Dal phishing al deepfake phishing
Il phishing è una minaccia che le aziende conoscono da anni. I team di sicurezza hanno investito in formazione, filtri antispam e policy di rilevazione delle e-mail sospette, ottenendo risultati concreti contro gli attacchi più elementari. Eppure, il panorama delle minacce si sta evolvendo in una direzione che riduce sensibilmente l’efficacia di questi presidi: la combinazione tra tecniche di phishing consolidate e deepfake audio e video.
Due scenari esemplificano bene il cambiamento.
- Nel primo, il CFO di un’azienda manifatturiera riceve una chiamata dal numero del CEO. La voce è quella giusta, il tono anche, e la richiesta è urgente: un bonifico da effettuare entro la giornata per chiudere un’acquisizione riservata.
- Nel secondo, un responsabile finanziario riceve un breve video registrato su una piattaforma di collaboration: un dirigente “interno” chiede di aggiornare le coordinate bancarie di un fornitore prima della chiusura mensile. In entrambi i casi, la voce e il volto sono sintetici, generati da un sistema di intelligenza artificiale.
Tuttavia, il deepfake phishing non è un fenomeno di nicchia destinato solo a grandi gruppi internazionali. Al contrario, la disponibilità crescente di strumenti di sintesi vocale e video a basso costo, combinata con la facilità di raccogliere campioni audio e video dai profili pubblici dei dirigenti, abbassa la soglia d’ingresso per gli attaccanti.
Che cos’è il deepfake e come si collega al phishing
Il termine deepfake indica contenuti audio, video o fotografici generati o manipolati attraverso tecniche di deep learning, in modo da riprodurre in modo realistico volti, voci e comportamenti di persone reali. Le stesse tecnologie usate per applicazioni creative e cinematografiche vengono impiegate per costruire messaggi fraudolenti ad alto tasso di persuasione.
Il collegamento con il phishing è diretto: il deepfake potenzia la componente di social engineering, aggiungendo credibilità visiva e sonora a richieste che normalmente verrebbero valutate con più attenzione. Un’e-mail sospetta attiva istintivamente un meccanismo di verifica, mentre una telefonata con la voce del proprio responsabile, o un video con il suo volto, tende a inibire quel meccanismo.
A questo si aggiunge una tendenza segnalata da più vendor e ricercatori: i deepfake vengono sempre più utilizzati per aggirare sistemi di identity verification basati su biometria, come i controlli di liveness detection usati nei processi di onboarding digitale. La superfice d’attacco si estende così ben oltre la casella di posta.
Principali scenari di deepfake phishing in ambito aziendale
Identificare i vettori d’attacco specifici aiuta i team di sicurezza a tradurre il rischio in misure concrete. Tre scenari ricorrono con maggiore frequenza nelle analisi di cyber threat intelligence.
Frodi BEC con voice e video deepfake
L’attacco BEC (Business E-mail Compromise) evolve verso l’attacco Business Voice Compromise. L’attaccante clona la voce di un dirigente, CEO, CFO o direttore commerciale, utilizzando campioni audio disponibili online: interviste, webinar, video istituzionali.
La chiamata arriva al team Fiance o a un collaboratore con delega su pagamenti, con una richiesta urgente e riservata. La variante video aggiunge un ulteriore livello di credibilità: un breve clip in una videochiamata o un messaggio preregistrato su Teams o Zoom.
L’urgenza è un elemento chiave dello schema: “Approvalo subito, poi formalizziamo” oppure “Non coinvolgere altri reparti, è riservato”. Queste istruzioni mirano a cortocircuitare le procedure di doppia approvazione.
Bypass di identity verification e KYC
I sistemi di verifica dell’identità digitale, adottati per l’onboarding di clienti, fornitori o dipendenti in modalità remota, si basano spesso su controlli biometrici come riconoscimento facciale, liveness detection, confronto con documenti d’identità.
I deepfake di nuova generazione sono in grado di superare alcuni di questi controlli, consentendo la creazione di identità sintetiche o la sostituzione di persona in processi di onboarding digitale. Il rischio è particolarmente rilevante per aziende con processi di KYC digitalizzati, operanti in settori regolamentati o con supply chain internazionale.
Compromissione di processi interni e supply chain
Un terzo vettore riguarda la supply chain: messaggi audio o video che simulano comunicazioni di fornitori, partner o responsabili interni per richiedere aggiornamenti di contratti, modifiche a credenziali di accesso o validazione di operazioni finanziarie. Questo scenario si combina frequentemente con tecniche di spear phishing via e-mail, dove il deepfake funge da conferma credibile di una richiesta già avviata per iscritto.
