Formazione sulla consapevolezza dei deepfake: una guida rapida

Nel febbraio 2024, un dipendente del reparto finanziario della società di ingegneria Arup ha partecipato a una videochiamata con persone che sembravano, sia nell’aspetto che nella voce, il direttore finanziario dell’azienda e diversi colleghi. Tutti i partecipanti alla chiamata, tranne il dipendente, erano dei deepfake. Entro la fine della settimana, erano stati trasferiti agli autori dell’attacco 25,6 milioni di dollari USA.

Questa è la realtà delle frodi basate sui deepfake nel 2026: non si tratta più di un video di una celebrità con un sincronismo labiale mal riuscito. Si tratta del vostro amministratore delegato su Teams, che vi chiede qualcosa di urgente. Questa guida spiega cosa sono i deepfake, come vengono utilizzati contro le organizzazioni, quali regole di verifica li bloccano effettivamente e quali piattaforme di formazione sulla consapevolezza dei deepfake potete utilizzare per preparare i vostri dipendenti.

Cosa sono i deepfake e perché sono pericolosi?

I deepfake sono contenuti multimediali sintetici (video o audio) generati o manipolati tramite l’intelligenza artificiale per far sembrare che delle persone dicano o facciano cose che in realtà non hanno mai detto né fatto. È possibile scambiare i volti e clonare le voci in modo che risultino incredibilmente convincenti. Un deepfake può indurre gli altri a credere che una persona abbia detto o fatto cose che in realtà non ha mai detto né fatto.

Nel corso degli anni, abbiamo tutti imparato a non fidarci sempre di ciò che leggiamo. Tuttavia, le persone non hanno ancora imparato a diffidare di tutto ciò che vedono e sentono. Questo aspetto viene attualmente sfruttato dai criminali informatici. Che si tratti di un video falso in cui un amministratore delegato rilascia una dichiarazione controversa o di una voce clonata che richiede con urgenza informazioni sensibili, i deepfake possono causare danni concreti.

I rischi principali dei deepfake per le organizzazioni

I deepfakes creano minacce a più livelli per le aziende. I rischi principali includono:

Frodi e perdite finanziarie del CEO

Una delle principali minacce è la frode del CEO alimentata da deepfake. I criminali utilizzano una voce o un video clonato di un dirigente senior per indurre i dipendenti a trasferire denaro. Questi attacchi si stanno già verificando. Per esempio:

• Nel 2019, un'azienda energetica britannica ha perso 243.000 dollari in seguito a una finta chiamata vocale da parte di un "CEO".
• Nel 2020, i truffatori hanno utilizzato la tecnologia deepfake voice per rubare 35 milioni di dollari.
• Nel 2024, un'azienda ingegneristica britannica ha perso oltre 20 milioni di sterline dopo che una falsa videochiamata ha impersonato un dirigente di alto livello.

I dipendenti tendono naturalmente a obbedire alle richieste urgenti dei dirigenti, soprattutto sotto pressione. I falsi profondi sfruttano questo istinto, aggirando le consuete procedure di verifica.

Danni alla reputazione e disinformazione

I deepfake possono anche essere usati come arma per distruggere la reputazione. Immaginate un video falso del vostro amministratore delegato che fa commenti razzisti o una prova falsa che il vostro prodotto non è sicuro, che diventa virale online. Anche se successivamente smentito, il danno alla fiducia e alla percezione pubblica può essere irreversibile.

L'Europol avverte che i deepfake potrebbero essere utilizzati per diffondere informazioni false sulle aziende, creando panico tra gli azionisti, boicottaggi dei clienti o persino indagini normative.

phishing mirato e ingegneria sociale

I deepfakes portano il social engineering a un livello completamente nuovo. Invece di un'e-mail sospetta, immaginate di ricevere una videochiamata convincente dal vostro "reparto IT" che vi chiede di accedere a una pagina phishing . Oppure un messaggio vocale del "direttore finanziario" che richiede informazioni riservate e urgenti.

• Il vishing ( phishing vocale) e il video phishing sono minacce in aumento.
• Agli aggressori basta una breve clip audio (ad esempio, dai social media) per clonare la voce di una persona in modo convincente.

I deepfake creano autenticità emotiva, rendendo più difficile per i dipendenti individuare le frodi basandosi solo sull'istinto.

