Le truffe BEC (Business Email Compromise) tramite deepfake vocali.

Sono inoltre disponibili, e sempre più diffuse, numerose tecnologie open source, come SV2TTS (Real-Time Voice Cloning), Respeecher, Descript Overdub, iSpeech e ElevenLabs

Applicazione nelle Truffe BEC

Solitamente, i soggetti che intendono realizzare truffe di tipo BEC, combinano i deepfake vocali con le tradizionali tecniche di phishing per simulare comunicazioni autentiche da parte di CEO, CFO o dirigenti. 

Un tipico scenario di utilizzo di questa tecnica, prevede l’invio di un’email da parte del CEO o di un’altra figura apicale a un dipendente, richiedendo un trasferimento di fondi o l’accesso a dati sensibili. Solitamente a questa email può far seguito una telefonata – realizzata con tecniche di deepfake vocali – nella quale si conferma l’invio della mail per rendere la truffa ancora più credibile.

La capacità di riprodurre fedelmente la voce del presunto autore, induce il dipendente a ridurre eventuali sospetti relativi alla precedente email ed eseguire il compito richiesto senza esitazioni. Molto spesso nelle email viene utilizzato un tono confidenziale, viene richiesta massima riservatezza sulla faccenda e anche una certa urgenza, riducendo così il rischio che il dipendente possa confrontarsi con altri colleghi ed eventualmente scoprire la truffa

Casi reali

Ecco una selezione di casi reali documentati di truffe BEC, incluse quelle con l’uso di email compromesse e alcune con deepfake vocali, che dimostrano quanto queste tecniche siano pericolose e sempre più sofisticate:

CEO deepfake vocale – Germania, 2019

Valore truffa: 243.000 dollari
Metodo: Deepfake vocale + telefonata
Un dirigente di un’azienda energetica tedesca ha ricevuto una telefonata da chi credeva fosse il CEO della casa madre nel Regno Unito. Il truffatore ha usato un deepfake vocale per imitare perfettamente tono, accento e modalità espressive del CEO. Gli è stato chiesto un bonifico urgente a un fornitore ungherese.

Azienda nel settore automotive – Giappone, 2019

Valore truffa: 37 milioni di dollari
Metodo: Compromissione email + cambio IBAN
I truffatori hanno ottenuto accesso a una conversazione email tra fornitori e amministrazione. Poi hanno inserito un’email spoofata con nuove coordinate bancarie e richiesto il pagamento. Il pagamento è stato eseguito prima che il raggiro fosse scoperto.

Azienda non nominata – Regno Unito – 2020

Valore truffa: Oltre 30 milioni di dollari
Metodo: Deepfake vocale + attacco su più canali
Un attaccante ha usato un deepfake vocale in tempo reale, simulando la voce di un direttore per avviare una chiamata Teams durante il COVID-19. L’interlocutore doveva approvare un trasferimento, ma il sistema di allerta interno ha bloccato l’operazione e il tentativo è stato sventato.

Banco de Brasilia – Brasile, 2023

Metodo: Email BEC + attacco via WhatsApp
Un impiegato riceve una email apparentemente legittima da un fornitore, poi riceve una chiamata vocale contraffatta tramite Whatsapp per convalidare la transazione. L’audio sembrava reale, ma l’istituto è riuscito comunque a bloccare il pagamento all’ultimo momento.

Aspetti Tecnici Critici

Nel panorama delle modalità di attacchi BEC tramite deepfake vocali, gli aspetti tecnici giocano un ruolo fondamentale per favorire la credibilità delle azioni ed eludere sia i soggetti truffati che eventuali sistemi di Cyber Security.

Tra gli aspetti tecnici più critici di tali sistemi, si distinguono:

• Latency e Real-Time: gli attacchi possono avvenire in tempo reale tramite sistemi avanzati (es. voice bots integrati con LLMs).
• Qualità Audio: la qualità delle voci sintetizzate è ora indistinguibile da quelle umane anche per orecchi esperti.
• Spoofing Detection: le tecniche per rilevare la falsificazione vocale (es. uso di spectrogramma, cepstral features, modelli di deep speaker verification) sono ancora in fase di miglioramento e non sempre affidabili.

Contromisure

Per far fronte a queste sempre più diffuse ed efficienti tecniche di attacco basate su deepfake, esistono ovviamente altrettante tecniche di difesa e precauzioni da adottare per proteggersi dai gravi rischi derivanti dagli attacchi.

• Training e Awareness: il primo passo per prevenire a monte questi rischi è quello di formare i dipendenti per far sì che possano riconoscere eventuali segnali di deepfake ed eventualmente agire di conseguenza per evitare gli impatti.
• Autenticazione Multifattoriale: è fondamentale non fidarsi solo della voce per validare richieste sensibili, ma richiedere sempre opportuni step di verifica, come l’autenticazione a un sistema e l’utilizzo di modalità multifattoriali come OTP ricevuti tramite email o numero di telefono.
• Software di Rilevamento Audio Deepfake: esistono numerosi strumenti come Microsoft Audio Deepfake Detection Tool, Resemble Detect, o soluzioni basate su AI/ML customizzate, in grado di individuare potenziali attacchi deepfake e segnalarli prima che possano avere impatti devastanti.
• Policy di Conferma a Doppio Canale: soprattutto per le azioni di pagamento, è fondamentale che ogni richiesta sia essere confermata attraverso un secondo canale indipendente, come applicazioni di mobile banking o codici OTP inviati via SMS.

Conclusioni

L’uso di deepfake vocali nelle truffe BEC rappresenta una minaccia emergente e concreta, resa possibile dalla democratizzazione delle tecnologie di voice cloning. La combinazione tra intelligenza artificiale generativa e ingegneria sociale alza l’asticella della cyber-difesa, rendendo indispensabile l’adozione di misure tecniche e procedurali più sofisticate.