Sicurezza informatica

Deepfake e falso amministratore delegato: difese interne e obblighi NIS2

Voci e volti clonati rendono più credibile la frode del falso amministratore delegato. Casi documentati, procedure interne che la fermano e scadenze NIS2 per le imprese.

Luca Bartolini 20 agosto 2026 8 min di lettura

Deepfake e falso amministratore delegato: difese interne e obblighi NIS2

La frode del falso amministratore delegato esiste da anni, ma voci e volti generati con l’intelligenza artificiale la rendono molto più convincente. I casi documentati mostrano che a fermarla non è un orecchio allenato, ma una procedura che non ammette eccezioni; per le imprese soggette alla NIS2 rientra nella gestione del rischio che la legge chiede ai vertici.

Uno schema vecchio con strumenti nuovi

Qualcuno si presenta come amministratore delegato o direttore finanziario e chiede a un dipendente un bonifico urgente e riservato, legato a un’acquisizione o a una trattativa che «non deve ancora uscire». Un tempo bastava una email contraffatta. Oggi si aggiungono un vocale, una telefonata o una videochiamata in cui l’interlocutore sembra proprio quello.

Il report annuale 2025 della Polizia Postale descrive questa evoluzione: i criminali raccolgono informazioni da fonti aperte sul bersaglio, ne ricreano voce o movenze e fanno impartire al falso amministratore disposizioni per uno o più bonifici, legati a un’operazione inesistente presentata come riservata e urgente. Il materiale di partenza raramente manca: interviste, convegni e video aziendali offrono campioni di molti dirigenti.

La scala del fenomeno si legge nei dati statunitensi. Per il 2025 l’Internet Crime Complaint Center dell’FBI ha registrato oltre 3 miliardi di dollari di perdite per compromissione delle email aziendali (BEC); quelle in cui è stata segnalata una componente di intelligenza artificiale superano i 30 milioni, ma il dato conta solo le denunce in cui l’uso dell’IA è emerso.

E le messe in scena si allargano: a maggio 2026 la polizia di Singapore ha diffuso i filmati di videoconferenze Zoom con falsi esponenti di governo, usate per agganciare persone del settore privato dopo un primo contatto su WhatsApp.

Quattro casi che insegnano qualcosa

Hong Kong, 2024: la videochiamata in cui erano tutti falsi. Un dipendente dell’ufficio di Hong Kong del gruppo di ingegneria Arup ha ricevuto un messaggio che sembrava arrivare dal direttore finanziario con sede nel Regno Unito. A vincere i suoi dubbi è stata una videoconferenza con colleghi riconoscibili, tutti ricostruiti artificialmente: ha disposto 15 bonifici per 200 milioni di dollari di Hong Kong, circa 25 milioni di dollari statunitensi. La lezione: il video non è più una prova d’identità.

Ferrari, luglio 2024: la domanda sul libro. Un dirigente ha ricevuto su WhatsApp, da un numero sconosciuto, messaggi a nome dell’amministratore delegato Benedetto Vigna su una grande acquisizione riservata, seguiti da una telefonata con una voce molto simile alla sua. Insospettito da qualche intonazione meccanica, ha chiesto il titolo del libro che Vigna gli aveva consigliato pochi giorni prima. La chiamata si è interrotta. La lezione: una domanda di cui solo la persona vera conosce la risposta vale più di qualsiasi impressione.

Italia, febbraio 2025: il falso ministro. Diversi imprenditori sono stati contattati da truffatori che si spacciavano per il ministro della Difesa Guido Crosetto o per il suo staff, con numeri falsificati e una voce clonata, e chiedevano denaro per liberare giornalisti rapiti. Massimo Moratti ha versato circa 980 mila euro in due bonifici; grazie alla denuncia immediata la somma è stata individuata e bloccata su un conto nei Paesi Bassi. La lezione: la rapidità della segnalazione decide se il denaro si recupera.

Singapore, marzo 2025: la seconda richiesta. Il direttore finanziario di una multinazionale, contattato su WhatsApp e poi convocato in una videoconferenza Zoom con vertici aziendali ricostruiti artificialmente, ha trasferito circa 499 mila dollari statunitensi su un conto controllato dai truffatori. Si è accorto dell’inganno quando gli è stato chiesto un secondo bonifico da 1,4 milioni. La polizia di Singapore, con quella di Hong Kong, ha rintracciato e trattenuto i fondi. La lezione: spesso l’inganno si scopre alla seconda richiesta, ed è meglio che la verifica arrivi alla prima.

Perché gli indizi tecnici non bastano

Labbra non sincronizzate, sfondi distorti, un timbro metallico: gli indizi esistono, ma gli strumenti migliorano e la frode non si gioca sulla tecnologia. Si gioca su autorità, urgenza e segretezza. Un dipendente sotto pressione, convinto di parlare con il proprio amministratore delegato, non analizza la qualità dell’audio. La difesa efficace, quindi, non chiede alle persone di diventare esperte di deepfake: stabilisce che certe operazioni non si eseguono sulla base di una voce o di un volto, per quanto credibili.

Le procedure che fermano la frode

Verifica su un canale indipendente. Ogni richiesta di pagamento fuori dall’ordinario, e ogni cambio di coordinate bancarie di un fornitore, si conferma richiamando la persona a un numero già presente in anagrafica o nella rubrica aziendale, mai a quello indicato nel messaggio. Se la richiesta arriva in videochiamata, la verifica avviene comunque fuori dalla videochiamata.

