Fideuram, principale gruppo italiano facente parte di Intesa SanPaolo, ha subito un'elaborata truffa sfruttando Ingegneria Social e AI. I criminali hanno manipolato una persona autorizzata a disporre dei pagamenti, costruendo una falsa catena di comunicazioni tra vertici bancari, avvocati e tesoreria. L'elemento AI è stato soprattutto il voice cloning, mentre WhatsApp, email, documenti falsi e impersonificazione hanno completato il social engineering. Per approfondire su vecchie truffe di manipolazione: Le Più Note Storie Di Ingegneria Sociale. Vediamone i dettagli.
PRIMO CONTATTO SU WHATSAPP
La vittima è Paolo Molesini, all'epoca presidente di Fideuram. Il 23 febbraio arriva il primo contatto. Molesini riceve su WhatsApp un messaggio da un numero diverso da quello che conosceva, ma il mittente afferma di essere Carlo Messina, CEO di Intesa Sanpaolo, controllante di Fideuram.
Il messaggio costruisce subito uno scenario plausibile:
"Intesa deve effettuare una importante acquisizione all'estero;
l'operazione è urgente;
Intesa non può effettuare direttamente l'acquisizione;
una fuga di notizie potrebbe far intervenire la Consob;
per questo l'operazione dovrebbe passare attraverso Fideuram".
Questa parte è particolarmente intelligente dal punto di vista del social engineering: non gli chiedono immediatamente di inviare i fondi, ma gli danno una storia finanziaria apparentemente riservata che spiega perché Fideuram debba essere coinvolta. Inoltre, secondo gli atti citati, Molesini non trovò immediatamente assurda la storia perché pochi mesi prima era effettivamente circolata una vicenda relativa a una possibile acquisizione di Generali poi sfumata a seguito di indiscrezioni.
FALSA CHIAMATA CON AI
Dopo il falso Messina arriva la seconda conferma. Molesini riceve una telefonata da una persona che sostiene di essere Paolo Nastasi, managing partner di A&O Shearman Italia. Ma Nastasi, secondo le ricostruzioni, non aveva nulla a che fare con l'operazione. La voce che Molesini sente, però, sembra proprio quella dell'avvocato che conosce. Qui entra in gioco l'AI: i truffatori avrebbero utilizzato il voice cloning per replicare la voce di Nastasi. Quindi Molesini riceve una chiamata da una voce apparentemente autentica. Questa comunicazione serve a confermare la prima.
DOCUMENTI FALSI
Il falso avvocato invia quindi 11 documenti. Tra questi ci sarebbero: un accordo di massima riservatezza, una procura speciale apparentemente sottoscritta da Messina, documenti relativi ai pagamenti, le coordinate bancarie, importi, scadenze e istruzioni operative. Secondo gli atti riportati, gli ordini erano denominati "Payment instruction", su carta intestata dello studio legale e apparentemente sottoscritti da un avvocato della sede di Madrid dello stesso studio.
ALTRA FALSA CONFERMA INTERNA
Questa probabilmente è la parte più sofisticata dell'attacco. Lo stesso giorno, secondo la ricostruzione della Procura, un altro truffatore contatta il responsabile della Tesoreria e dei pagamenti di Fideuram.
Si presenta come l'amministratore delegato di Fideuram. Gli comunica, in sostanza: "Molesini ti contatterà a breve per effettuare alcuni bonifici urgenti e riservati". Quindi il tesoriere riceve prima una falsa conferma dall'apparente AD di Fideuram. Poi viene contattato da Molesini.
PARTONO I BONIFICI
A quel punto Molesini, convinto che l'operazione sia stata richiesta dai vertici di Intesa, istruisce il direttore finanziario/tesoriere di Fideuram. Partono diversi bonifici internazionali. La cifra complessiva è stata ricostruita in circa 95 milioni di euro, indirizzati soprattutto verso Cina e Hong Kong, oltre a trasferimenti verso il Portogallo. Si tratta quindi di una truffa che comprende: Business Email Compromise / CEO fraud + deepfake/voice cloning + social engineering.
TRUFFA CHE ESCE A META'
I sistemi di sicurezza interni di Fideuram generano rapidamente un alert e la banca comprende che qualcosa non torna. A quel punto viene attivata la collaborazione interbancaria internazionale per bloccare i fondi. Il risultato è il recupero di oltre €40 milioni bloccati in Cina e restituiti, altri €13 milioni vengono individuati in Portogallo e sequestrati, una parte dei fondi, invece, riesce a proseguire il proprio percorso. I fondi rimasti fuori dalla possibilità di blocco sono stati trasferiti attraverso la banca portoghese e successivamente convertiti in Bitcoin. Le cifre riportate dalle diverse fonti sono leggermente diverse: inizialmente si è parlato di €36 milioni, mentre una successiva ricostruzione giudiziaria parla di circa €39,5 milioni ancora mancanti.
