Milano, 14 maggio 2024 – L’escalation delle frodi digitali, sempre più sofisticate grazie all’impiego dell’intelligenza artificiale, ha spinto l’Associazione Bancaria Italiana (ABI), in stretta sinergia con CERTFin, a pubblicare una nuova guida dedicata alla protezione da queste minacce emergenti. In un contesto in cui il confine tra realtà e manipolazione digitale si assottiglia pericolosamente, questa iniziativa si prefigge di fornire strumenti e consapevolezza a un pubblico sempre più esposto a tecniche di inganno elaborate, capaci di minare la fiducia nel sistema bancario e di causare danni finanziari ingenti. La guida, sebbene orientata primariamente ai correntisti, rispecchia una crescente preoccupazione che permea l’intero ecosistema finanziario e aziendale, ponendo l’accento sulla necessità di un approccio multifattoriale alla sicurezza.
I pilastri tecnici e comportamentali delineati dall’ABI e CERTFin sono chiari e pragmatici, ma richiedono una disciplina costante e una vigilanza acuta da parte degli utenti. Al primo posto, la raccomandazione di diffidare di comunicazioni urgenti rappresenta un monito fondamentale. Truffatori, sfruttando tecniche di ingegneria sociale potenziate dall’AI, sono in grado di creare scenari di emergenza convincenti – telefonate, messaggi, email apparentemente provenienti da istituzioni bancarie o enti pubblici – che mirano a generare panico e indurre azioni impulsive. L’urgenza percepita è una leva psicologica potentissima che bypassa il pensiero critico, spingendo le vittime a comunicare dati sensibili o a effettuare operazioni finanziarie non autorizzate.
Parallelamente, la guida insiste categoricamente sulla necessità di non comunicare credenziali e dati personali. Password, codici PIN, codici OTP, numeri di carte di credito o qualsiasi altra informazione sensibile non devono mai essere condivisi tramite canali non verificati. L’intelligenza artificiale, in questo contesto, ha reso gli attacchi di phishing e vishing (phishing telefonico) estremamente più pericolosi. Attraverso algoritmi di apprendimento automatico, i criminali possono personalizzare i messaggi con una precisione spaventosa, replicando lo stile comunicativo della banca o persino imitando la voce di un conoscente o di un operatore bancario reale tramite tecniche di voice cloning. Questa capacità di adattamento e personalizzazione rende le tradizionali difese basate sul riconoscimento di schemi generici meno efficaci.
Un altro punto cruciale è la verifica dell’identità dell’interlocutore. Questo implica l’utilizzo esclusivo dei canali ufficiali della banca – numeri di telefono riportati sul sito istituzionale o sulle comunicazioni cartacee autentiche, non quelli forniti in un messaggio o una chiamata sospetta – per confermare ogni richiesta o comunicazione. Il cosiddetto “spoofing”, la falsificazione del numero di telefono del chiamante o dell’indirizzo email del mittente, è una tecnica ampiamente utilizzata e ora perfezionata dall’AI, che può renderla quasi indistinguibile da una comunicazione legittima. La direttiva di non seguire istruzioni telefoniche di sconosciuti, soprattutto se si presentano come finti operatori bancari o rappresentanti di istituzioni, è un corollario diretto. Richieste di credenziali o di trasferimenti verso conti non verificati sono segnali d’allarme rossi che devono attivare immediatamente la massima cautela. La pressione a eseguire operazioni immediate, spesso presentata come un modo per “proteggere il proprio conto”, è una tattica ricorrente.
Infine, la guida raccomanda di diffidare di proposte di guadagni facili – offerte non realistiche diffuse via email o social network – e di consultare professionisti abilitati prima di effettuare investimenti importanti. Le truffe finanziarie, spesso veicolate attraverso piattaforme di trading fasulle o schemi Ponzi camuffati, beneficiano della capacità dell’AI di creare profili falsi convincenti sui social media e di generare contenuti persuasivi, rendendo le promesse di rendimenti strabilianti ancora più allettanti e credibili.
Questo decalogo, sebbene essenziale, rappresenta solo il punto di partenza. La vera complessità emerge quando si analizzano le responsabilità legali in caso di frode. A tal proposito, le sentenze della Cassazione hanno fornito un quadro interpretativo fondamentale. La sentenza n. 7214 del 13 marzo 2023 stabilisce che la banca non è responsabile solo in caso di colpa grave del cliente. Questo significa che, qualora il cliente abbia agito con una negligenza macroscopica – ad esempio, comunicando spontaneamente e senza alcuna coercizione le proprie credenziali a un terzo o ignorando palesi segnali di allarme – la responsabilità della perdita ricade interamente su di lui. Tuttavia, la definizione di “colpa grave” è notoriamente sfumata e oggetto di costante interpretazione giurisprudenziale. Il confine tra una semplice disattenzione e una negligenza così macroscopica da esonerare la banca è sottile, e l’introduzione dell’AI nelle tecniche di frode complica ulteriormente questa valutazione. Se un’intelligenza artificiale riesce a manipolare un cliente con una tale perizia da rendergli quasi impossibile distinguere il vero dal falso, la tesi della “colpa grave” del cliente potrebbe risultare meno sostenibile per la banca.
