CEO Fraud nel 2026: cos’è, casi recenti, deepfake e come difendersi

Nel 2024, secondo l’FBI Internet Crime Report, le aziende vittime di Business Email Compromise hanno perso 2,77 miliardi di dollari. Lo stesso anno, una sola truffa contro la società di ingegneria Arup è costata 25,6 milioni di dollari, sottratti in un giorno tramite una videoconferenza con interlocutori interamente generati da intelligenza artificiale. La CEO Fraud non è più solo una mail sospetta: è un fenomeno che integra deepfake video, voice cloning, WhatsApp, social engineering avanzata. Ecco lo stato della minaccia e come affrontarla nel 2026.

1. Cos’è la CEO Fraud (definizione moderna)
2. La portata del fenomeno: i numeri 2024-2025
3. I casi storici che hanno fatto scuola (2014-2019)
4. La nuova era: deepfake CEO fraud (2024-2026)
5. I 5 vettori di attacco della CEO Fraud nel 2026
6. Italia 2024-2025: i dati che le aziende dovrebbero conoscere
7. Quadro normativo: NIS2, DORA, GDPR e AI Act
8. Come si difende un’azienda dalla CEO Fraud: 7 misure concrete
9. FAQ

Cos’è la CEO Fraud (definizione moderna)

La CEO Fraud, conosciuta tecnicamente come Business Email Compromise (BEC), è una categoria di truffa informatica in cui l’attaccante si finge un dirigente aziendale, un fornitore o un’altra figura autorevole, allo scopo di indurre un dipendente a effettuare bonifici, condividere credenziali o trasmettere documenti riservati. Si basa quasi interamente sul social engineering più che su vulnerabilità tecniche: il bersaglio non è un sistema, è una persona.

Fino al 2022 la CEO Fraud era prevalentemente un fenomeno via email: l’attaccante compromettava la casella di un dirigente o ne falsificava l’indirizzo, e da lì inviava richieste di pagamento urgenti. Dal 2023 in poi il panorama è cambiato radicalmente: voice cloning, deepfake video, messaggi WhatsApp e videoconferenze contraffatte hanno espanso il perimetro tecnologico dell’attacco. Quello che resta costante è il fattore umano sfruttato: urgenza, autorità, riservatezza, mancata verifica.

Il termine “CEO Fraud” in senso stretto indica gli attacchi che impersonano l’amministratore delegato; “BEC” è la categoria più ampia che include anche impersonificazioni di CFO, fornitori, clienti, legali e direttori amministrativi.

La portata del fenomeno: i numeri 2024-2025

L’FBI Internet Crime Complaint Center (IC3) pubblica ogni anno il report più autorevole sui crimini informatici. I dati del rapporto 2024, pubblicato ad aprile 2025, raccontano una storia chiara.

Le perdite globali totali da cybercrime nel 2024 hanno raggiunto i 16,6 miliardi di dollari, con un aumento del 33% rispetto al 2023. La BEC è stata il secondo crimine più costoso in termini di perdite finanziarie, con 2,77 miliardi di dollari sottratti e 21.442 segnalazioni ricevute. Dal 2015 a oggi la BEC ha causato perdite cumulative di 17,1 miliardi di dollari, con una crescita del 1.025% rispetto al primo anno di rilevazione. L’Association for Financial Professionals nel suo report 2025 indica che il 63% delle organizzazioni ha subito un tentativo di BEC nel 2024.

Le proiezioni per il 2025-2026 non danno segnali di rallentamento, anzi: l’introduzione di strumenti di AI generativa accessibili (voice cloning, deepfake video, LLM per redazione di email) sta abbassando la soglia tecnica richiesta per condurre attacchi sofisticati, rendendo la CEO Fraud accessibile anche a gruppi criminali meno organizzati di un tempo.

I casi storici che hanno fatto scuola (2014-2019)

Per comprendere come si è evoluto il fenomeno, vale la pena ricordare alcuni episodi storici che hanno dato origine alla consapevolezza del problema.

Uno dei primi casi noti è quello di Xoom Corporation (2014): la multinazionale del money transfer ha trasferito per errore 30,8 milioni di dollari ai truffatori a seguito di una BEC tradizionale via email, vedendo il titolo in borsa perdere il 17% in pochi giorni e con dimissioni del CFO. L’anno successivo, Ubiquiti Networks (2015) ha subito una perdita di 46 milioni di dollari tramite personificazione di dipendenti interni; dopo collaborazione con le banche è riuscita a recuperarne 10, restando comunque con un buco di 36 milioni.

Nel 2016 il caso che ha avuto le maggiori ripercussioni manageriali è stato quello del colosso aerospaziale austriaco FACC, che ha perso 42 milioni di euro dopo che un impiegato ha eseguito un bonifico richiesto via email da un falso CEO per una presunta acquisizione; sia il CFO sia il CEO sono stati licenziati e citati in giudizio per non aver implementato controlli adeguati. Il 2017 ha portato il caso che ha mostrato come anche i giganti tech siano vulnerabili: un cittadino lituano ha sottratto 122 milioni di dollari a Facebook e Google nell’arco di due anni, registrando in Lettonia una società con lo stesso nome di un fornitore reale (Quanta Computer) e inviando fatture false credibili.

Il 2018 ha visto due casi italiani ed europei di particolare gravità. Il gruppo francese Pathé Cinema ha pagato 19,2 milioni di euro in quattro bonifici a seguito di richieste apparentemente legittime dal CEO; due funzionari sono stati licenziati con causa per danni. In Italia Maire Tecnimont, gruppo ingegneristico con sede a Milano, è stata vittima della CEO Fraud per due volte nell’arco di pochi mesi, con un danno complessivo di circa 18 milioni di euro: in un caso si è trattato di vera compromissione dell’email originale, nell’altro di spoofing dell’indirizzo. L’anno successivo è toccato a Toyota (2019): 37 milioni di dollari persi in un singolo attacco BEC contro la filiale europea.

Questi casi mostrano un pattern: dimensioni aziendali grandi, procedure interne carenti, fiducia eccessiva nelle email come fonte autorevole, assenza di verifiche out-of-band.

La nuova era: deepfake CEO fraud (2024-2026)

Dal 2023 il fenomeno ha cambiato pelle. Tre casi recenti mostrano dove sta andando.

Arup (Gennaio 2024) — 25,6 milioni di dollari persi in un giorno. Il caso che ha aperto gli occhi al mondo. Arup, multinazionale dell’ingegneria che ha progettato la Sydney Opera House e il Bird’s Nest di Pechino, ha perso 25,6 milioni di dollari attraverso un attacco sofisticato.

Il meccanismo: un dipendente dell’ufficio finanza di Hong Kong riceve un’email apparentemente dal CFO con base nel Regno Unito, contenente una richiesta di “transazioni confidenziali”. Il dipendente, addestrato a diffidare di richieste insolite, chiede una videoconferenza di verifica. La verifica gli viene concessa: si collega a una videocall in cui vede il CFO, altri dirigenti senior che riconosce, tutti che confermano la richiesta. Rassicurato, esegue 15 bonifici verso 5 conti diversi a Hong Kong, per un totale di 200 milioni di dollari di Hong Kong.

Il problema: nessuna delle persone nella videocall era reale. Tutti i partecipanti, CFO incluso, erano deepfake video generati da AI sulla base di materiale pubblicamente disponibile (interviste, presentazioni, materiale di marketing). Rob Greig, allora CIO di Arup, ha raccontato successivamente al World Economic Forum di aver provato a generare un deepfake di sé stesso usando solo strumenti open source gratuiti: gli sono bastati 45 minuti.

WPP (Maggio 2024) — tentativo fallito con Microsoft Teams. Il CEO della multinazionale pubblicitaria WPP è stato impersonato in un tentativo di frode: i criminali hanno organizzato una riunione Microsoft Teams basata su un audio deepfake del dirigente, e hanno chiesto a un dipendente di trasferire fondi e dati sensibili. Il tentativo è fallito perché il dipendente ha verificato attraverso un canale alternativo, ma il caso mostra come le piattaforme di videoconferenza aziendali sono diventate parte integrante dell’arsenale degli attaccanti.

Fremantle Italia (2024) — quasi 1 milione di euro. Il CEO per l’Europa meridionale di Fremantle, leader mondiale dell’intrattenimento TV, è stato vittima di una CEO Fraud da quasi un milione di euro. Il manager ha ricevuto un messaggio WhatsApp da un account che sembrava aziendale, con richiesta di bonifico per l’acquisizione di una controllata estera. Successivamente, una telefonata da un sedicente “avvocato che gestiva l’acquisizione” ha confermato le coordinate bancarie su cui dirottare il pagamento.

