La tua governance può funzionare alla perfezione e mandare comunque i soldi a un criminale. Le regole verificano che una procedura sia stata seguita. Non verificano che la persona che l'ha avviata fosse reale.
Un martedì qualunque
Il CFO è tra due riunioni quando squilla il telefono. Sul display compare il numero del CEO. La voce è calma, un po' di fretta, e assolutamente giusta. Il CEO è all'estero, la linea è disturbata e un'operazione riservata va approvata oggi. I soci hanno già dato il loro assenso.
Niente di tutto questo è strano. In azienda il viaggio è noto. Decisioni urgenti ce ne sono già state. Il CFO controlla i documenti, ottiene la seconda approvazione e autorizza il pagamento. Ogni passaggio della procedura viene rispettato.
Qualche giorno dopo l'azienda scopre che il CEO non ha mai chiamato. La voce era stata generata da un software a partire da registrazioni pubbliche. Gli aggressori sapevano del viaggio e sapevano come si parlano i due dirigenti.
Questa scena è il caso d'apertura di un recente articolo di due revisori forensi di Rödl su Der Betrieb (Meinrad/Riexinger, DB 2026, 2408). Si basa su un caso reale, riportato pubblicamente.
La procedura era corretta. Il presupposto era falso.
Guarda cosa non ha funzionato. Non il principio dei quattro occhi: hanno approvato due persone. Non la matrice dei poteri di firma: il CFO può autorizzare quell'importo. Non il flusso di approvazione: ogni campo è compilato e ogni firma è agli atti. Un revisore non troverebbe nulla da ridire.
L'errore è avvenuto prima del primo passaggio. Ogni controllo dava per scontato che l'ordine venisse dal CEO. Nessuno ha verificato questo presupposto, perché nella procedura niente lo chiede.
Il secondo approvatore peggiora le cose. Quella persona non ha parlato con il "CEO". Ha approvato perché glielo ha chiesto il CFO, e del CFO ci si fida. Una sola identità falsa all'inizio diventa due firme vere alla fine. Il principio dei quattro occhi verifica la transazione. Non verifica la persona che c'è dietro.
Gli autori di Rödl la mettono così: i sistemi di controllo interno si chiedono se un'azione sia stata autorizzata correttamente. Gli attacchi deepfake agiscono un livello prima, sul presupposto che la persona che percepisci sia quella che pensi. I modelli di controllo classici non lo indicano come obiettivo di controllo a sé. Per questo spesso non compare nemmeno nelle analisi dei rischi.
Per un consiglio di amministrazione è questo il punto scomodo. Dopo una perdita del genere, la documentazione mostra una procedura pulita. Nessuno ha violato una regola, quindi la domanda diventa: perché le nostre regole lo hanno permesso?
Cosa è cambiato: la familiarità non è più una prova
La frode del CEO non è una novità. Solo la business e-mail compromise, la compromissione della posta aziendale, ha causato nel mondo circa 55,5 miliardi di dollari USA di perdite tra ottobre 2013 e dicembre 2023, secondo le segnalazioni ricevute dall'FBI, dalle altre forze dell'ordine e dalle banche.
Nuovo è lo strumento. Una voce, un volto in videochiamata e uno stile di scrittura familiare erano prove sufficienti. Oggi l'IA generativa può copiarli tutti e tre partendo da materiale pubblico: un keynote su YouTube, un podcast, una conference call sui risultati. All'aggressore non servono competenze particolari e di soldi ne bastano pochi.
L'articolo di Rödl elenca le frasi che rivelano il problema: "Ce l'avevo io stesso al telefono." "Lei era nella videochiamata." In entrambi i casi una sensazione di familiarità è stata trattata come un'identità verificata.
I pagamenti sono solo il bersaglio più ovvio. Lo stesso trucco funziona per un cambio di coordinate bancarie, nuovi diritti di accesso, informazioni riservate, una decisione di M&A o una decisione sul personale.
La conclusione degli autori è netta: governance, compliance e controlli interni restano necessari, ma vanno estesi. La verifica dell'identità deve diventare un obiettivo di controllo a sé, in ogni processo in cui un'identità falsa può causare danni gravi. La domanda guida che propongono per la cultura aziendale è "Come è stata verificata l'identità?", al posto di "Perché l'ordine è stato messo in discussione?".
Un controllo che nessuno usa non è un controllo
La risposta abituale è la regola del richiamo: riattacca, cerca il numero, richiama. Sulla carta funziona. Nella pratica fallisce proprio nei momenti che contano.
Ogni passaggio in più che porta una persona fuori dalla conversazione in corso è un'interruzione. Il CFO deve chiudere la chiamata, trovare un numero, raggiungere un CEO impegnato in un altro fuso orario e spiegare perché. Sotto pressione, e davanti a una persona di grado più alto, la maggior parte salterà quel passaggio "solo per questa volta". Gli aggressori lo sanno e creano la pressione di proposito.
