Truffa del CEO con la voce clonata a Svitto: milioni persi per una telefonata. La regola dei due canali da mettere per iscritto

“Se mi chiama qualcuno che conosco, la voce la riconosco.” Fino a pochi anni fa era vero. Oggi la voce si copia, e chi l’ha imparato a sue spese a Svitto non era un impiegato distratto: era il titolare.

Cosa è successo nel Canton Svitto?

Un’azienda del Canton Svitto ha perso diversi milioni di franchi nel giro di due settimane, dopo essere stata contattata al telefono da una voce falsa. Secondo la polizia cantonale, gli autori hanno chiamato direttamente il titolare e si sono presentati, in modo credibile, come un socio d’affari che lui conosceva. La voce era stata manipolata con l’intelligenza artificiale.

Il pretesto: un affare internazionale riservato. Il titolare ha eseguito più bonifici, per un totale di diversi milioni di franchi, verso un conto bancario in Asia. La truffa è stata scoperta solo dopo l’ultimo pagamento. Gli autori sono ignoti; indagano la polizia e la procura di Svitto.

La Polizia cantonale di Svitto raccomanda di verificare le istruzioni di pagamento straordinarie o urgenti sempre su un secondo canale di comunicazione indipendente e di applicare il principio dei quattro occhi.

È un caso isolato?

No: in Svizzera le truffe del CEO segnalate all’UFCS sono passate da 719 nel 2024 a 971 nel 2025. L’Ufficio federale della cibersicurezza (UFCS) ha citato il caso di Svitto nella sua retrospettiva settimanale, parlando di chiamate e messaggi vocali falsificati con l’IA. Lo schema classico resta l’email del «capo» che chiede un pagamento urgente a un fornitore estero, ma ora arrivano anche WhatsApp, telefonate e messaggi vocali.

↗UFCS, retrospettiva settimana 4: «Versamento urgente», la truffa del CEO torna alla carica delle PMI(2026-01-27)

In Italia lo schema è lo stesso, e la voce falsa era già comparsa nel caso Fideuram, che ho raccontato in un articolo dedicato.

Perché la voce non basta più come prova?

Perché per copiare una voce bastano pochi secondi di audio, e la voce di un imprenditore si trova facilmente. Un’intervista, un video sul sito, un messaggio vocale. Ho fatto la prova di persona: con 25 secondi della mia voce ho ottenuto una copia molto somigliante. I dettagli sono nell’articolo su come difendersi dai deepfake vocali. Deepfake vuol dire voce o video falsi, creati con l’intelligenza artificiale.

La voce falsa, però, è solo l’ultimo pezzo. Funziona perché si appoggia a tre leve vecchie: una persona di cui ti fidi, un segreto («affare riservato, non ne parli con nessuno») e la fretta. Una regola che spezza queste tre leve ferma la truffa anche se la voce è perfetta.

Cosa sono la regola dei due canali e quella dei quattro occhi?

Due canali: una richiesta di pagamento arrivata per telefono, email o chat si conferma con un mezzo diverso, scelto da te. Quattro occhi: nessun pagamento importante parte con l’autorizzazione di una sola persona. Sono le due difese che raccomandano sia la polizia di Svitto sia l’UFCS.

• Due canali vuol dire: la conferma passa da un contatto che avevi già prima, in rubrica o nel gestionale, mai da quello che ti dà chi chiama. Se la richiesta arriva per email, telefoni. Se arriva per telefono, scrivi o, meglio, chiami un’altra persona dell’azienda del tuo interlocutore.
• Quattro occhi vuol dire: una persona prepara il bonifico, un’altra lo approva. In Svizzera si chiama firma collettiva a due, in Italia firma congiunta o doppia autorizzazione. Chiedi alla tua banca se il tuo e-banking permette di impostare la doppia approvazione.
• Nessuna eccezione per il capo. A Svitto la telefonata è arrivata direttamente al titolare: chi è in cima può ordinare un pagamento senza che nessuno lo verifichi, ed è proprio lì che serve la regola. L’UFCS lo scrive chiaro: le procedure di sicurezza non si saltano, anche e soprattutto quando l’ordine arriva dall’alto.

Se lavori da solo o in due, i quattro occhi possono essere quelli del tuo fiduciario o del tuo consulente in banca: una telefonata prima di ogni bonifico all’estero sopra la soglia.

Se vuoi un criterio veloce per decidere al telefono, usa il Metodo 3V: chi mi chiama è davvero lui? La richiesta ha senso? Perché tanta fretta?

Un testo pronto da mettere nella procedura dei pagamenti

Copialo, adatta le parti tra parentesi quadre, fallo firmare a tutti quelli che possono pagare, titolare compreso. Una regola scritta protegge anche chi la applica: nessuno deve sentirsi maleducato a dire «la richiamo».