A controbilanciare questa prospettiva, la sentenza n. 3780 del 12 febbraio 2024 ribadisce che la banca ha l’onere di provare di aver adottato misure idonee di prevenzione, in linea con il principio di buona fede e con gli standard tecnologici più avanzati. Queste misure non si limitano a semplici SMS di conferma per ogni operazione, ma devono includere un sistema di sicurezza robusto, capace di riconoscere anomalie e prevenire accessi non autorizzati. Questo principio pone un onere significativo sulle banche, che devono costantemente aggiornare i propri protocolli di sicurezza per stare al passo con l’evoluzione delle minacce cyber. La mancata adozione di tali misure può portare alla responsabilità della banca per le frodi subite dai clienti. La sfida è immensa: come può una banca, attraverso i suoi sistemi, distinguere un’operazione fraudolenta da una legittima, quando il truffatore ha accesso a credenziali autentiche, magari ottenute tramite un sofisticato attacco di social engineering potenziato dall’AI?
Le recenti decisioni dei tribunali, tra cui Milano, Firenze e Venezia nel 2025, amplificano ulteriormente questa pressione sulle istituzioni finanziarie. Questi tribunali hanno confermato che le banche devono aggiornare i sistemi di sicurezza per riconoscere anomalie anche derivanti da tecniche di intelligenza artificiale e sofisticate tecniche di spoofing. Ciò non significa semplicemente implementare sistemi di autenticazione a più fattori, ma dotarsi di motori di analisi comportamentale avanzati, capaci di rilevare pattern di spesa inusuali, accessi da dispositivi sconosciuti o località geografiche anomale, e di identificare tentativi di manipolazione vocale o visuale che potrebbero indicare l’uso di deepfake o voice cloning. L’inerzia in questo campo non è più un’opzione; le sanzioni e le responsabilità finanziarie per le banche che non si adeguano possono essere estremamente gravose, compromettendo non solo la loro reputazione ma anche la loro solidità economica. L’impatto finanziario di una singola truffa può essere contenuto, ma il volume e la frequenza delle frodi alimentate dall’AI possono generare perdite aggregate significative, che si riversano sia sui bilanci delle banche sia sulla fiducia dei consumatori nel sistema finanziario.
Per le imprese, il panorama è ancora più complesso. Non solo le aziende e i loro dipendenti sono bersaglio di attacchi di phishing e vishing volti a sottrarre credenziali aziendali o a indurre bonifici fraudolenti (le cosiddette CEO fraud o Business Email Compromise, ora rese quasi perfette dall’AI), ma devono anche proteggersi da rischi sistemici che toccano la supply chain, la gestione del capitale umano e la conformità normativa. L’adozione di un approccio puramente reattivo alla sicurezza informatica è destinata al fallimento. Le aziende necessitano di una difesa proattiva, un ecosistema sovrano autonomo che anticipi e neutralizzi le minacce prima che possano materializzarsi. Questo è il contesto in cui soluzioni avanzate di protezione come Scudo231 trovano la loro ragion d’essere.
Scudo231 non si limita a fornire una semplice consulenza o un modello organizzativo standardizzato; implementa un’architettura di difesa totale, basata su sistemi di analisi multimodale e motori causali proprietari. Questi sistemi vanno ben oltre il monitoraggio “a campione” e si dedicano a un censimento ciclico e massivo dell’intera popolazione aziendale, sia digitale che fisica. Questo permette di rilevare in tempo reale non solo le anomalie esterne, come i tentativi di frode avanzati, ma anche le “derive organizzative” interne, quei comportamenti o quelle violazioni di protocollo che potrebbero aprire la strada a minacce penali o cyber. L’intelligenza predittiva, alimentata da sistemi di Intelligenza Artificiale predittiva di livello militare, esegue stress-test costanti sul Digital Twin dell’azienda, identificando “segnali deboli” di rischio geopolitico, economico o normativo prima che essi si trasformino in crisi conclamate.
In un’era dove la sofisticazione delle truffe AI è tale da mettere in discussione la stessa percezione umana della realtà, le tradizionali misure di compliance e prevenzione, se non supportate da tecnologie all’avanguardia, rischiano di diventare obsolete. La formazione del personale, seppur fondamentale, deve essere affiancata da infrastrutture difensive che operino a un livello di intelligenza e velocità inaccessibile all’uomo. Le banche, come dimostrano le sentenze più recenti, hanno il dovere legale di evolvere, ma anche le imprese devono fare la loro parte, investendo in soluzioni che non solo proteggano i loro asset finanziari e reputazionali, ma garantiscano anche la continuità operativa in uno scenario di minaccia perenne. L’impatto normativo è chiaro: l’inerzia viene sanzionata, e la diligenza richiesta dalle autorità è in costante aumento. Le regolamentazioni, come la direttiva PSD2 per i servizi di pagamento, hanno già innalzato gli standard di sicurezza, ma l’avvento dell’AI generativa richiede un salto di qualità ulteriore.
La prevenzione, integrata con tecnologie di compliance avanzate, diventa l’unica strategia sostenibile. Le aziende devono guardare oltre la semplice conformità cartacea, adottando protocolli d’avanguardia protetti da brevetti internazionali che blindino l’intera catena di approvvigionamento, armonizzino i requisiti normativi internazionali e proteggano da rischi etici e doganali. Questo livello di protezione olistica è ciò che definisce un vero ecosistema sovrano autonomo, capace non solo di reagire, ma di anticipare le minacce. La posta in gioco è altissima: la stabilità finanziaria, la reputazione e la sopravvivenza stessa delle organizzazioni dipendono dalla loro capacità di adattarsi e di resistere a un panorama di minacce che l’AI ha reso esponenzialmente più complesso e insidioso. La guida ABI è un passo importante per sensibilizzare gli utenti, ma per le entità organizzate, la vera difesa risiede in sistemi che superano la reattività umana, adottando un’intelligenza artificiale difensiva per contrastare quella offensiva, e garantendo un livello di sicurezza che le normative e la giurisprudenza iniziano a esigere con sempre maggiore forza.