Gli autori di Rödl dicono lo stesso: una procedura conta solo se le persone la applicano in modo affidabile nel lavoro di tutti i giorni, per quanto sofisticata sia. Le procedure che sembrano poco pratiche vengono aggirate. E la regola deve valere a prescindere da grado, ruolo e urgenza, perché le situazioni eccezionali sono proprio quelle che creano gli aggressori.
Un CEO ha quindi due compiti. Primo: rendere obbligatoria la verifica dell'identità nei processi critici. Secondo: renderla così semplice che nessuno abbia motivo di saltarla. Quando le persone saltano un controllo, la colpa è del design.
La verifica dentro la conversazione
Trusted Codes dà a due persone, o a un intero team, un codice condiviso di tre parole che cambia a intervalli prestabiliti. Ce l'hanno solo i membri reali di una connessione. La verifica richiede una frase: "Qual è il nostro codice?"
Torniamo a quel martedì. Il "CEO" chiama. Il CFO chiede il codice, nella stessa telefonata. Un CEO vero legge tre parole dal telefono. Un deepfake non ha niente da leggere. Il pagamento si ferma prima ancora che la procedura cominci.
La verifica funziona su ogni canale, perché avviene tra due persone: in una telefonata, in una videochiamata, in chat, per e-mail e di persona. E le parole ti dicono chi sta parlando: inserisci quello che hai sentito e l'app ti mostra a quale connessione appartiene, per esempio "CEO – Approvazioni tesoreria". In cosa questo si distingue da un'app di autenticazione lo spiega un articolo a parte.
Due esempi di come un'azienda lo usa:
- Un progetto di M&A. Il deal team, gli avvocati e la banca condividono una connessione. Chi chiama per l'operazione deve dire il codice. Quando l'operazione si chiude, si chiude anche la connessione.
- Pagamenti oltre 50.000 €. Il team finanziario e tutti coloro che possono disporre o approvare questi pagamenti condividono una connessione. L'azienda rende la verifica del codice un passaggio obbligatorio dell'approvazione: niente codice, niente autorizzazione. Il registro delle verifiche mostra a posteriori che la verifica c'è stata.
La prova che la verifica c'è stata
Una regola vale quanto la prova che viene rispettata. Un richiamo non lascia tracce. Settimane dopo, nessuno può dimostrare chi ha chiamato chi e che cosa è stato confermato.
Con i piani Business, Trusted Codes registra ogni verifica in un registro: chi ha verificato chi, in quale connessione, quando e se il codice coincideva. Le parole in sé non vengono mai salvate. Per un consiglio di amministrazione cambiano così tre conversazioni:
- Con il revisore. La verifica dell'identità diventa un'attività di controllo documentata, non una promessa in un documento di policy.
- Dopo un incidente. L'indagine vede subito dove un'identità è stata verificata e dove è stata solo presunta. Gli autori di Rödl la indicano come la domanda chiave di ogni indagine.
- Sulla responsabilità. Il management deve dimostrare che organizzazione e controlli erano adeguati ai rischi noti. Un registro che mostra una verifica dell'identità funzionante e usata è quella prova.
Cosa fare in questo trimestre
Tieni la tua governance. Aggiungi l'unico controllo che le manca.
- Elenca i processi in cui un'identità falsa costa cara. Pagamenti oltre una soglia, cambi di coordinate bancarie, diritti di accesso, M&A, ristrutturazioni, decisioni sul personale.
- Individua le scorciatoie informali. Dove una telefonata sostituisce una conferma formale? Dove gli ordini di chi sta più in alto vengono accettati fuori dal flusso di approvazione?
- Rendi la verifica dell'identità un passaggio obbligatorio in quei processi. Vale per tutti, CEO compreso, e soprattutto quando c'è fretta.
- Scegli un metodo che le persone useranno davvero. Deve funzionare dentro la conversazione, su ogni canale, in pochi secondi, e lasciare una traccia.
- Dillo tu stesso. Di' al tuo team che ti aspetti che ti venga chiesto il codice, e che non te la prenderai mai. Quella frase detta dal CEO fa più di qualsiasi policy.
La fiducia tra colleghi resta essenziale. Nei processi critici, ora le serve un secondo fattore.
Fonti
- Alexander Meinrad e Jonas Riexinger, "Wenn Identität zur Schwachstelle wird: Deepfakes als Herausforderung für Compliance und Interne Kontrollsysteme", Der Betrieb 2026, 2408 (numero 39).
- FBI Internet Crime Complaint Center, "Business Email Compromise: The $55 Billion Scam", comunicato di pubblico servizio dell'11 settembre 2024: ic3.gov