Doppia autorizzazione e soglie. Sopra un importo stabilito servono due persone, e nessuna delle due può essere scavalcata in nome dell’urgenza. I vertici si impegnano per iscritto a non chiedere mai eccezioni via messaggio o telefono.

Parole di controllo. Per i ruoli più esposti, come amministrazione, tesoreria e segreteria di direzione, si concorda di persona una domanda o una frase da usare quando una richiesta arriva per canali insoliti, e la si cambia periodicamente. Il caso Ferrari ne mostra la versione spontanea; conviene renderla sistematica.

Diritto di rallentare. La procedura deve dire in modo esplicito che chi riceve una richiesta urgente e riservata ha il dovere di fermarsi e verificare, senza conseguenze anche quando la richiesta si rivela autentica. Senza questa copertura, pochi dipendenti contraddicono l’amministratore delegato.

Formazione con esercitazioni. Più delle presentazioni annuali servono simulazioni realistiche: un vocale falso, una richiesta di cambio IBAN, una videochiamata improvvisa. Vanno coinvolti anche i vertici, perché sono loro a essere imitati e le regole reggono solo se le rispettano per primi.

Piano per le prime ore. Chi chiamare in banca per tentare il richiamo del bonifico, come presentare denuncia alla Polizia Postale, chi avvisare all’interno. Nei casi Moratti e Singapore il denaro è stato bloccato perché la segnalazione è arrivata subito.

Un esempio. Venerdì pomeriggio l’addetta alla tesoreria riceve un vocale con la voce dell’amministratore delegato: serve un acconto per un’acquisizione, il notaio aspetta, nessuno deve saperlo. Con queste regole la sua reazione è già scritta: richiama il numero interno, pone la domanda di controllo, attiva la seconda firma. Se qualcosa non torna, il bonifico non parte e la segnalazione sì.

Che cosa chiede la NIS2

Il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, recepisce in Italia la direttiva (UE) 2022/2555. Riguarda soggetti pubblici e privati dei settori elencati negli allegati del decreto, in generale medie e grandi imprese, con alcune categorie incluse a prescindere dalle dimensioni.

Tre punti toccano direttamente il tema di questo articolo.

Responsabilità dei vertici. Gli organi di amministrazione approvano le modalità di attuazione delle misure di gestione del rischio, ne sovrintendono l’applicazione, seguono una formazione in materia di sicurezza informatica e rispondono delle violazioni (art. 23).
Misure previste. L’art. 24 include, tra le altre, la formazione in materia di sicurezza informatica, la sicurezza della catena di approvvigionamento, l’autenticazione a più fattori e le comunicazioni vocali, video e testuali protette. Verifiche sui pagamenti ed esercitazioni contro l’impersonificazione rientrano in modo naturale in questo quadro.
Notifica degli incidenti. Gli incidenti significativi vanno segnalati al CSIRT Italia con una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Le tipologie di incidente significativo sono definite dall’ACN.

Le sanzioni per le violazioni più gravi arrivano a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e a 7 milioni o all’1,4% per quelli importanti (art. 38).

Le scadenze in corso

Registrazione: ogni anno dal 1° gennaio al 28 febbraio sulla piattaforma ACN; l’aggiornamento delle informazioni si effettua dal 15 aprile al 31 maggio.
Soggetti inseriti nell’elenco nel 2025: l’obbligo di notifica degli incidenti decorre da nove mesi dopo la comunicazione di inserimento, quindi da gennaio 2026; le misure di sicurezza di base vanno adottate entro diciotto mesi dalla stessa comunicazione, cioè entro ottobre 2026. Il riferimento è la determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026.
Soggetti inseriti nel 2026: notifica degli incidenti dal 1° gennaio 2027, misure di base entro il 31 luglio 2027.

Anche chi resta fuori dal perimetro può esserne toccato indirettamente, perché i clienti soggetti alla NIS2 devono curare la sicurezza della propria catena di fornitura.

Sul piano penale, dal 10 ottobre 2025 la legge 132/2025 ha introdotto il reato di illecita diffusione di contenuti generati o alterati con l’IA (art. 612-quater c.p.) e un’aggravante per i reati commessi con sistemi di IA usati come mezzo insidioso (art. 61, n. 11-decies). Strumenti utili a chi indaga, che però non restituiscono il denaro.

In sintesi

La frode del falso amministratore delegato oggi usa voci e video clonati, costruiti con materiale pubblico sui dirigenti.
I casi Arup, Ferrari, del falso Crosetto e di Singapore mostrano che il video non prova l’identità e che una domanda di controllo può bastare.
Nessun pagamento fuori procedura sulla base di una voce o di un volto: verifica su canale indipendente, doppia firma, parole di controllo.
Formazione con esercitazioni realistiche, vertici inclusi, e un piano per le prime ore dopo un bonifico sospetto.
Per i soggetti NIS inseriti nel 2025 le misure di sicurezza di base vanno adottate entro ottobre 2026; per i nuovi soggetti entro il 31 luglio 2027.
La NIS2 rende i vertici responsabili della gestione del rischio e prevede formazione, autenticazione forte e comunicazioni protette.

Chi vuole verificare come le proprie procedure di pagamento reggerebbero a un tentativo di questo tipo, o impostare le misure richieste dalla NIS2 in modo proporzionato alla propria organizzazione, può trovare il nostro approccio nella pagina dedicata alla consulenza sulla sicurezza informatica.