3,136 subscribers

L’exploit più costoso siamo noi. Convinti di saper riconoscere una truffa.

Antonio Ieranò

Information & Cybersecurity Strategist | Digital Sovereignty • AI Governance • Complex Systems | Author, Researcher & Occasional Philosopher | Views stubbornly my own. 🧠

September 30, 2026

C’è qualcosa di magnificamente ironico nella vicenda Fideuram.

Anzi, nel nome.

Fideuram.

Deriva da Fiduciaria Europea e Americana. Ma è impossibile non sentirci dentro anche un’altra parola.

Fiducia.

Ed è proprio la fiducia che, se le ricostruzioni saranno confermate, sembra aver aperto la porta a una delle frodi più costose degli ultimi anni.

Non un exploit.
Non un ransomware.
Non una vulnerabilità zero-day.

Una richiesta credibile.

E qualcuno che ha deciso di fidarsi.

Mi ha fatto tornare in mente una storia di qualche anno fa.

La Lazio.

Due milioni di euro destinati al Feyenoord per il trasferimento di Stefan de Vrij. Un IBAN modificato all’interno di una comunicazione apparentemente legittima.

Nessuno aveva bucato la banca.
Nessuno aveva compromesso i sistemi.

Qualcuno aveva semplicemente convinto qualcun altro a mandare i soldi nel posto sbagliato.

Poi Maire Tecnimont (2018): una classica CEO Fraud basata su email contraffatte, telefonate e un finto avvocato che simulava un’acquisizione riservata. Risultato: tre bonifici per 18,6 milioni di dollari verso conti a Hong Kong.

Poi Sisal. (2020) Una classica operazione di Business Email Compromise, dove gli attaccanti si sono spacciati per interlocutori fidati sfruttando email credibili e procedure finanziarie aziendali. Risultato: oltre 6 milioni di euro trasferiti ai truffatori prima che l’inganno emergesse.

Oggi Fideuram.

Domani sarà qualcun altro.

Cambiano le aziende.

Cambiano i protagonisti.

Cambiano i canali.

La trama, invece, è sempre la stessa.

Ed è qui che continuo a pensare che facciamo un errore.

Continuiamo a chiamarli incidenti di cybersecurity.

Secondo me, nella maggior parte dei casi, cybersecurity c’entra fino a un certo punto.

Queste sono truffe.

Truffe molto ben costruite.

Con una componente tecnologica sempre più sofisticata, certo.

Ma sempre truffe.

Perché l’obiettivo non è violare un sistema.

È convincere una persona a violare una procedura.

Sono due cose profondamente diverse.

Negli ultimi giorni si è parlato tantissimo di WhatsApp.

Qualcun altro parlerà di voice cloning.

Qualcun altro ancora dell’intelligenza artificiale.

Va bene.

Ma credo che stiamo guardando il dito.

L’AI non è il cuore del problema.

È soltanto un moltiplicatore.

Rende più facile costruire un’esca credibile.

Rende più economico produrne mille.

Rende più veloce orchestrare una campagna.

Ma l’amo…

…quello è sempre lo stesso.

Perché il pesce è sempre lo stesso.

Noi.

La tecnologia cambia.

La psicologia umana molto meno.

Ogni vittima, prima di diventarlo, pensa più o meno la stessa cosa.

“Io me ne accorgerei.”

“Una voce falsa la riconosco.”

“Se fosse una truffa lo capirei subito.”

“Non sono mica uno stupido.”

La cosa interessante è che nessuna delle persone coinvolte nei grandi casi di cronaca era stupida.

Parliamo di dirigenti.

Manager.

Professionisti.

Persone abituate a prendere decisioni importanti.

Eppure hanno tutte una cosa in comune.

Non hanno verificato.

O, peggio ancora, hanno creduto di aver verificato.

Perché se ricevo una richiesta via WhatsApp e la confermo… su WhatsApp… non sto verificando nulla.

Se ricevo una mail e rispondo alla stessa conversazione chiedendo conferma, non ho fatto un controllo indipendente.

Se ricevo una telefonata e mi basta riconoscere la voce, sto affidando milioni di euro al mio orecchio, che oggi, francamente, non è più uno strumento di autenticazione particolarmente affidabile.

Le procedure esistono esattamente per questo.

Non perché non ci fidiamo delle persone.

Ma perché conosciamo fin troppo bene le persone.

Sappiamo che davanti all’urgenza, all’autorità e alla pressione temporale tendiamo tutti a prendere scorciatoie.

Il problema non è il phishing.

Il problema è quando decidiamo che, questa volta, il protocollo può aspettare.

“È il CEO.”
“C’è urgenza.”
“Mi ha appena chiamato.”
“Conosco quella voce.”

Ed è in quel preciso momento che la tecnologia smette di avere importanza.

Potrebbe essere una mail.
WhatsApp.
Teams.
Signal.
LinkedIn.
Una telefonata.
Una videochiamata.

Domani qualcos’altro.

Il mezzo cambia continuamente.

La truffa no.

E nemmeno la soluzione.

Perché la soluzione non è riconoscere meglio le truffe.

È progettare processi che funzionino anche quando non le riconosciamo.

La sicurezza non dovrebbe mai dipendere dalla bravura di una singola persona.

Dovrebbe dipendere da controlli indipendenti.

Da verifiche fuori banda.

Dal principio, semplicissimo, che una richiesta ricevuta su un canale non si verifica mai sullo stesso canale.

È una regola vecchia.

Quasi noiosa.

Eppure continua a essere quella che salva più soldi.

La cybersecurity farà il suo mestiere.

Continuerà a bloccare email malevole.

A intercettare Business Email Compromise.

A filtrare link.

A verificare domini.

E, nelle aziende, lo fa già con ottimi risultati.

Ma nessun prodotto potrà mai impedire a una persona autorizzata di eseguire volontariamente un bonifico che ritiene legittimo.

Quello non è un problema di tecnologia.

È un problema di processo.

E forse, ancora prima, di umiltà.

Perché il vero errore non è cadere in una truffa.

Il vero errore è credere di esserne immuni.

Per questo, alla fine, una frase mi continua a ronzare in testa.

L'exploit più costoso siamo noi.

Convinti di saper riconoscere una truffa.

Secondo me la chiusa è quella che rimane in testa. Riporta tutto il discorso a una verità scomoda: non serve essere ingenui per cadere in una truffa, basta essere convinti di non poterci cadere.