di Michele Montefusco
Una telefonata di pochi minuti. La voce è quella del titolare — il timbro, la cadenza, le inflessioni di sempre. Chiede un pagamento urgente verso un nuovo fornitore, e l'IBAN arriva via mail un istante dopo. L'addetta all'amministrazione esegue. Non ha sbagliato nulla: ha riconosciuto la voce del proprio datore di lavoro. Solo che, in quel momento, il titolare non aveva chiamato nessuno.
Non è uno scenario da film, e non riguarda solo le grandi corporation. È una truffa già documentata, in crescita, che colpisce soprattutto le realtà piccole. Il motivo è preciso: nella micro e piccola impresa la fiducia tra le persone non è un contorno, è il principale fattore produttivo. Ed è proprio quella fiducia a essere diventata la superficie d'attacco preferita dalla criminalità informatica.
Per clonare una voce con l'intelligenza artificiale oggi bastano pochi secondi di audio. Un messaggio vocale, un'intervista, un video promozionale, l'intervento a una fiera. Materiale che le imprese producono in abbondanza, nella convinzione — giusta — che farsi vedere sia un dovere. Lo stesso materiale che costruisce la reputazione può però servire a generare in pochi minuti una voce sintetica che pronuncia frasi mai dette.
Le grandi organizzazioni hanno funzioni dedicate, protocolli interni, doppie autorizzazioni. La piccola impresa si affida spesso a una sola persona, esperta e fidata da anni. È esattamente questo rapporto consolidato che l'aggressore sfrutta: non deve violare un sistema informatico, gli basta violare un'abitudine.
Attenzione, però, perché qui si rischia il messaggio sbagliato. L'invito generico alla diffidenza non produce difesa, produce paralisi. Non possiamo chiedere alle piccole imprese di lavorare in uno stato di sospetto permanente, trattando ogni comunicazione come una minaccia: significherebbe rinunciare proprio a ciò che le rende competitive, cioè la rapidità, la prossimità, la capacità di chiudere un accordo sulla parola data. Quello che serve non è diffidare. È avere un metodo.
Un metodo semplice e a costo zero: ogni richiesta di pagamento che cambia le condizioni abituali — coordinate bancarie nuove, urgenza ingiustificata, importo anomalo — va verificata su un secondo canale, diverso da quello che l'ha veicolata. Una regola condivisa da chi gestisce i flussi finanziari, messa nero su bianco in poche righe, vale più di qualunque software.
E qui arrivo al punto che mi interessa sottoporre a chi rappresenta le imprese e a chi fa le politiche pubbliche. Per troppo tempo la sicurezza digitale è stata raccontata come una materia da specialisti, roba per chi ha le risorse per occuparsene. È una rappresentazione fuorviante. La difesa migliore contro la voce clonata non è tecnologica: è culturale e organizzativa. Una procedura interna, la consapevolezza del rischio, un minimo di formazione del personale.
È qui che si vede la distanza tra le imprese strutturate e quelle che reggono l'ossatura del nostro tessuto produttivo. La gran parte delle micro e piccole imprese italiane non riceve formazione, non viene avvertita, non ha un presidio. Se ne accorge quando il bonifico è già partito. La criminalità informatica non sceglie le imprese in base alla dimensione, ma in base all'isolamento. E di imprese lasciate sole, in Italia, ce ne sono troppe.
Colmare questo vuoto è compito di chi le rappresenta: portare la cultura della sicurezza dove da sola non arriva, tradurre l'allarme tecnologico in pratiche alla portata di tutti, pretendere che la tutela digitale delle piccole imprese entri stabilmente nell'agenda istituzionale. Perché la trasformazione digitale resterà a metà finché riguarderà soltanto chi può permettersi di difendersi.