Il denominatore comune di questi tre scenari è lo spostamento del vettore d’attacco dalla casella e-mail a canali considerati più affidabili: voce, video, piattaforme di collaboration.
Perché i controlli tradizionali sul phishing non bastano più
I presidi classici contro il phishing, e-mail filtering, analisi dei link, formazione base sulla riconoscibilità dei messaggi sospetti, sono stati progettati per un modello d’attacco centrato sulla comunicazione scritta. Il deepfake phishing si muove su un piano diverso.
Il training generico insegna ai collaboratori a diffidare di e-mail con mittenti sconosciuti, link abbreviati o toni di urgenza insoliti. Ma quando la comunicazione arriva via telefono con la voce del proprio superiore, o attraverso un video su una piattaforma interna, i segnali di allerta appresi nei corsi standard diventano irrilevanti. La “prova visiva” e la “prova sonora” generano un effetto di fiducia che l’e-mail non avrebbe mai prodotto.
Sul piano dei processi, il problema si amplifica nelle aziende dove le decisioni critiche vengono ancora prese in call o su canali informali, senza workflow di approvazione strutturati. La fiducia nel canale voce o video diventa un punto di vulnerabilità sistemico.
La risposta richiede un approccio identity-centric e zero trust applicato anche ai processi finanziari e autorizzativi: nessuna operazione critica, pagamenti, cambi IBAN, accessi privilegiati, deve essere autorizzata sulla base di una singola fonte, indipendentemente dalla credibilità apparente del canale.
Come strutturare controlli e processi contro il deepfake phishing
Verificare sempre su un canale indipendente
Il primo livello di difesa è organizzativo e non richiede tecnologie aggiuntive. Nessuna operazione critica dovrebbe essere autorizzata basandosi su un’unica comunicazione, audio o video, per quanto convincente. La regola operativa è la verifica su un secondo canale indipendente: una chiamata di conferma su un numero noto e preregistrato, un’e-mail separata, un contatto diretto con l’ufficio.
Le procedure di doppia approvazione e i workflow multi-step per operazioni finanziarie sensibili devono essere formalizzate in policy scritte, note a tutto il personale con delega operativa. La cultura della verifica va costruita prima che arrivi l’attacco, non come reazione a un incidente.
Aggiornare la formazione con scenari voice e video
I programmi di cybersecurity awareness vanno aggiornati per riflettere l’evoluzione delle tecniche d’attacco. Il messaggio da trasmettere oggi al personale con delega su operazioni critiche non è solo “riconosci il link di phishing”, ma “una voce o un volto familiari non sono una prova di autenticità: verifica sempre su un canale separato”.
Le campagne di simulazione di phishing, o phishing campaign, diventano uno strumento di misura oltre che di formazione: includere scenari con chiamate vocali sintetiche o brevi clip video preregistrati permette di valutare quanto il personale applichi le procedure di verifica nella pratica, e dove i gap di comportamento sono più esposti. Strumenti come continuous penetration test su questi vettori integrano la valutazione con una prospettiva tecnica continuativa.
Estendere il monitoraggio oltre la casella e-mail
Gli attacchi di deepfake phishing raramente operano in isolamento: nella maggior parte dei casi documentati, la componente vocale o video è preceduta o accompagnata da una e-mail di phishing che prepara il terreno. Un sistema di e-mail security avanzato rimane quindi un presidio rilevante, ma insufficiente da solo.
Il monitoraggio esteso a endpoint, identità, piattaforme di collaboration e traffico di rete, attraverso capacità XDR o servizi di detection e response gestiti (come un servizio di Managed Extended Detection and Response), consente di rilevare le attività anomale che spesso precedono un attacco: ricognizione sulle comunicazioni aziendali, accesso insolito a repository di contenuti audio e video pubblici, variazioni nei pattern di autenticazione. Il rilevamento precoce in questa fase riduce significativamente la finestra di esposizione.
Ridurre il raggio d’azione con autenticazione e controllo degli accessi
Anche quando un attacco deepfake va a segno e un collaboratore viene convinto ad agire, la superficie di danno dipende da quanto l’attaccante può fare con le credenziali o le autorizzazioni ottenute. MFA forte, autenticazione passwordless e gestione degli accessi privilegiati limitano strutturalmente questo raggio d’azione.
