Voice Cloning aziendale: la nuova frontiera del CEO Fraud nel 2026

Era il marzo del 2019 quando l’amministratore delegato della filiale britannica di una società energetica ricevette la telefonata del suo capo, il numero uno della casa madre tedesca. La richiesta era precisa: trasferire 220.000 euro a un fornitore ungherese entro un’ora. Il manager riconobbe il leggero accento tedesco, il modo di parlare, perfino la cadenza. Eseguì il bonifico.
Il capo non aveva mai chiamato. Quella voce l’aveva prodotta un software. È considerato il primo caso documentato di frode aziendale con una voce clonata.

Da allora la tecnologia ha fatto passi enormi. Secondo un’indagine di McAfee del 2023 bastano tre secondi di audio per ottenere un clone che somiglia all’originale per l’85%.
Il voice cloning è diventato così uno degli strumenti preferiti di chi organizza frodi contro le aziende, dentro la famiglia più ampia del Business Email Compromise.

1. Come si clona una voce
2. Perché una voce falsa funziona
3. Come la usano gli attaccanti
4. Dove trovano la voce dei vostri dirigenti
5. Come difendersi
6. Preparare l’azienda prima che succeda

Come si clona una voce

Clonare una voce significa addestrare un modello di intelligenza artificiale su una registrazione e poi fargli pronunciare frasi che la persona non ha mai detto.
Il risultato non è un collage di parole registrate. È una voce nuova, con lo stesso timbro, la stessa cadenza e gli stessi piccoli difetti di quella originale.

Fino a pochi anni fa servivano ore di registrazioni pulite e competenze da laboratorio. Oggi i servizi commerciali di sintesi vocale sono alla portata di chiunque. Molti costano pochi euro al mese e alcuni funzionano anche in italiano senza sbavature evidenti.

Il punto critico non è più la qualità del clone. È la quantità di materiale che serve per costruirlo: oggi bastano pochi secondi.
La stessa tecnologia applicata al video è alla base dei deepfake usati nelle frodi aziendali, compresi i casi italiani del 2025.

Perché una voce falsa funziona

Di una mail si può dubitare. Di una voce conosciuta, quasi mai.

Riconoscere la voce di un collega o del proprio capo è un gesto istintivo, che facciamo da sempre senza pensarci. Per il cervello è una forma di autenticazione: se la voce è quella giusta, la persona è quella giusta.

Chi organizza la frode lo sa e costruisce la telefonata per lasciare poco spazio al ragionamento. C’è un’urgenza, un’operazione riservata, una conseguenza grave se il pagamento non parte subito.
È lo stesso copione della CEO fraud, con un’arma in più.

La voce clonata ha però un limite che vale la pena conoscere. Funziona benissimo in una conversazione breve e prevedibile. Fa più fatica davanti a una domanda inattesa, a un riferimento personale o a una battuta fuori copione.

Come la usano gli attaccanti

La voce clonata raramente lavora da sola. Quasi sempre arriva dentro una sequenza che ha l’aria di una normale giornata di lavoro.

La telefonata

È la forma più semplice e la più diffusa.
Dopo il caso britannico del 2019 il più clamoroso è emerso nel 2021 negli Emirati Arabi Uniti. Secondo documenti giudiziari, il direttore di una banca ricevette la telefonata di un dirigente di una società cliente, di cui conosceva la voce. Alcune mail di un presunto avvocato confermavano un’acquisizione imminente. La banca trasferì 35 milioni di dollari.
Spesso anche il numero che compare sul display sembra quello giusto, grazie al CLI spoofing.

La videochiamata

Nel 2024 un dipendente dell’ufficio finanziario di Arup a Hong Kong partecipò a una videoconferenza con il direttore finanziario e altri colleghi. Erano tutti falsi, nella voce e nel volto. Alla fine aveva eseguito 15 bonifici su 5 conti, per circa 25 milioni di dollari.
Lo stesso anno qualcuno provò con Mark Read, amministratore delegato del gruppo pubblicitario WPP. Prima un profilo WhatsApp con la sua foto, poi una riunione su Teams con la sua voce clonata e spezzoni di video presi da YouTube. Il tentativo fallì grazie all’attenzione delle persone coinvolte.

Il messaggio in segreteria

È la variante più sottile. Un messaggio vocale con la voce del direttore chiede di richiamare con urgenza un certo numero.
A quel punto è la vittima a telefonare e ha l’impressione di avere lei il controllo. È la logica del callback phishing.

Nella realtà questi canali si combinano: una mail prepara il terreno, un messaggio annuncia la chiamata, la voce chiude la trattativa.
Secondo il rapporto IC3 dell’FBI sul 2025 le perdite da BEC con un legame accertato con l’intelligenza artificiale hanno superato i 30 milioni di dollari.

Dove trovano la voce dei vostri dirigenti

Per clonare una voce serve un campione. Per quella di un dirigente trovarlo è facilissimo.
Un’intervista a una radio di settore, l’intervento a un convegno caricato su YouTube, il video di presentazione sul sito aziendale, un webinar registrato. Perfino un messaggio vocale inoltrato in una chat di gruppo.

Nessuno di questi contenuti è un errore. Fanno parte del lavoro di chi guida un’azienda e non ha senso eliminarli.
Conviene però sapere quanto materiale circola e di che qualità. Una registrazione lunga, pulita e senza musica di sottofondo è il campione ideale per chi vuole clonare una voce.

È lo stesso ragionamento che vale per il whaling, in cui i dirigenti diventano un bersaglio proprio perché sono le persone più esposte. Ne abbiamo parlato anche a proposito dei profili LinkedIn.

Come difendersi

Contro una voce falsa non serve uno strumento capace di riconoscerla. Serve una procedura che la renda inutile.

• una parola o una domanda di controllo concordata di persona tra i dirigenti e chi gestisce i pagamenti, da cambiare periodicamente;
• la regola di chiudere e richiamare sul numero in rubrica, mai su quello da cui è arrivata la chiamata;
• nessun bonifico sopra una certa soglia autorizzato solo a voce o con un messaggio, nemmeno se la richiesta arriva dal vertice;
• la doppia approvazione per i pagamenti fuori dal ciclo ordinario e per ogni cambio di IBAN;
• prudenza con le conferme via SMS, che una SIM clonata può intercettare;
• un’idea chiara di quanto audio dei dirigenti è disponibile online.

La parola d’ordine è la misura più semplice e tra le più efficaci, a una condizione: bisogna stabilirla prima, di persona, senza farla mai passare per mail o chat.
Una voce clonata può imitare il timbro di chiunque. Non può sapere quello che non ha mai sentito.

Anche la procedura migliore si inceppa se chi riceve la chiamata ha paura di sembrare diffidente con il capo. Il messaggio deve arrivare dall’alto: verificare non è una mancanza di rispetto, è parte del lavoro.

Preparare l’azienda prima che succeda

Dall’agosto 2026 l’AI Act europeo, all’articolo 50, chiede a chi produce audio sintetico di renderlo riconoscibile come tale.
Chi organizza una frode ovviamente non ha alcuna intenzione di rispettarlo.

La difesa resta quindi organizzativa. Significa scrivere le procedure di verifica, decidere chi può autorizzare cosa e allenare le persone ad applicarle anche sotto pressione.
Il quadro completo delle frodi che passano dalla posta e dal telefono è nell’articolo sul Business Email Compromise.