Il caso mostra due cose: WhatsApp è diventato il canale principale in molti attacchi italiani, e l’uso combinato di canali (messaggio più chiamata di “verifica”) aumenta drasticamente la credibilità della frode.

I 5 vettori di attacco della CEO Fraud nel 2026

Il panorama tecnico delle truffe del CEO si è articolato in cinque vettori principali, spesso usati in combinazione.

1. Email compromise classica. L’attaccante prende il controllo dell’account email di un dirigente (via phishing, brute force, infostealer, vulnerabilità del provider), studia le conversazioni interne per giorni o settimane, poi invia da quell’account richieste credibili. Il sender è autentico, quindi tutti i sistemi anti-spoofing lo lasciano passare
2. Spoofing email tradizionale. L’attaccante crea un dominio simile (es. cyber-ment.it invece di cyberment.it, oppure usa lettere greche o cirilliche graficamente identiche). La protezione efficace contro questa categoria sono SPF, DKIM e DMARC ben configurati lato gateway email
3. WhatsApp e SMS. Diventato il canale dominante in Italia. Il messaggio non passa attraverso i filtri anti-phishing aziendali, e il canale è percepito come “personale” e quindi più credibile. Il pattern è simile alla truffa “Ciao mamma”, applicata però al contesto aziendale
4. Voice cloning telefonico. La tecnologia di sintesi vocale AI permette di clonare una voce in pochi secondi a partire da una registrazione disponibile (un intervento a un evento, un podcast, una videointervista). Il primo caso documentato risale al 2019 con una società di energia britannica: oggi è una tecnica accessibile a chiunque abbia tool gratuiti e qualche secondo di registrazione del bersaglio
5. Video deepfake in videoconferenza. Il vettore più recente e più pericoloso, reso famoso dal caso Arup. L’attaccante genera in tempo reale (o pre-registra) un video di una persona reale, e lo usa in chiamate Zoom, Teams, Google Meet. La verifica “guardo in faccia il mio CEO” non funziona più come prima, perché il volto che il dipendente vede è una ricostruzione AI

In molti casi reali del 2024-2025 i vettori vengono combinati: una SIM swap per intercettare gli SMS di verifica, una compromise dell’email aziendale per studiare il contesto, una videocall deepfake per chiudere la truffa.

Italia 2024-2025: i dati che le aziende dovrebbero conoscere

I dati raccolti su scala italiana mostrano una crescita preoccupante. In Lombardia, secondo dati pubblicati a inizio 2025, i casi di CEO Fraud sono aumentati del 62% nel 2024 rispetto all’anno precedente. I settori più colpiti sono manifatturiero, costruzioni, studi professionali e PMI con processi amministrativi snelli, dove un singolo dipendente può autorizzare bonifici di importo significativo senza doppia firma.

La distribuzione geografica vede in testa le regioni a maggior tessuto economico — Lombardia, Veneto, Emilia-Romagna, Piemonte — ma il fenomeno è capillare anche al Sud, particolarmente nei settori turistico e agroalimentare. Le aziende italiane raramente denunciano per non sommare il danno reputazionale al danno economico: i numeri ufficiali sottostimano significativamente il fenomeno reale.

Una particolarità italiana è l’uso diffuso di WhatsApp Business per comunicazioni aziendali sensibili, abitudine che ha ridotto la diffidenza verso i messaggi su questo canale e ha aperto un vettore di attacco molto efficace. In molti casi documentati il primo contatto avviene proprio via WhatsApp, da un numero “salvato” come riferimento aziendale ma in realtà controllato dai truffatori.

Quadro normativo: NIS2, DORA, GDPR e AI Act

Per le aziende italiane, la CEO Fraud non è solo un rischio economico: ha implicazioni di compliance dirette.

La Direttiva NIS2, recepita in Italia con D.Lgs. 138/2024, all’articolo 23 richiede esplicitamente programmi di formazione del personale sulla cybersecurity, e all’articolo 24 impone misure tecniche e organizzative per gestire i rischi ICT. Per i soggetti essenziali e importanti (settori critici), l’assenza di misure documentate di prevenzione della CEO Fraud può comportare sanzioni amministrative significative oltre al danno diretto della frode.

Il Regolamento DORA (UE 2022/2554), applicabile dal 17 gennaio 2025, per le entità finanziarie definisce obblighi di gestione del rischio ICT che includono esplicitamente le frodi via ingegneria sociale. Le richieste di trasferimento fondi e i processi di autorizzazione bonifici sono nel perimetro dei controlli previsti.

Sul fronte protezione dati, il GDPR si applica quando un attacco CEO Fraud comporta esposizione di dati personali, ad esempio quando l’attaccante che si finge fornitore richiede dati di clienti per “aggiornare l’archivio”. In questi casi scattano gli obblighi di notifica al Garante entro 72 ore e di comunicazione agli interessati, con sanzioni che possono raggiungere il 4% del fatturato globale.

L’AI Act dell’Unione Europea (Regolamento UE 2024/1689) prevede per i sistemi AI a rischio elevato obblighi di trasparenza e di gestione del rischio che impattano direttamente sulla protezione contro i deepfake. Si discute attivamente in sede europea l’introduzione di obblighi di watermarking per i contenuti generati da AI, che potrebbero in futuro facilitare il riconoscimento dei deepfake.

Sul piano penale i reati rilevanti includono la truffa (art. 640 CP), la frode informatica (art. 640-ter CP), la sostituzione di persona (art. 494 CP) e l’accesso abusivo a sistema informatico (art. 615-ter CP). La responsabilità non è solo dell’attaccante: l’omessa diligenza dei controlli aziendali può comportare conseguenze giuridiche anche per i dirigenti che non abbiano implementato misure preventive ragionevoli.

Come si difende un’azienda dalla CEO Fraud: 7 misure concrete

La difesa non è una singola tecnologia ma un sistema integrato di processi, formazione e controlli tecnici. Ecco le sette misure che ogni azienda italiana dovrebbe considerare.

1. Procedure interne di verifica obbligatoria per i bonifici. Nessun bonifico sopra una soglia stabilita deve poter essere autorizzato solo sulla base di un’email, un messaggio o una telefonata. La verifica out-of-band (chiamata a numero noto in rubrica, conferma di persona, doppia firma su sistema separato) deve essere imposta come procedura aziendale tracciata, non come prassi facoltativa
2. Formazione strutturata e periodica del personale. La singola misura con il miglior rapporto costo-efficacia. Deve includere esempi concreti di CEO Fraud, video deepfake reali per riconoscerli, esercitazioni pratiche, simulazioni di phishing. La formazione “una tantum” non funziona: serve un programma continuativo, con aggiornamenti almeno semestrali, perché le tecniche evolvono troppo rapidamente
3. Configurazione corretta di SPF, DKIM e DMARC. Sono i tre standard tecnici che proteggono il dominio aziendale dallo spoofing email. Una configurazione DMARC con policy “reject” impedisce ai criminali di inviare email che si fingono provenienti dal proprio dominio. Configurazione spesso trascurata, anche da aziende grandi
4. MFA hardware su account critici. Per le caselle email dei dirigenti, l’home banking aziendale e i sistemi gestionali, la Multi-Factor Authentication con chiave hardware (FIDO2, YubiKey) è oggi lo standard di sicurezza. La MFA via SMS è ancora meglio di niente ma è vulnerabile alla SIM swap
5. Penetration test con scenari di social engineering. Un buon programma di sicurezza include simulazioni periodiche di CEO Fraud, voice phishing e deepfake. Permette di misurare in modo oggettivo la preparazione reale dei dipendenti e identificare i punti deboli prima che lo facciano i criminali
6. Cultura della verifica senza paura. La maggior parte delle vittime di CEO Fraud aveva avuto un dubbio, ma non aveva osato verificare per timore di sembrare “diffidente verso il capo”. Le aziende che si difendono meglio sono quelle dove i dipendenti hanno il permesso esplicito di fermare qualsiasi operazione e di chiedere verifica, anche quando la richiesta arriva apparentemente dal CEO in persona
7. Threat intelligence sul deepfake e parola d’ordine condivisa. Strumenti di rilevazione del deepfake stanno maturando rapidamente. Per aziende particolarmente esposte (banche, assicurazioni, gestori patrimoniali), l’integrazione di sistemi di detection AI in videoconferenze critiche è oggi una scelta ragionevole. Per tutte le altre, una semplice “parola d’ordine” condivisa tra dirigenti e dipendenti autorizzati ai bonifici, da pronunciare in caso di richiesta urgente, è una misura di basso costo e alta efficacia

