Il gruppo italiano di private banking e gestione patrimoniale Fideuram — tra i maggiori wealth manager d'Italia — sarebbe stato bersaglio di una truffa con impersonamento vocale basata su AI che avrebbe portato alla conversione in criptovalute di almeno 36 milioni di euro, secondo quanto riportato negli ambienti finanziari e della sicurezza. Se confermata, l'incidente si collocherebbe tra i più grandi casi noti di frode con impersonamento vocale assistita da AI ai danni di un istituto bancario europeo. Per dare una scala, i precedenti ampiamente riportati di frode con deepfake — un caso del 2019 nel Regno Unito in cui una voce clonata che impersonava un amministratore delegato produsse un bonifico di circa 220.000 euro, e un caso 4 segnalato dalla polizia di Hong Kong in cui un dipendente trasferì circa 25 milioni di dollari USA dopo una videochiamata con colleghi deepfake — riguardano importi molto inferiori alla cifra ora lamentata.

Punti chiave

• Gli attaccanti avrebbero utilizzato una voce generata con AI per impersonare una persona fidata nel contattare Fideuram.
• Almeno 36 milioni di euro sarebbero coinvolti nel trasferimento fraudolento.
• I fondi sarebbero stati convertiti in criptovalute a seguito della presunta istruzione di pagamento.

Cosa avrebbe comportato la segnalata truffa vocale AI contro Fideuram

Il presunto impersonamento e la richiesta di pagamento

Secondo le segnalazioni, gli attaccanti avrebbero utilizzato una sintesi vocale generata dall'AI per impersonare una persona conosciuta o fidata e impartire istruzioni di pagamento fraudolente al personale di Fideuram. L'importo coinvolto sarebbe di almeno 36 milioni di euro. Tuttavia, le informazioni disponibili finora non identificano chi sia stato impersonato, quali dipendenti abbiano ricevuto l'istruzione o quando l'incidente sarebbe avvenuto.

Il materiale disponibile per questo articolo non identifica i responsabili specifici, i wallet o le piattaforme destinatari coinvolti, né eventuali riscontri ufficiali di Fideuram, dei regolatori finanziari italiani o delle forze dell'ordine. Tutte le ricostruzioni dell'incidente devono essere considerate non confermate in attesa di comunicazioni ufficiali. Qualsiasi dichiarazione ufficiale di Fideuram, dei regolatori italiani o delle forze dell'ordine rappresenterebbe il canale attraverso cui colmare i dettagli mancanti — i tempi della chiamata segnalata, l'identità impersonata e la destinazione dei fondi — e nei precedenti casi di frode in criptovalute le prospettive di recupero sono dipese dalla rapidità con cui gli inquirenti hanno potuto tracciare gli asset prima che fossero dispersi tra wallet ed exchange.

Perché la conversione in criptovalute è rilevante

La presunta conversione dei fondi in criptovalute è un dettaglio che potrebbe complicare un eventuale recupero degli asset. Una volta confermati on-chain, i trasferimenti in criptovalute sono irreversibili senza la collaborazione degli exchange o dei custodi dei wallet, e le questioni giurisdizionali transfrontaliere aggiungono ulteriore attrito per gli investigatori. Come hanno ripetutamente dimostrato i precedenti casi di frode in criptovalute, la rapida conversione in asset digitali è un metodo comune per sottrarre proventi illeciti alla portata dei congelamenti bancari convenzionali.

La tecnologia di voice cloning ha raggiunto una soglia di fedeltà tale che brevi campioni audio — a volte tratti da registrazioni pubbliche o video aziendali — possono produrre impersonamenti in tempo reale credibili. Il presunto utilizzo di questa capacità contro un importante istituto di gestione patrimoniale suggerisce che i threat actor stiano ormai dirigendo strumenti AI di livello inferenziale verso obiettivi finanziari di alto valore, e non solo campagne di phishing rivolte ai consumatori. L'esposizione è strutturale nel private banking, dove da tempo i trasferimenti di grandi dimensioni su indicazione dei clienti vengono autorizzati tramite contatto vocale diretto con persone conosciute — proprio la forma di identificazione che le voci clonate sono progettate per aggirare. Negli ultimi anni regolatori e associazioni bancarie europee hanno ripetutamente messo in guardia gli istituti sulle frodi abilitate dai deepfake.

Come le organizzazioni possono ridurre il rischio di impersonamento vocale AI

Le dinamiche segnalate dell'incidente — una voce sintetizzata con AI che impartisce una grande istruzione di pagamento — si ricollegano direttamente a un insieme di controlli che le istituzioni finanziarie e i team di tesoreria aziendale possono implementare senza attendere mandati normativi.

Verificare le istruzioni di pagamento insolite attraverso un canale indipendente e prestabilito

Qualsiasi istruzione di pagamento ricevuta tramite chiamata vocale, per quanto familiare possa suonare il chiamante, dovrebbe innescare una verifica richiamando un numero di telefono memorizzato in un elenco ufficiale, non quello fornito durante la chiamata. Questo passaggio di conferma fuori banda interrompe la catena d'attacco da cui dipende la frode vocale con AI.

Richiedere doppia approvazione e conferma fuori banda per pagamenti di alto valore o con dati modificati

I bonifici superiori a una soglia definita, e qualsiasi istruzione che modifichi i dati di beneficiari esistenti, dovrebbero richiedere l'approvazione di una seconda parte autorizzata tramite un canale di comunicazione separato. Una singola chiamata vocale, per quanto convincente, non dovrebbe mai essere sufficiente ad autorizzare una transazione di decine di milioni di euro. Le policy sulla custodia e il controllo degli asset di alto valore sono soggette a un controllo normativo crescente proprio perché queste superfici d'attacco si stanno allargando.

Conservare le prove e segnalare tempestivamente ai team di sicurezza, ai partner bancari e alle autorità

Se viene individuata un'istruzione di pagamento sospetta, la sequenza prioritaria è: conservare la registrazione audio e i metadati delle comunicazioni, bloccare il bonifico in uscita se non ancora perfezionato, notificare il team di sicurezza dell'istituto e le banche corrispondenti, e segnalare l'accaduto alla relativa unità di intelligence finanziaria nazionale. Nei casi in cui i fondi siano già confluiti in criptovalute, gli exchange operanti sotto obblighi antiriciclaggio potrebbero segnalare o congelare i conti associati se contattati rapidamente con documentazione di supporto.

Questi passaggi sono formulati come indicazioni generali di riduzione del rischio e non intendono costituire affermazioni sui controlli in vigore presso Fideuram o su quanto specificamente accaduto nell'incidente segnalato. La più ampia tendenza delle frodi abilitate dall'AI contro le istituzioni finanziarie è ben documentata; se questo specifico caso rientri in tale schema resta da confermare attraverso i canali ufficiali.

Disclaimer: Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi.