Truffe e-mail con IA: l'allerta Monaco

Ottobre 2026 è stato il mese in cui le istituzioni monegasche hanno smesso di trattare la frode via e-mail come una nota a margine dell'informatica. Il 6 ottobre la Chambre Monégasque du Numérique ha riunito sullo stesso palco, allo Yacht Club, l'Agence Monégasque de Sécurité Numérique (AMSN), l'APDP e la Direction de la Sûreté Publique, sotto il titolo « Cybersécurité : tous concernés ». Dal 7 al 10 ottobre sono seguite le Assises de la Cybersécurité. Poi, il 20 ottobre, la sessione Digital FlashUP al Novotel Monte-Carlo ha consegnato il messaggio nella forma più diretta: l'intelligenza artificiale rende le e-mail fraudolente così credibili che i vecchi segnali d'allarme non funzionano più.

Questo articolo è per il titolare o il responsabile che non era in sala. Ecco cosa è stato detto, perché conta più a novembre e dicembre che in qualsiasi altro periodo dell'anno, e cosa cambiare già questo mese.

Cosa è cambiato: la truffa goffa non esiste più

Per dieci anni il personale è stato formato a riconoscere il phishing dai suoi errori: grammatica zoppicante, logo sbagliato, un saluto che non corrispondeva al mittente. L'IA generativa cancella tutto questo. Oggi un truffatore produce in pochi secondi un'e-mail impeccabile in francese, inglese o italiano, nello stile esatto di una specifica banca, di un fornitore o di uno studio legale, partendo soltanto dal sito web e dalla pagina LinkedIn del bersaglio.

La sessione del 20 ottobre ne ha illustrato le conseguenze: phishing che si legge come un vero messaggio di un collega, deepfake audio e video usati per « confermare » una richiesta, furto d'identità di dirigenti, e il rischio più silenzioso della « Shadow AI », cioè dipendenti che incollano dati riservati in strumenti di IA pubblici senza che nessuno abbia deciso se sia consentito. I consigli dati non avevano nulla di esotico: rafforzare le basi, imparare i nuovi segnali d'allarme, verificare prima di agire. Il problema è che la maggior parte delle PMI monegasche le basi non le ha ancora messe in pratica.

Perché le prossime otto settimane sono le più pericolose

La frode sulle fatture e la « truffa del CEO » raggiungono il picco quando gli uffici amministrativi sono sotto pressione e chi decide è in viaggio. Chiusura dell'esercizio, pagamenti ai fornitori, premi di fine anno e sostituzioni per le ferie creano esattamente le condizioni che i truffatori cercano: urgenza, approvatori assenti e collaboratori junior ansiosi di rendersi utili.

Lo schema tipico a Monaco è di una costanza desolante. La casella di posta di un fornitore viene compromessa, oppure semplicemente imitata con un dominio quasi identico. Arriva un'e-mail cortese che annuncia « nuove coordinate bancarie » per una fattura in sospeso. Tutto il resto è corretto, perché il truffatore ha letto la vera conversazione. Il bonifico parte. Il vero fornitore chiama tre settimane dopo. Il tessuto economico monegasco, piccolo e basato sulla fiducia, rende tutto più facile, non più difficile: si è abituati a sistemare le cose in fretta, dandosi del tu.

Quattro controlli che bloccano quasi tutto

Nessuno richiede un budget per la sicurezza. Richiedono una decisione.

