Attacchi informatici con Intelligenza Artificiale: come proteggere dati e comunicazione aziendale

L’Intelligenza Artificiale offre alle imprese strumenti straordinari, ma sta rendendo anche gli attacchi informatici più credibili, rapidi e difficili da riconoscere.

I criminali possono utilizzare l’AI per creare e-mail personalizzate, imitare la voce di un dirigente, produrre falsi video, individuare vulnerabilità e automatizzare tentativi di accesso ai sistemi aziendali.

La cybersecurity non può quindi limitarsi alla protezione tecnica delle reti: deve comprendere anche il controllo dei dati e dei flussi comunicativi interni ed esterni.

Phishing sempre più realistico

Le tradizionali e-mail fraudolente erano spesso riconoscibili per gli errori grammaticali o per il contenuto poco credibile. Attraverso l’AI è invece possibile generare messaggi corretti, coerenti con il settore dell’impresa e personalizzati sulla base delle informazioni disponibili online.

Un attaccante può analizzare:

• sito aziendale;

• profili LinkedIn;

• organigramma;

• rapporti con clienti e fornitori;

• comunicazioni pubbliche;

• abitudini e ruoli dei dipendenti.

Può quindi costruire un messaggio apparentemente autentico, attribuito a un responsabile, a un cliente o a un consulente conosciuto, chiedendo l’apertura di un documento, l’inserimento delle credenziali o l’esecuzione urgente di un pagamento.

Clonazione della voce e false richieste

Con pochi secondi di registrazione reperiti da un video, da un’intervista o da un messaggio vocale, l’AI può riprodurre in modo realistico la voce di una persona.

Il dipendente potrebbe ricevere una telefonata o un audio apparentemente inviato dall’amministratore che richiede:

• un bonifico urgente;

• la modifica delle coordinate bancarie;

• l’invio di documenti riservati;

• la comunicazione di password o codici;

• l’accesso a un sistema aziendale.

Questi attacchi sfruttano soprattutto l’urgenza, l’autorità e la riservatezza. Per questo nessuna operazione sensibile dovrebbe essere autorizzata sulla base di una sola telefonata, e-mail o messaggio vocale.

Deepfake e danni reputazionali

L’AI consente anche di creare immagini e video falsi nei quali una persona sembra pronunciare frasi mai dette o assumere comportamenti mai avvenuti.

Un deepfake riferito a un amministratore, a un professionista o a un marchio può essere utilizzato per diffondere informazioni false, manipolare clienti, promuovere investimenti inesistenti o danneggiare la reputazione aziendale.

In queste situazioni la rapidità della risposta è decisiva. L’impresa deve essere in grado di verificare il contenuto, conservarne le prove, richiederne la rimozione e comunicare tempestivamente attraverso i propri canali ufficiali.

L’AI può sfruttare i dati pubblicati dall’impresa

Ogni informazione diffusa online può contribuire a rendere più efficace un attacco.

Fotografie degli uffici, nomi dei collaboratori, incarichi, trasferte, nuovi fornitori e procedure operative possono essere raccolti e analizzati automaticamente. Anche contenuti apparentemente innocui possono aiutare un soggetto esterno a ricostruire il funzionamento dell’organizzazione.

La gestione della comunicazione esterna deve quindi prevedere una valutazione preventiva:

• il contenuto rivela informazioni riservate?

• identifica persone o responsabilità interne?

• espone documenti, schermate o credenziali?

• permette di ricostruire procedure aziendali?

• contiene dati personali o riferimenti a clienti e fornitori?

Comunicare in modo efficace non significa rendere pubblica ogni informazione disponibile.

Come può difendersi l’impresa

La risposta agli attacchi basati sull’AI richiede un approccio organizzativo, tecnico e comunicativo integrato.

È opportuno adottare:

• autenticazione a più fattori;

• sistemi di controllo degli accessi;

• aggiornamento costante di software e dispositivi;

• procedure di verifica per pagamenti e modifiche bancarie;

• conferma attraverso un secondo canale per le richieste sensibili;

• password robuste e non condivise;

• limitazione dei privilegi degli utenti;

• backup protetti e periodicamente verificati;

• formazione contro phishing, deepfake e clonazione vocale;

• policy per l’utilizzo aziendale dell’Intelligenza Artificiale.

Può essere utile concordare una parola di verifica o una procedura interna per accertare l’identità di chi impartisce istruzioni urgenti. Le operazioni più rilevanti dovrebbero inoltre richiedere la conferma di almeno due persone.

Proteggere anche l’utilizzo interno dell’AI

Il rischio non proviene soltanto dall’esterno. Dipendenti e collaboratori possono inserire inconsapevolmente dati aziendali riservati all’interno di piattaforme di Intelligenza Artificiale non autorizzate.

Contratti, dati dei clienti, informazioni finanziarie, strategie commerciali e documenti interni non dovrebbero essere caricati senza una preventiva valutazione dello strumento utilizzato.

L’impresa deve definire regole chiare su:

• piattaforme autorizzate;

• categorie di dati utilizzabili;

• informazioni che non possono essere caricate;

• controllo umano dei risultati;

• conservazione delle conversazioni;

• utilizzo dei contenuti generati;

• responsabilità prima della pubblicazione.

Preparare un piano di risposta

Quando si verifica un attacco, improvvisare la comunicazione può aggravare il danno. Occorre stabilire in anticipo chi gestisce l’incidente, chi può parlare all’esterno e attraverso quali canali devono essere informati clienti, fornitori e collaboratori.

Il piano dovrebbe coordinare area informatica, direzione, privacy, assistenza legale e comunicazione. Le informazioni diffuse devono essere verificate, coerenti e proporzionate alla situazione.

Dalla sicurezza tecnica alla governance dell’AI

Gli attacchi basati sull’Intelligenza Artificiale dimostrano che la cybersecurity non riguarda soltanto i sistemi informatici. Coinvolge persone, procedure, dati, responsabilità e reputazione.

La difesa più efficace nasce dall’integrazione tra sicurezza tecnologica, formazione, privacy e gestione dei flussi comunicativi.

L’AI può moltiplicare la capacità degli attaccanti, ma un’organizzazione consapevole può ridurre notevolmente il rischio attraverso regole chiare, verifiche indipendenti e una comunicazione aziendale correttamente governata.