FAQ sulla CEO Fraud

Quanto costa una CEO Fraud in media a un’azienda italiana?
I dati FBI IC3 indicano un costo medio per incidente di circa 130.000 dollari a livello globale, ma in Italia le perdite documentate variano molto: dai 50.000-100.000 euro tipici delle PMI fino ai milioni di euro nei casi più gravi (Maire Tecnimont 18 milioni, Fremantle quasi 1 milione). Va aggiunto il costo indiretto del danno reputazionale e delle eventuali sanzioni GDPR e NIS2.

La mia polizza cyber copre i danni da CEO Fraud?
Dipende dalla polizza. Molti contratti escludono esplicitamente le frodi causate da “errore umano” o richiedono che l’azienda dimostri di aver implementato controlli e formazione adeguati. Una revisione del contratto con il broker, e una possibile aggiunta di sezione “social engineering coverage”, è oggi prudente.

I deepfake video sono realmente accessibili ai criminali comuni?
Sì. Tool open source gratuiti permettono di generare deepfake video in tempo reale con qualche minuto di setup. Il caso Arup ha mostrato che una multinazionale globale è stata colpita da deepfake costruiti su materiale pubblico disponibile su LinkedIn e YouTube. Per un dirigente con una buona presenza online, costruire un deepfake credibile richiede oggi competenze tecniche minime.

WhatsApp è davvero così pericoloso per le aziende?
Sì, per due motivi: non passa attraverso i controlli IT aziendali (quindi i tentativi di phishing su questo canale non vengono filtrati), ed è percepito come canale “personale e di fiducia”. Le aziende dovrebbero avere policy esplicite su cosa può e cosa non può essere richiesto o autorizzato via WhatsApp.

Come faccio a riconoscere una videocall con deepfake?
Segnali tipici: bassa qualità video o audio “giustificata” da problemi di connessione, ritardi anomali nella conversazione, espressioni facciali leggermente sfasate, sguardo fisso o pattern di movimento ripetitivi, riluttanza a rispondere a domande imprevedibili come “puoi dire al tuo segretario di entrare un secondo?”. In caso di dubbio, la regola è sempre la stessa: interrompere la chiamata e verificare per canale alternativo.

La formazione anti-CEO Fraud è obbligatoria per legge?
Per le aziende soggette a NIS2, sì. L’articolo 23 del D.Lgs. 138/2024 richiede esplicitamente programmi di formazione cybersecurity per il personale. Per le entità finanziarie, DORA aggiunge requisiti specifici. Per tutte le altre aziende è fortemente raccomandata da ISO 27001 (controllo A.6.3) e dalle linee guida del Garante Privacy: in sede di audit è uno dei controlli più verificati.

Cosa fare nei primi minuti dopo aver scoperto una CEO Fraud?
Tre azioni in parallelo, nei primi 30 minuti: chiamare immediatamente la banca per tentare il recall del bonifico (più tempo passa, meno è recuperabile); sporgere denuncia alla Polizia Postale (necessaria anche per il recall); attivare la propria assicurazione cyber e iniziare la procedura di notifica al Garante se ci sono dati personali coinvolti. In parallelo, mettere in quarantena gli account email potenzialmente compromessi.

Cyberment può aiutarmi a prepararmi contro la CEO Fraud?
Sì, con due servizi specifici: formazione del personale (sia di base, sia avanzata su deepfake e voice cloning) e penetration test con scenari di social engineering. La consulenza cyber security supporta inoltre l’azienda nella definizione di procedure interne anti-frode e nell’adeguamento agli obblighi NIS2 e DORA.

La tua azienda è preparata contro CEO Fraud, deepfake video e BEC moderne? Cyberment supporta le imprese italiane con formazione cybersecurity certificata ISO 27001 dedicata anche ai rischi specifici di ingegneria sociale e deepfake, Penetration Test che includono scenari di CEO Fraud e social engineering, e Consulenza Cyber Security per la definizione di procedure interne anti-frode conformi a NIS2 e DORA.