Nella vita privata, molte persone sono già state prese di mira da deepfakes dei loro figli o genitori. Se la voce inconfondibile di vostro figlio vi dice che è in pericolo e ha bisogno di denaro, siete abbastanza calmi e consapevoli da ricontrollare la sua identità?

Tre attacchi "deepfake" realmente avvenuti ai danni di aziende (e cosa ha permesso di sventarne due)

Arup, Hong Kong, 2024. Un dipendente del reparto finanziario ha ricevuto un’e-mail riguardante una “transazione riservata”, per poi partecipare a una videochiamata in cui comparivano in diretta il direttore finanziario e altri colleghi. Tutti erano immagini generate dall’intelligenza artificiale. Il dipendente ha effettuato 15 bonifici per un totale di 200 milioni di HK$ (circa 25,6 milioni di US$). Nessuna componente dello stack tecnologico ha presentato malfunzionamenti; l’attacco è andato a buon fine perché la videochiamata è stata considerata una prova di identità.

Ferrari, 2024. Un dirigente ha ricevuto dei messaggi su WhatsApp e poi una telefonata da qualcuno con la voce dell’amministratore delegato Benedetto Vigna, compreso il suo accento del Sud Italia, riguardo a un’acquisizione riservata. Il dirigente ha posto una domanda a cui solo il vero amministratore delegato avrebbe potuto rispondere (il titolo di un libro che lui stesso aveva consigliato alcuni giorni prima). Chi chiamava ha riattaccato. Costo: zero.

WPP, 2024. Gli autori dell’attacco hanno organizzato una riunione su Microsoft Teams utilizzando una foto pubblica dell’amministratore delegato Mark Read, una voce clonata e un filmato tratto da YouTube, e hanno cercato di convincere un dirigente dell’agenzia a avviare una “nuova attività” e a fornire informazioni finanziarie e dati personali. La vittima ha avuto dei sospetti e ha segnalato l’accaduto. Costo: zero.

Lo schema è sempre lo stesso: un volto o una voce familiare, un motivo per mantenere il segreto e la pressione del tempo. La differenza tra una perdita di 25 milioni di dollari e l’assenza di perdite non è stata determinata dall’abilità nell’individuare la frode, ma dal fatto che il dipendente abbia verificato la situazione attraverso un secondo canale prima di agire.

Perché la security awareness tradizionale non è più sufficiente

La maggior parte delle aziende offre una formazione annuale di security awareness , che copre il phishing, l'igiene delle password e l'igiene informatica di base. Ma questo non è più sufficiente contro i deepfakes:

• I deepfake sono una nuova minaccia in rapida evoluzione. I dipendenti devono imparare a mettere in dubbio anche le fonti attendibili, come video e telefonate.
• La maggior parte dei programmi di formazione tradizionali non menziona nemmeno i deepfakes.
• Le ricerche dimostrano che, anche dopo essere stati avvertiti dei deepfakes, le persone non sono in grado di individuarli.
• La formazione tradizionale sulla sicurezza è statica, mentre le tecniche di deepfake si evolvono mensilmente.
• Gli incidenti relativi ai deepfake richiedono nuove risposte procedurali, come la verifica delle chiamate sospette tramite canali alternativi e la disponibilità di meccanismi di segnalazione chiari.

Senza una formazione specifica sulla consapevolezza dei deepfake, i dipendenti possono cadere negli attacchi perché sottovalutano quanto possano essere convincenti i media sintetici.

Il protocollo di verifica dei deepfake: cinque regole che bloccano quasi tutti gli attacchi

Non ci si può aspettare che i dipendenti siano in grado di individuare un deepfake ben fatto. I cloni audio (vedi vishing) richiedono ormai solo pochi secondi di audio campione, mentre i deepfake video in tempo reale funzionano su hardware di uso comune. La formazione deve quindi spostarsi dal rilevamento alla verifica. Queste cinque regole coprono la stragrande maggioranza degli incidenti reali:

