Una voce non è più prova di identità
Per quasi tutta la storia, sentire la voce di qualcuno al telefono era un modo ragionevole per confermare di stare parlando con quella persona. Non lo è più. Gli strumenti di IA disponibili in commercio possono clonare una voce a partire da appena tre-cinque secondi di audio, e quell'audio di origine non deve venire da nessun luogo privato. Un messaggio in segreteria, la registrazione di un webinar, un video pubblicato sul sito di un'azienda: uno qualsiasi di questi basta.
Perché questo cambia il manuale della frode con bonifico
La compromissione dell'email aziendale si è sempre basata sul fatto che un messaggio scritto sembrasse legittimo. La frode vocale deepfake aggiunge un secondo canale: una telefonata che suona esattamente come la persona impersonata, usata per confermare istruzioni appena arrivate via email. Anche un compratore o un coordinatore di closing prudente, che sa di dover richiamare per confermare istruzioni "aggiornate", può cadere se è la telefonata stessa a essere falsa.
Come si presenta un attacco reale
Lo schema si ripete nei casi denunciati: le istruzioni arrivano via email con riferimenti a dati reali dell'operazione, poi arriva una chiamata da chi sembra la persona giusta che conferma il cambio, e la richiesta si completa sotto pressione temporale. In un caso molto commentato, un dipendente della finanza ha autorizzato più di una dozzina di bonifici dopo una videochiamata in cui tutti gli altri partecipanti, incluso un apparente alto dirigente, erano generati dall'IA. La frode è stata scoperta solo con una verifica separata, quando il denaro era già partito.
Perché "suona giusto?" non è più una prova affidabile
La formazione classica contro la frode con bonifico si concentrava sul cogliere dettagli fuori posto: un tono strano, un giro di parole insolito, un'email con l'indirizzo quasi corretto. Quei segnali stanno sparendo. Una voce clonata può avere la cadenza giusta, la familiarità giusta e persino l'urgenza emotiva giusta, perché è costruita da una registrazione reale della persona reale. Verificare se una chiamata suona autentica non è più una prova significativa.
La verifica deve avvenire fuori dal canale compromesso
L'unica difesa che regge contro la clonazione vocale è verificare identità e dati del conto attraverso un canale a cui l'attaccante non ha accesso, indipendente dalla catena di email e da qualsiasi numero di telefono che compaia nel messaggio sospetto. È questa la premessa del livello identità di WireVault: confermare chi è davvero qualcuno, biometricamente, invece di fidarsi di come suona o scrive.
- Quanto audio serve per clonare una voce in modo convincente?
- Gli strumenti di IA attuali possono produrre un clone utilizzabile a partire da appena tre-cinque secondi di audio d'origine, spesso preso da materiale già pubblico.
- Non ci si può davvero più fidare di una telefonata per verificare?
- Non ci si può fidare di una chiamata a un numero che compare in un messaggio sospetto. Una chiamata a un numero che avevi già nel dossier, combinata con una verifica d'identità a parte, funziona ancora.