Approfondimento editoriale · fonti ufficiali (ENISA)medium
La voce del tuo capo può essere falsa: l'ingegneria sociale nell'era dell'AI
L'ingegneria sociale resta la porta d'ingresso più usata, e l'AI l'ha resa più economica e credibile: la clonazione vocale permette di imitare la voce di un dirigente con pochi secondi di audio, i testi di phishing generati sono privi degli errori che un tempo li tradivano. ENISA colloca il phishing e l'ingegneria sociale in cima alle minacce. Un approfondimento su cosa cambia davvero, e su perché la difesa è culturale e procedurale prima che tecnica.
Un approfondimento, non l'attacco del giorno
Questo pezzo non racconta una singola truffa: racconta come una tecnica vecchia — convincere una persona a fare qualcosa — sia diventata più pericolosa perché l'AI ne ha abbassato il costo e alzato la credibilità. È un tema di cultura, non di prodotto: nessun software da comprare lo risolve da solo, e ignorarlo è il modo più comune per farsi aprire la porta dall'interno.
Il dato di partenza
Le rilevazioni di ENISA, l'agenzia dell'Unione europea per la cybersicurezza, sono nette: il phishing e l'ingegneria sociale restano fra i vettori di accesso iniziale più usati contro le organizzazioni dell'UE. Non è una novità in sé — le persone sono da sempre il bersaglio più conveniente — ma la novità è come vengono attaccate. ENISA segnala che gli avversari sfruttano sempre più l'AI per automatizzare e migliorare le campagne: modelli manipolati, contenuti sintetici, testi generati che non hanno più gli errori grammaticali che un tempo facevano scattare il sospetto.
Cosa è cambiato, concretamente
Tre cose, tutte nella stessa direzione. La prima è la qualità del testo: l'email o il messaggio di phishing generato da un modello è fluente, contestuale, personalizzato. L'euristica popolare «se è scritto male è una truffa» non funziona più — mai stata affidabile, ora è controproducente.
La seconda è la clonazione vocale. Con pochi secondi di audio — una conferenza pubblica, un messaggio vocale, un video sui social — è possibile sintetizzare una voce che suona come quella di un dirigente. La telefonata «urgente» del capo che chiede un bonifico immediato o le credenziali di un sistema non è più un'ipotesi da film: è una tecnica documentata, applicata soprattutto contro finanza, HR e help desk.
La terza è la scala. L'automazione permette di condurre molte più conversazioni credibili contemporaneamente, abbassando il costo per tentativo e alzando il numero di bersagli raggiungibili. Il phishing diventa un servizio industriale, non un artigianato.
Perché la difesa è (soprattutto) culturale
Perché il punto attaccato non è un sistema, è una decisione umana presa sotto pressione. E le pressioni sono sempre le stesse: urgenza («serve subito»), autorità («è il direttore»), riservatezza («non dirlo a nessuno»). Riconoscere questa terna vale più di qualunque corso tecnico: quando una richiesta arriva accompagnata da tutte e tre, è quello il momento di rallentare, non di eseguire.
La difesa efficace non è colpevolizzare chi ci casca — è togliere all'attaccante la leva. Significa procedure che non dipendono dal riconoscere una voce: una conferma su canale indipendente prima di ogni operazione sensibile (richiamo al numero noto, non a quello da cui è arrivata la richiesta), un secondo consenso per i pagamenti oltre una soglia, il permesso esplicito di dire di no a una richiesta «dall'alto» senza timore di ritorsioni. Sono regole, non slide.
In una riga
L'AI non ha inventato l'inganno, ne ha industrializzato la produzione. La contromisura non è un rilevatore di deepfake miracoloso, ma la stessa da sempre, resa ora non negoziabile: verificare l'identità con qualcosa che non sia la voce o il tono, e costruire processi in cui nessuna singola richiesta, per quanto convincente, basta da sola a muovere denaro o dati. Per i dati di contesto e l'evoluzione delle minacce, il riferimento è il Threat Landscape di ENISA.