1. Richiamare un numero conosciuto. Qualsiasi richiesta riguardante denaro, credenziali, dati personali o diritti di accesso che giunga tramite chiamata, videochiamata o messaggio vocale va verificata richiamando la persona al numero già presente nel proprio telefono o nella rubrica. Mai a un numero indicato nel messaggio.
2. Concordate una parola in codice per le richieste urgenti. La dirigenza e il reparto finanziario condividono una semplice frase di accesso verbale che non viene mai messa per iscritto nelle e-mail o nelle chat. Se un “CEO” non è in grado di fornirla, la conversazione termina.
3. Ogni pagamento e ogni modifica dei dati bancari vengono controllati da due persone. Nessun dipendente può da solo effettuare un bonifico superiore a una soglia prestabilita né modificare il conto corrente di un fornitore. I deepfake prendono di mira le persone; un secondo approvatore sventa l’attacco.
4. Urgenza più segretezza equivale a “fermati”. “Non dirlo a nessuno” e “deve succedere oggi” sono le due frasi che ricorrono in quasi tutti i casi di frode tramite deepfake. Formate i dipendenti affinché considerino questa combinazione come un segnale per fermarsi, non per agire.
5. Cambia canale. La richiesta è arrivata tramite video? Conferma per telefono. È arrivata per telefono? Conferma di persona o tramite la chat aziendale. Gli aggressori raramente controllano due canali contemporaneamente.

Mettete le cinque regole su un unico foglio, fatelo firmare dai dirigenti e inseritelo nel programma di inserimento dei nuovi assunti. Un protocollo che i dirigenti seguono in modo visibile vale più di qualsiasi consiglio su come individuare i comportamenti scorretti.

Consigli pratici: preparare i dipendenti agli incidenti deepfake

Ecco come le organizzazioni possono iniziare a prepararsi oggi:

• Campagne di sensibilizzazione con esempi concreti: mostrate ai dipendenti esempi reali di deepfake. Il confronto tra video autentici e falsi contribuisce a sviluppare un sano scetticismo. La chiave in questo caso è la ripetizione. Una formazione annuale viene dimenticata nel giro di poche settimane.
• Insegnare le abilità di rilevamento: Addestrare il personale a individuare le incongruenze più sottili (ad esempio, movimenti delle labbra non corrispondenti, illuminazione strana, voci monotone).
• Definire procedure di segnalazione chiare: I dipendenti devono sapere come verificare le richieste insolite e segnalare i sospetti senza temere di essere incolpati.
• Utilizzare strumenti tecnici: Esplorate i software in grado di rilevare i supporti sintetici o di implementare la verifica a due fattori per le richieste sensibili.

Formazione sulla consapevolezza dei deepfake in base al ruolo: chi ha bisogno di cosa

Un modulo generico del tipo “i deepfake esistono” non cambia granché. Concentriamoci sulle persone che subiscono effettivamente gli attacchi:

Finanza e contabilità fornitori

Scenari: bonifici urgenti, modifiche alle coordinate bancarie dei fornitori, pagamenti relativi ad “acquisizioni riservate”. Esercitatevi con la regola del “callback” e quella dei “quattro occhi” fino a farle diventare un riflesso condizionato. Eseguite almeno una simulazione di clonazione vocale ogni trimestre.

Risorse umane e paghe

Scenari: modifiche al conto stipendio, inserimento di “nuovi dipendenti” con identità fittizie, candidati falsi nei colloqui video. Formare il personale delle Risorse Umane affinché verifichi i documenti di identità attraverso un’interazione dal vivo e non preparata e confermi le modifiche al conto tramite un secondo canale.

Dirigenti e assistenti di direzione

I dirigenti sono le voci più spesso imitate all’interno dell’azienda, poiché le loro registrazioni audio sono di dominio pubblico. Istruite gli assistenti a considerare qualsiasi richiesta insolita “da parte del capo” come non verificata e insegnate ai dirigenti ad accettare di essere richiamati senza mostrarsi irritati. Il protocollo funziona solo se i vertici aziendali collaborano.

IT e l'help desk

Scenari: richieste di reimpostazione della password e dell’autenticazione a più fattori (MFA) da parte di “un dipendente” durante una chiamata, richieste di accesso remoto da parte di un “fornitore”. La violazione subita da MGM Resorts nel 2023 è iniziata con una chiamata all’help desk. È necessario prevedere procedure di verifica dell’identità che non possano essere superate solo con la voce.

Come offrire un'efficace formazione di security awareness deepfake

Guardey aiuta le organizzazioni a costruire una resilienza informatica continua con una formazione di security awareness facile da usare e gamificata che include la consapevolezza dei deepfake:

• Gamification: i dipendenti guadagnano punti, badge e competono in classifiche amichevoli, rendendo l'apprendimento divertente e memorabile.
• Apprendimento continuo: Invece di una sessione annuale, Guardey offre microlearning settimanali o mensili, per aiutare i dipendenti a rimanere aggiornati sull'evoluzione delle minacce deepfake.
• Contenuti pertinenti: Guardey adatta gli scenari al settore di ciascun cliente, rendendo le lezioni altamente relazionabili.

