neuroscienza.comArticoli · Ingegneria sociale

Il protocollo anti-truffa: 10 regole per famiglie e piccole aziende

Parola d'ordine di famiglia, verifica su un altro canale, regola dei due, diritto alla lentezza, passkey e limiti di bonifico: le regole che pensano al posto tuo quando la paura spegne il ragionamento.

Promettentesocial-engineeringtruffephishingdeepfake

Stati Uniti. Jennifer DeStefano risponde al telefono e sente la figlia quindicenne che piange e chiede aiuto. Poi una voce d'uomo: la ragazza è nelle sue mani, servono soldi. È la voce di sua figlia, non ha dubbi. In realtà la ragazza è al sicuro, in gita sulla neve, e quella voce è stata clonata con l'intelligenza artificiale. DeStefano lo ha raccontato davanti a una commissione del Senato americano. [1]

Ora mettiti al suo posto. Il cuore a mille, la voce di tuo figlio nelle orecchie, qualcuno che urla di non riattaccare. In quel momento non puoi ragionare. Non è debolezza: è il modo in cui funziona il cervello sotto paura.

E allora chi ragiona al posto tuo, quando tu non puoi?

In breve

Una regola decisa prima, a mente fredda. Questo protocollo raccoglie dieci regole semplici per famiglie e piccole aziende: per ognuna trovi quale leva della truffa neutralizza e come metterla in pratica oggi. Stampalo, mandalo nel gruppo di famiglia, appendilo in ufficio.

🟡 Promettente: sono le raccomandazioni di FBI, FTC, Banca d'Italia e CISA, coerenti con la ricerca sulla decisione sotto stress; per la maggior parte delle singole regole mancano studi controllati sull'efficacia.

Perché servono regole e non buona volontà

Sotto stress anche lieve la corteccia prefrontale, quella che pianifica e controlla, perde rapidamente efficienza e la regia passa alle risposte emotive e automatiche. [2] E la formazione da sola non basta: in uno studio dell'Università della California a San Diego su oltre 19.500 dipendenti, seguiti per otto mesi, la formazione annuale obbligatoria non riduceva i clic sulle email di phishing simulate, e più di metà delle persone aveva cliccato almeno una volta entro l'ottavo mese. [3]

Conclusione pratica: la difesa deve stare nelle procedure, non solo nella testa.

Il protocollo in 10 regole

1. Verifica sempre su un altro canale

Perché. Neutralizza l'autorità falsa. Il numero che compare sul display e il mittente di un'email si possono falsificare (spoofing). [4] Come. Riattacca e richiama un numero che hai già: rubrica, retro della carta, sito ufficiale digitato da te. Mai il numero o il link contenuti nel messaggio. Lo raccomanda anche l'FBI: chiudi la chiamata, cerca tu il contatto dell'ente e chiama direttamente. [1]

2. Una parola d'ordine di famiglia

Perché. Neutralizza paura e urgenza nelle truffe del "figlio nei guai" e delle voci clonate. L'FBI consiglia di creare una parola o frase segreta per verificare l'identità dei familiari. [1] Come. Sceglietela a voce, mai per messaggio. Meglio un ricordo di famiglia che nessuno ha mai pubblicato, oppure una domanda con risposta concordata. Ripassatela ogni tanto: il professore di Berkeley Hany Farid, esperto di deepfake audio, la chiede a sua moglie di tanto in tanto proprio per non dimenticarla. [5] Se chi chiama non la sa, riattacca e richiama la persona sul suo numero.

3. Codici e password non si dettano a nessuno

Perché. Neutralizza la conformità all'autorità. La Banca d'Italia è netta: la banca non chiede mai le credenziali per email, telefono o SMS, e i codici dell'autenticazione forte non si condividono. [4] Come. Regola senza eccezioni, valida anche per il "tecnico", il "corriere" e il "carabiniere". Chi chiede un codice che hai appena ricevuto per SMS sta quasi sempre cercando di usarlo al posto tuo.

4. La regola dei due

Perché. Neutralizza autorità e segretezza. Un attaccante può convincere una persona; convincerne due, separatamente, è molto più difficile. Come. In azienda: nessun bonifico fuori procedura e nessun cambio di IBAN di un fornitore senza una seconda persona che verifica su un altro canale. La Banca d'Italia raccomanda di verificare le richieste urgenti dei vertici e i cambi di coordinate bancarie. [4] In famiglia: sopra una soglia decisa insieme (per esempio 1.000 euro) nessun pagamento urgente parte senza averne parlato con un'altra persona.

5. Il diritto alla lentezza

Perché. Neutralizza la scarsità di tempo, la leva presente in quasi ogni copione. Come. Scrivetelo, in famiglia e in ufficio: chi si ferma a verificare non verrà mai rimproverato, anche se la richiesta era vera. Per le decisioni grosse, regola delle 24 ore. Una richiesta legittima sopravvive a un giorno di attesa; una truffa quasi mai.

6. MFA resistente al phishing e passkey

Perché. Toglie valore alle password rubate e rende inutile il sito clone. Come. Attiva la verifica in due passaggi su email, banca e social, partendo dall'email: chi la controlla può reimpostare tutto il resto. Dove possibile usa le passkey o le chiavi di sicurezza: secondo l'agenzia americana per la cybersicurezza CISA, gli standard FIDO e WebAuthn su cui si basano sono le uniche forme di MFA resistenti al phishing largamente disponibili. [6] Un codice via SMS è meglio di niente, ma si può farselo dettare.

7. Limiti di bonifico e notifiche

Perché. Limita il danno quando tutto il resto fallisce. Nella seconda metà del 2025, secondo la Banca d'Italia, il 92% delle perdite per bonifici fraudolenti è rimasto a carico dei clienti, contro il 40% per carte e moneta elettronica. [7] Un bonifico che hai autorizzato tu è difficile da recuperare. Come. Nell'app della banca abbassa i massimali giornalieri, soprattutto per i bonifici istantanei, e attiva le notifiche per ogni operazione. Dal 9 ottobre 2025 la banca ti mostra se IBAN e nome del beneficiario corrispondono (verifica del beneficiario): se l'esito è "mancata corrispondenza", fermati. [8]

8. Meno informazioni in giro

Perché. Toglie materiale alla fase di preparazione e alla simpatia costruita a tavolino. Come. Profili privati, follower solo conosciuti, pochi video con la voce dei figli e dei genitori: è il consiglio dell'FBI contro la clonazione. [1] Niente foto di badge, biglietti aerei, chiavi o documenti. In azienda, attenzione a organigrammi e nomi dei fornitori.

9. Nessuno entra nel tuo dispositivo

Perché. Neutralizza la reciprocità del finto aiuto tecnico. Come. Non installare programmi di controllo remoto su richiesta di chi ti contatta senza preavviso, che sia "la banca", "Microsoft" o "il tecnico della linea". La Banca d'Italia lo indica esplicitamente. [4]

10. Parlarne in famiglia, senza vergogna

Perché. La vergogna è l'alleato più fedele del truffatore. Secondo un'indagine AARP e FINRA Foundation del 2022, il 53% degli americani considera le vittime colpevoli. [9] Chi teme il giudizio non chiede aiuto in tempo. Come.

Per le piccole aziende: la versione da ufficio

Casi reali

Arup, Hong Kong (2024). Un impiegato sospettoso viene convinto da una videochiamata deepfake con il direttore finanziario e altri colleghi: 15 bonifici, circa 25,6 milioni di dollari. [11] Le regole 1 e 4 (verifica su altro canale e regola dei due) avrebbero dato una seconda possibilità.

La finta figlia rapita (Stati Uniti). Voce clonata, paura al massimo. Il caso di DeStefano è diventato l'esempio più citato a favore della parola d'ordine di famiglia (regola 2). [5]

Lo studio di San Diego (2025). Formazione annuale senza effetto misurabile; formazione "al momento" con effetto di circa 2 punti percentuali. [3] Le persone da sole non bastano: servono regole e sistemi.

Cosa raccontano le vittime

Nei commenti a un avviso della FTC sulle truffe con voce clonata, una nonna racconta di aver ricevuto più volte telefonate da un finto nipote. Lei e i nipoti hanno concordato una frase in codice: quando la chiede, dall'altra parte riattaccano. Un'altra signora, davanti alla voce del nipote, ha risposto di rivolgersi ai genitori e ha chiuso la chiamata; il figlio le ha poi confermato che il ragazzo non avrebbe mai fatto una chiamata così. [12] Testimonianze non verificate, ma entrambe mostrano che la regola funziona perché è stata decisa prima.

Il mito da smontare

"Basta stare attenti." 🔴 Mito. L'attenzione è proprio la risorsa che l'attacco consuma: fretta, paura, distrazione. Chi "sta attento" ma non ha regole decide nel momento peggiore. Le regole funzionano perché non richiedono lucidità.

