpiscono meglio di un bravo truffatore. Colpiscono mille volte, in tutte le lingue, a costo quasi zero.

NYU Tandon ed ESET hanno presentato PromptLock, prototipo in cui un modello linguistico scrive gli script di un ransomware, il programma che cifra i file e chiede un riscatto. La simulazione calcola 0,70 dollari di token per attacco, l'unità di consumo dei modelli via API, e il 63-96 per cento dei file sensibili individuati. Il prezzo viene da listini commerciali, non dal portafoglio di un criminale con modelli gratuiti. Resta un ordine di grandezza: la parte difficile dell'attacco costa pochi centesimi.

Il ransomware autonomo, però, è un prototipo: non gira in produzione. La voce clonata sì. Questa asimmetria separa il 2024-2026 dagli anni in cui il pericolo era un'AI capace di bucare i sistemi. Oggi l'AI fabbrica fiducia in serie, e la fiducia è la materia prima di ogni bonifico.

Un detector non firma il bonifico

Le difese tecniche servono, purché si sappia cosa possono fare. Un modello di apprendimento automatico non capisce se una email è falsa: ha visto milioni di email etichettate e ha imparato quali segnali precedono una truffa. Fa il buttafuori. Riconosce il comportamento strano, non la faccia del ladro.

Per questo le difese migliori guardano le relazioni, non il testo: chi scrive a chi, con che frequenza, da quale infrastruttura. Così si intercetta il fornitore che cambia IBAN o il CEO che scrive per la prima volta a un impiegato. L'analisi comportamentale degli utenti, in gergo UEBA, costruisce una linea di base per persona. Il rilevamento deepfake cerca tracce di sintesi: labiale fuori sincrono, texture, ritmo.

I limiti sono noti. I falsi positivi crescono con la sensibilità. Il modello invecchia quando gli attaccanti cambiano formato. Chi conosce il filtro lo aggira con testo spezzato, immagini, caratteri invisibili. In un incidente serve una spiegazione, non un punteggio. E nessun filtro ferma una voce clonata sul cellulare del direttore finanziario.

C'è poi un problema fisico. La compressione delle piattaforme cancella i segnali su cui i detector sono addestrati: la letteratura stima un calo fino al 65 per cento di accuratezza sui contenuti reali. Inseguire il falso perfetto è una corsa persa. Il falso migliora ogni mese, tu devi azzeccare ogni volta, l'attaccante una sola. Ne parliamo anche in vishing e voci clonate.

Regola pratica: l'apprendimento automatico riduce il rumore, non emette verdetti. Su azioni irreversibili decide un processo umano o una chiave crittografica.

La domanda da fare al telefono

Se la voce non è più una prova, la fiducia deve appoggiarsi a qualcosa che l'attaccante non controlla: un numero preso dall'anagrafica, una seconda approvazione su un altro canale, una chiave crittografica. È lo zero trust (fiducia zero: nessun utente e nessun dispositivo è affidabile per impostazione predefinita) applicato alle persone che conosci. Fino a ieri sembrava paranoia. Oggi è igiene.

C'è una seconda faccia del rischio, più diffusa e meno spettacolare: l'AI dentro i processi. Un dipendente che incolla un preventivo in un chatbot non autorizzato apre la porta allo shadow AI, l'uso di strumenti AI fuori dal controllo dell'IT. Un agente che legge una pagina web e obbedisce a un'istruzione nascosta è un caso di prompt injection. Il report IBM 2025 calcola che il 97 per cento delle organizzazioni colpite da un incidente legato all'AI non avesse controlli d'accesso adeguati. Il problema è il permesso che gli hai dato, non il modello.

Sei misure che reggono anche col falso perfetto

Tutte alla portata di una PMI.

1. Autenticazione a più fattori resistente al phishing. Passkey e FIDO2 su email, VPN, pannelli di amministrazione e home banking; conferma numerica al posto delle notifiche push alla cieca; addio progressivo a SMS e codici vocali.
2. Verifica il canale, non il messaggio. Richiama su un numero preso dall'anagrafica, mai su quello indicato nella richiesta. Fissa una parola d'ordine per le urgenze. Sulla posta, DMARC con politica p=reject.
3. Due canali e 24 ore per ogni nuovo beneficiario. Nessun pagamento verso un IBAN nuovo senza seconda approvazione su canale diverso e una finestra di attesa. Nessuna eccezione per il CEO o per l'operazione urgente. Da sola, questa misura avrebbe fermato Arup.
4. Inventario e governo dell'AI. Registro degli strumenti in uso, anche non autorizzati; regole su cosa non incollare in un chatbot; permessi minimi e log per gli agenti.
5. Simulazioni multi-canale, non quiz. Esercitazioni con voce clonata, video e WhatsApp su finanza, risorse umane, assistenza di direzione e acquisti. Misura quante persone richiamano, non quante cliccano.
6. Un canale di escalation senza vergogna. Chi segnala un sospetto non si giustifica e non teme ritorsioni. Dieci minuti di verifica sono sempre autorizzati, anche se l'ordine arriva dal capo.

Tre righe e un pomeriggio

Non serve un progetto da sei mesi. Prendi la procedura pagamenti e aggiungi tre righe: richiamata obbligatoria su un numero in anagrafica, seconda approvazione su canale diverso per ogni IBAN nuovo, attesa di 24 ore. Poi conta quante caselle dipendono ancora da un SMS. Infine organizza una simulazione con voce clonata: dieci persone, un pomeriggio, e scopri quanto la procedura si regge sulla voce di qualcuno.

L'AI ha reso gratis la credibilità. La fiducia no. Resta l'unica cosa che nessun modello può generare al posto tuo: si costruisce con procedure noiose, verificate e ripetute. È il lavoro meno visibile della cybersecurity, e quello che salva i soldi.