Il modello continuo e gamificato di Guardey incoraggia i dipendenti a pensare in modo critico a ciò che vedono e sentono, creando abitudini durature di scetticismo.

→ Per saperne di più su Guardey durante una demo

Confronto tra piattaforme e strumenti di formazione sulla sensibilizzazione al fenomeno dei deepfake

La maggior parte delle piattaforme di sensibilizzazione alla sicurezza include ormai un modulo dedicato ai deepfake. Le differenze riguardano il grado di realismo delle simulazioni, la presenza o meno di contenuti audio e video e il fatto che la formazione sia continua o consista in un corso una tantum.

Qualunque sia la piattaforma che scegliete, verificate tre aspetti: simula comunicazioni vocali o video (non solo e-mail?), offre formazione continua anziché una volta all’anno e consente di vedere, per singolo dipendente, chi ha completato la verifica e chi no? Se la risposta all’ultima domanda è no, non potrete valutare l’efficacia della formazione.

Lista di controllo per la sensibilizzazione sul fenomeno dei deepfake nella vostra organizzazione

• Protocollo di verifica redatto per iscritto, firmato dalla dirigenza, parte del processo di inserimento
• Numeri di richiamata di tutti i dirigenti e del personale finanziario in un elenco che i dipendenti utilizzano effettivamente
• Parola d'ordine concordata tra la dirigenza, il reparto finanziario e gli assistenti esecutivi
• La regola dei "quattro occhi" è configurata nel sistema di pagamento, non solo nella politica aziendale
• Moduli assegnati in base al ruolo: finanza, risorse umane, dirigenti, IT
• Almeno un clone vocale o una simulazione video ogni trimestre
• Canale di segnalazione delle chiamate sospette più veloce rispetto all’invio di un’e-mail
• Sono stati esaminati i contenuti audio e video pubblici dei dirigenti (ciò che è disponibile online può essere clonato)
• Manuale di gestione degli incidenti: chi contattare nei primi 30 minuti dopo un sospetto trasferimento di deepfake
• Metriche monitorate: tasso di verifica nelle simulazioni, tempo necessario per la segnalazione, mancato completamento del corso

Domande frequenti

Che cos’è la formazione sulla consapevolezza dei deepfake?

Formazione volta a illustrare ai dipendenti come le voci, i video e le immagini generati dall’intelligenza artificiale vengano utilizzati a fini fraudolenti e a fornire loro le regole di verifica da seguire prima di dare seguito a qualsiasi richiesta che sembri provenire da una persona conosciuta.

Esiste un corso sui deepfake per i dipendenti?

Sì. La maggior parte delle piattaforme di sensibilizzazione alla sicurezza offre un modulo o un corso dedicato ai deepfake; Guardey affronta i deepfake, il vishing e le frodi del CEO nelle sue sfide settimanali, oltre alla formazione sulla sensibilizzazione all’intelligenza artificiale. Un corso autonomo è un buon punto di partenza, ma i corsi una tantum vengono dimenticati nel giro di poche settimane. Sono invece le brevi sessioni formative continue, accompagnate da simulazioni, a modificare il comportamento.

Che cos’è la formazione sul phishing tramite deepfake?

Formazione abbinata a simulazioni in cui i dipendenti ricevono chiamate, messaggi vocali o inviti video deepfake realistici ma innocui, in modo da poter valutare chi verifica e chi agisce.

Con quale frequenza i dipendenti dovrebbero seguire corsi di formazione sui deepfake?

Contenuti brevi con cadenza mensile; una simulazione almeno ogni tre mesi per i ruoli ad alto rischio. Le tecniche di deepfake evolvono così rapidamente che un modulo annuale risulta già obsoleto nel momento stesso in cui viene completato.

Conclusione: agire ora per essere all'avanguardia

I deepfakes non sono più fantascienza. A destra e a sinistra, i criminali informatici tentano di ingannare i dipendenti per indurli a compiere azioni che possono danneggiare le finanze o la reputazione della vostra organizzazione. Investire in formazione ricorrente è l'unica opzione per preparare i vostri dipendenti.