Il tuo capo non ti ha mandato un'email. Un'AI addestrata sulle sue ultime tre risposte sì.

Il vecchio indizio di un'email da capo falso era la grammatica scadente e un saluto strano. Quell'indizio è sparito. I tool generativi ora acquisiscono un thread di email raschiato da internet e mimano il tono esatto di un collega, la punteggiatura e la firma, motivo per cui il compromesso della posta aziendale continua a prosciugare le aziende — l'Internet Crime Complaint Center dell'FBI ha registrato $2.9 miliardi in perdite BEC segnalate solo nel 2023. L'unica difesa affidabile rimasta è spostare la conversazione su un canale diverso prima di agire.

Perché non posso fidarmi di un'email che suona esattamente come il mio manager?

Perché "sembra scritto da lui" è ormai la parte più facile da falsificare. Il BEC una volta si affidava a un indirizzo compromesso o contraffatto insieme a un testo goffo; la formulazione imbarazzante era il tradimento. Dai a un modello di linguaggio di grandi dimensioni tre risposte reali di qualcuno e abbinerà il loro ritmo — il modo in cui iniziano con "Ehi", tralasciano la punteggiatura quando hanno fretta, firmano con solo un'iniziale. Gli attaccanti ottengono quelle risposte da una casella di posta compromessa, un thread inoltrato, o una catena di risposta-a-tutti che è fuoriuscita dalla azienda.

Il 2024 Data Breach Investigations Report di Verizon ha rilevato l'elemento umano coinvolto in circa il 68% delle violazioni, con l'ingegneria sociale e il pretexting come schema dominante. Lo stile non è più una prova. La persona che scrive come il tuo CFO potrebbe essere un modello addestrato su quindici minuti della casella di posta del tuo CFO.

Come appare uno di questi falsi aggiornati?

Appare come una richiesta breve, plausibile, leggermente urgente che si adatta a una vera conversazione già in corso. La mossa classica: una risposta inserita in un thread esistente su un pagamento a un fornitore, con nuove istruzioni di bonifico e una riga come "la banca ha segnalato il vecchio account, usa questo". Nessun errore di battitura, nomi di progetto corretti, i veri tic di linguaggio del tuo capo.

L'aspetto tecnico è che il nome visualizzato può sembrare perfetto mentre il dominio mittente è fuori di un carattere — @company-invoices.com invece di @company.com — oppure il Reply-To punta silenziosamente da un'altra parte. L'autenticazione aiuta qui: un messaggio che non supera l'allineamento SPF, DKIM o DMARC è sospetto non importa quanto suoni umano. I tool di posta AI, inclusi il rilevamento di truffe e frodi di fatture integrati in AI email con rilevamento di truffe, controllano automaticamente quei header, perché una persona che legge velocemente su un telefono non lo farà mai.

Allora come verifico davvero una richiesta di cui non posso fidarmi a prima vista?

Cambia canale e conferma attraverso uno che già conosci, non uno fornito dall'email. Se l'email chiede soldi o credenziali, chiama la persona a un numero dai tuoi contatti o dalla directory aziendale — mai il numero nella firma. Vai alla sua scrivania. Mandagli un messaggio sullo strumento di chat interno. L'intera truffa dipende dal fatto che tu rimanga dentro l'email, dove l'attaccante controlla entrambi i lati.

Fanne una regola, non una decisione discrezionale. Qualsiasi cambio di pagamento, qualsiasi bonifico, qualsiasi nuovo dettaglio bancario ottiene una conferma su un secondo canale, punto e basta — l'IC3 consiglia costantemente esattamente questa verifica verbale per il BEC. Le regole sopravvivono a un martedì pomeriggio impegnativo; gli istinti no. E smetti di trattare uno stile di scrittura convincente come prova di qualcosa. L'unica cosa che un modello addestrato su risposte raschiate non può falsificare è il tuo capo che risponde al telefono e dice che non l'ha mai mandato.