Segnali d'allarme

Il protocollo in una pagina (da condividere)

  1. Riattacco e richiamo io, su un numero che ho già.
  2. In famiglia abbiamo una parola d'ordine.
  3. Codici e password non si dettano a nessuno.
  4. Sopra la soglia decisa, si decide in due.
  5. Chi si ferma a verificare ha sempre ragione.
  6. Passkey o MFA su email e banca.
  7. Massimali bassi e notifiche attive.
  8. Profili privati, meno voce e meno dettagli in rete.
  9. Nessun controllo remoto su richiesta.
  10. Se succede, ne parliamo subito e senza giudizio.

Se è già successo

Agisci subito: leggi Cosa fare se ci sei cascato.

Mettiti alla prova

Il WhatsApp arriva da un numero sconosciuto: "Ciao mamma, mi è caduto il telefono nel water, questo è il numero nuovo. Ho una bolletta che scade oggi, mi fai un bonifico? Te li ridò stasera."

Attacco o richiesta vera? Quale regola usi?

Soluzione. Anche se fosse vero, la risposta è la stessa: regola 1 e regola 2. Chiama il figlio sul suo numero di sempre o chiedi la parola d'ordine. Il cambio di numero, la fretta e la richiesta di un bonifico sono i segnali classici della truffa del finto figlio. Se è davvero lui, una bolletta può aspettare dieci minuti.

Per approfondire

Fonti

  1. FBI Internet Crime Complaint Center, Public Service Announcement I-120324-PSA, "Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud", 3 dicembre 2024: https://www.ic3.gov/psa/2024/psa241203
  2. Arnsten, A. F. T. (2009). Stress signalling pathways that impair prefrontal cortex structure and function. Nature Reviews Neuroscience, 10(6), 410-422: https://pmc.ncbi.nlm.nih.gov/articles/PMC2907136/
  3. Ho, G., Mirian, A., et al. (2025). Understanding the Efficacy of Phishing Training in Practice. IEEE Symposium on Security and Privacy; comunicato UC San Diego, 17 settembre 2025: https://today.ucsd.edu/story/cybersecurity-training-programs-dont-prevent-employees-from-falling-for-phishing-scams
  4. Banca d'Italia, Economia per tutti, "Truffe: come difendersi": https://economiapertutti.bancaditalia.it/aree-tematiche/pagamenti/truffe-nei-pagamenti-e-cybersicurezza/index.html
  5. "A Safe Word Can Protect against AI Impostor Scams", Scientific American: https://www.scientificamerican.com/article/a-safe-word-can-protect-against-ai-impostor-scams/
  6. "CISA urges phishing-resistant MFA", Cybersecurity Dive, 4 novembre 2022 (scheda CISA Implementing Phishing-Resistant MFA): https://cybersecuritydive.com/news/cisa-phishing-resistant-mfa/635763
  7. "Bankitalia, bonifici istantanei: frodi in calo grazie alle nuove regole Ue", MF Milano Finanza, 21 luglio 2026 (dati Banca d'Italia, secondo semestre 2025): https://www.milanofinanza.it/news/bankitalia-bonifici-istantanei-frodi-in-calo-grazie-alle-nuove-regole-ue-202607211354129172
  8. Banca d'Italia, "La Banca d'Italia fornisce informazioni sulla verifica del beneficiario (VoP) per i bonifici ordinari e istantanei", 20 ottobre 2025: https://www.bancaditalia.it/media/notizia/la-banca-d-italia-fornisce-informazioni-sulla-verifica-del-beneficiario-vop-per-i-bonifici-ordinari-e-istantanei
  9. AARP, "Let's Stop Blaming Scam Victims, New AARP Report Says", 21 luglio 2022: https://www.aarp.org/money/scams-fraud/info-2022/victim-blaming.html
  10. Federal Trade Commission, Data Spotlight, "Who experiences scams? A story for all ages", dicembre 2022: https://search.ftc.gov/news-events/data-visualizations/data-spotlight/2022/12/who-experiences-scams-story-all-ages
  11. CNN Business, ripreso da ABC17 News, 16 maggio 2024: https://abc17news.com/money/cnn-business-consumer/2024/05/16/british-engineering-giant-arup-revealed-as-25-million-deepfake-scam-victim/
  12. FTC Consumer Alert, "Scammers use AI to enhance their family emergency schemes", 20 marzo 2023, e commenti dei lettori: https://consumer.ftc.gov/node/80688