Un modello di identity governance maturo, con diritti di accesso calibrati sul principio del minimo privilegio, revisione periodica delle autorizzazioni e monitoraggio delle attività privilegiate, agisce in profondità rispetto al vettore deepfake: anche se l’inganno riesce, il perimetro di danno rimane circoscritto.
Deepfake phishing e programma di Assessment & Resilience
Le aziende con programmi di security assessment strutturati trattano le minacce emergenti come nuove dimensioni da integrare nei test esistenti, non come categorie separate da gestire in isolamento.
Il deepfake phishing rientra in questa logica: va incorporato nel ciclo di valutazione della resilienza, accanto agli scenari BEC classici, alle simulazioni di phishing via e-mail e ai test sui processi di approvazione finanziaria.
Un programma strutturato di Assessment & Resilience che includa questa dimensione può prevedere:
- Simulazioni di scenari deepfake voice e video nei test di phishing, per misurare la capacità del personale di applicare le procedure di verifica.
- Revisione delle procedure anti-BEC alla luce dei nuovi vettori: aggiornamento dei workflow approvativi, verifica delle deleghe e delle catene di autorizzazione.
- Valutazione dei sistemi di identity verification adottati per onboarding digitale e processi KYC, con test mirati sulle capacità di liveness detection.
- Piano di incident response che include componenti reputazionali e comunicative: un deepfake che coinvolge un dirigente richiede anche una gestione della narrativa esterna.
Valutare con un partner specializzato il livello di maturità dei propri processi rispetto al rischio deepfake phishing, a partire dai workflow BEC e dai presidi di e-mail security, è il punto di partenza più concreto per le aziende che vogliono aggiornare la propria postura di sicurezza.
Deepfake phishing: aggiornare cultura, processi e tecnologie
Il deepfake phishing è un esempio di come tecnologie nate in contesti del tutto diversi vengano reindirizzate verso obiettivi fraudolenti in tempi molto più rapidi di quanto le organizzazioni riescano ad aggiornare i propri presidi. Tenersi aggiornati su questa evoluzione è parte integrante di una cultura della sicurezza matura.
Affrontare questa minaccia richiede un cambio di prospettiva prima ancora che di strumenti. Le aziende che gestiscono bene il rischio cyber investono in modo continuativo nella consapevolezza del personale, nell’aggiornamento dei processi interni e in tecnologie capaci di rilevare comportamenti anomali su tutta la superficie esposta.
La qualità di questi investimenti dipende in larga misura dalla capacità di scegliere partner specializzati in grado di tradurre l’evoluzione delle minacce in misure concrete e proporzionate al contesto aziendale.
FAQ
Che cos’è il deepfake phishing in parole semplici?
Il deepfake phishing è una tecnica di frode che combina contenuti audio o video generati con intelligenza artificiale, capaci di imitare la voce o il volto di una persona reale, con le classiche tecniche di phishing, per convincere la vittima a compiere azioni dannose come autorizzare un pagamento o rivelare credenziali. La differenza rispetto al phishing tradizionale è che il vettore si sposta dall’e-mail scritta a canali vocali e video, dove la percezione di autenticità è molto più alta.
In cosa il deepfake phishing è diverso dal phishing tradizionale?
Il phishing tradizionale opera su canali scritti, dove segnali come mittente sconosciuto, link sospetti o tono insolito possono essere riconosciuti con la formazione giusta. Il deepfake phishing sfrutta la fiducia istintiva che le persone attribuiscono alla voce o al volto di qualcuno che conoscono, aggirando i meccanismi di allerta sviluppati contro le e-mail fraudolente.
Quali aziende sono più a rischio deepfake phishing?
Il rischio è più elevato nelle organizzazioni con processi finanziari critici gestiti anche su canali vocali, con procedure di approvazione informali o con sistemi di identity verification digitale basati su biometria. La dimensione aziendale è un fattore, ma non il determinante principale: conta di più la struttura dei processi autorizzativi e il livello di formalizzazione delle procedure di verifica.
Qual è il primo passo per proteggere un’azienda dal deepfake phishing?
Il punto di partenza è verificare se esistono già procedure di conferma su canale secondario per le operazioni critiche, bonifici, variazioni IBAN, accessi privilegiati, e se il personale con delega operativa le conosce e le applica. Questa analisi non richiede investimenti tecnologici ed espone immediatamente i gap più esposti.