Regola per i pagamenti di [nome dell’azienda], valida dal [data] per tutti, direzione compresa.

1. Servono due persone, una che prepara il pagamento e l’altra che lo approva: sempre per coordinate bancarie (IBAN) nuove o cambiate, bonifici all’estero e richieste urgenti; per le fatture ricorrenti dei fornitori noti, sopra [soglia decisa da voi, per esempio 1.000 franchi o 1.000 euro].
2. Una richiesta arrivata per telefono, messaggio vocale, chat o email si conferma su un altro canale, richiamando un numero già presente nei nostri contatti. Mai il numero o l’indirizzo indicato nella richiesta.
3. Le parole «riservato», «urgente», «non ne parli con nessuno» non autorizzano a saltare i punti 1 e 2. Sono un motivo in più per applicarli.
4. Chi riceve una richiesta che non rispetta questa regola non la esegue e avvisa [nome e numero del responsabile]. Nessuno viene rimproverato per aver verificato.
5. Fra direzione e amministrazione c’è una parola d’ordine, comunicata solo a voce e mai scritta, da chiedere in caso di dubbio. La conoscono solo chi può ordinare pagamenti e chi li esegue. Si cambia quando qualcuno lascia l’azienda o se si sospetta che sia stata detta ad altri.

Firme: [titolare], [amministrazione], [altri autorizzati].

Una volta a trimestre fate una prova: qualcuno di fiducia chiama l’amministrazione fingendosi il capo e chiede un pagamento urgente. Se la regola tiene, bene; se no, avete scoperto il punto debole senza perdere un franco.

Ho già pagato: cosa faccio?

1. Chiama subito la tua banca e chiedi il «richiamo del bonifico». Per i bonifici all’estero passa dalla rete SWIFT, il circuito che collega le banche di tutto il mondo: chiedilo in filiale o al numero dell’assistenza per le aziende. Ogni ora conta, perché i soldi vengono spostati in fretta su altri conti. Se usi solo l’app, cerca l’assistenza in chat o il numero d’emergenza indicato nell’app.
2. Fai denuncia alla polizia: in Svizzera alla polizia cantonale, in Italia alla Polizia Postale o ai Carabinieri.
3. Segnala il caso: in Svizzera all’UFCS con il modulo report.ncsc.admin.ch, in Italia sul sito della Polizia Postale.
4. Conserva tutto: numeri da cui ti hanno chiamato, orari, messaggi vocali, email, coordinate dei bonifici. Non cancellare nulla.
5. Avvisa il socio o il cliente vero di cui hanno usato il nome: potrebbero provarci anche con altri.
6. Controlla l’assicurazione: se hai una polizza contro la frode o cyber, verifica se copre l’«ingegneria sociale», cioè l’inganno di una persona come in questo caso. Spesso è esclusa o ha un limite basso.

Domande frequenti

▸ Si può riconoscere al telefono una voce clonata?

A volte sì, da pause strane, tono piatto o risposte vaghe alle domande personali. Ma non contarci: le voci migliori ingannano anche chi conosce bene la persona, come è successo a Svitto. Più del tuo orecchio vale la regola scritta che trovi più sopra, perché non dipende da quanto è bravo l'imitatore.

▸ La banca mi rimborsa se ho fatto io il bonifico?

Di solito no: se hai autorizzato tu il pagamento, anche ingannato, la banca in genere non è obbligata a rimborsare. Può però provare a fermare o richiamare il bonifico se la avvisi subito. Per questo la prima telefonata dopo la scoperta va alla banca, prima ancora della denuncia.

▸ Siamo in due in azienda: come facciamo con i quattro occhi?

Basta una seconda persona di fiducia: il socio, il fiduciario, il commercialista o il consulente in banca. L'importante è che il bonifico sopra la soglia non parta finché qualcuno che non ha ricevuto la richiesta lo ha visto e confermato. Chiedi alla tua banca se l'e-banking prevede la doppia firma.

▸ Conviene togliere la voce e i video del titolare dal sito?

Non serve sparire da internet: la voce si trova comunque, in una telefonata o in una fiera. Conviene invece pubblicare con prudenza organigramma, nomi e ruoli di chi fa i pagamenti, perché l'UFCS spiega che i truffatori studiano proprio sito, LinkedIn e registro di commercio prima di colpire.

Una regola scritta oggi costa mezz’ora. Una verifica su un secondo canale, per esempio una telefonata a un numero già noto, avrebbe con ogni probabilità fermato la truffa: è ciò che raccomanda la polizia di Svitto.