• Una regola di richiamata per ogni modifica dei dati di pagamento. Nessun cambio di IBAN, nessun nuovo beneficiario, nessun bonifico urgente insolito viene eseguito sulla sola base di un'e-mail. Qualcuno telefona al fornitore a un numero già registrato, mai a un numero contenuto nel messaggio. Mettetela per iscritto, comunicatela a tutti i fornitori e fatene una regola che nessuno può aggirare, nemmeno l'amministratore.
• Autenticazione a più fattori su posta elettronica e banca, senza eccezioni. La maggior parte delle caselle compromesse nelle piccole imprese era protetta da una password e nient'altro. Le passkey o un'app di autenticazione chiudono la porta da cui entra la maggior parte di questi attacchi.
• Autenticazione del vostro dominio. I record SPF, DKIM e DMARC dicono ai server riceventi quali server possono inviare e-mail a vostro nome. Senza di essi chiunque può scrivere « da parte » della vostra azienda, anche ai vostri stessi clienti. È un'attività di configurazione, non l'acquisto di un prodotto, e protegge anche la consegna delle vostre campagne di e-mail marketing e CRM.
• Una policy scritta sull'uso dell'IA. Una pagina. Quali strumenti sono approvati, cosa non va mai incollato (nomi di clienti, contratti, dati finanziari, dati personali) e a chi rivolgersi in caso di dubbio. Il rischio di Shadow AI sollevato il 20 ottobre si risolve con la chiarezza, non con i divieti.

Il livello legale che i titolari dimenticano

Un attacco di phishing riuscito raramente è solo una perdita economica. Se la casella compromessa conteneva corrispondenza con i clienti, si tratta quasi certamente di una violazione di dati personali ai sensi della Legge n. 1.565 del 3 dicembre 2024. L'articolo 32 di quella legge impone al titolare del trattamento di notificare l'APDP senza ingiustificato ritardo e, ove possibile, entro un massimo di 72 ore dal momento in cui ne è venuto a conoscenza, a meno che la violazione non sia improbabile che presenti un rischio per le persone interessate. Quando il rischio per le persone è elevato, anche queste devono essere informate.

Le 72 ore includono il fine settimana, e il conteggio parte dal momento in cui ne venite a conoscenza, non da quando finite l'indagine. Per questo la presenza dell'APDP alla conferenza del 6 ottobre non era casuale: gestione delle violazioni e igiene informatica sono lo stesso progetto. Se non avete mai mappato quali dati personali si trovano nelle vostre caselle di posta e nelle cartelle condivise, una verifica di conformità APDP è il punto di partenza naturale, e di solito fa emergere nello stesso momento le falle di sicurezza delle caselle di posta.

Monaco non è uno Stato membro dell'Unione europea e non è soggetta al GDPR. Si applica la sua legge, con la sua autorità. In caso di dubbi sui vostri obblighi dopo un incidente, chiedete tempestivamente una consulenza legale professionale invece di aspettare il quadro forense completo.

Cosa fare con sito web e sistemi

Gli aggressori usano sempre più spesso il sito web dell'azienda come fonte di ricerca per l'attacco: nomi del personale, formato degli indirizzi e-mail, loghi dei fornitori, date degli eventi. Ne derivano due indicazioni pratiche.

Primo, tenete il sito aggiornato. Un plugin WordPress non aggiornato è uno dei modi più comuni con cui il server web di una piccola impresa, e a volte la sua posta, viene preso silenziosamente in mano e usato per inviare frodi a suo nome. Un contratto di manutenzione del sito web con aggiornamenti mensili e monitoraggio costa meno di un solo bonifico fraudolento.

Secondo, decidete cosa pubblicare. Un organigramma completo con indirizzi e-mail diretti e qualifiche è un regalo per chi scrive un « messaggio del direttore finanziario ». Pubblicate invece contatti per funzione e fate passare le richieste da un modulo gestito.

Se state introducendo l'automazione con IA nel servizio clienti o nei processi amministrativi, costruite la stessa disciplina fin dall'inizio: quali dati l'assistente può vedere, cosa può inviare e dove una persona approva. Un'automazione in grado di avviare pagamenti o condividere dati dei clienti senza un controllo è una nuova superficie d'attacco, non un risparmio.

La prossima sessione e cosa portare

Il programma Digital FlashUP prosegue quest'autunno con una sessione sulla migrazione al cloud annunciata a partire dal 12 novembre; verificate date e iscrizione su monentreprise.gouv.mc. Se partecipate, portate tre domande precise sulla vostra configurazione invece di una curiosità generica. Il formato da 45 minuti premia chi arriva sapendo cosa vuole sistemare.

Se preferite che qualcuno esamini il vostro sito, la configurazione della posta e l'uso dell'IA prima della corsa di fine anno, contattateci. Possiamo consegnare una verifica mirata in pochi giorni.