La truffa da 36 milioni alla banca Fideuram sembra uscita da un film

Lo scorso febbraio alcuni truffatori hanno convinto l’allora presidente della banca Fideuram Paolo Molesini a trasferire circa 95 milioni di euro su conti esteri, soprattutto in Cina e a Hong Kong: una parte è stata poi recuperata, ma mancano ancora 36 milioni. Ci sono riusciti con uno stratagemma che sembra uscito da un film, messo a punto con messaggi WhatsApp, una voce clonata dall’intelligenza artificiale e alcune email.

Molesini non è indagato nell’inchiesta sulla truffa. A marzo si era dimesso motivando la decisione con non meglio precisate ragioni personali.

Secondo la ricostruzione del Corriere della Sera, che ha dato la notizia e raccontato l’indagine sulla truffa, Molesini avrebbe prima ricevuto un messaggio WhatsApp da una persona che si fingeva Carlo Messina, amministratore delegato di Intesa Sanpaolo, con la richiesta urgente di fare dei bonifici per cogliere l’occasione di un’operazione finanziaria internazionale.

La richiesta sembrava plausibile, perché Fideuram è un istituto bancario che fa parte del gruppo Intesa Sanpaolo, e anche perché nel messaggio il falso Messina alludeva a problemi tecnici che impedivano a Intesa di agire direttamente. Il totale richiesto era una cifra vicina ai 100 milioni di euro, che sono molti, ma nella norma per questo tipo di operazioni e decisamente alla portata di Fideuram, che gestisce un patrimonio di 452,3 miliardi di euro.

Molesini avrebbe poi ricevuto una telefonata da una persona che sosteneva di essere Paolo Nastasi, managing partner di A&O Shearman Italia, uno studio legale internazionale da 3,4 miliardi di euro di fatturato, che si proponeva come intermediario dell’operazione proposta dal messaggio WhatsApp. A Molesini sembrava proprio la voce di Nastasi, che conosce personalmente.

In realtà i truffatori, sempre secondo la ricostruzione del Corriere, avrebbero riprodotto la voce di Nastasi usando strumenti di intelligenza artificiale. Non è una cosa molto difficile da fare. Se una persona è molto esposta pubblicamente è possibile trovare online registrazioni della sua voce fatte durante interviste, convegni o video aziendali, che possono essere usate dai sistemi di voice cloning per ricostruire la voce della persona e farle dire qualsiasi cosa si voglia.

Dopo la telefonata, Molesini avrebbe ricevuto anche delle mail, che sembravano provenire dallo studio legale di Nastasi e che contenevano i dati delle società e dei conti su cui trasferire i soldi. E così Molesini ha chiesto al direttore finanziario di Fideuram di avviare le operazioni, trasferendo 95 milioni di euro.

Questa sequenza è tipica delle CEO fraud, un tipo di truffa in cui i criminali si fingono un dirigente per convincere un dipendente ad autorizzare trasferimenti di denaro. I truffatori costruiscono una storia credibile per indurre la vittima a compiere una determinata azione: una tecnica che in gergo viene chiamata social engineering. A questo aggiungono lo spoofing delle comunicazioni, e cioè mascherano o falsificano l’identità di chi chiama o manda messaggi e mail in vari modi, usando anche l’AI.

Negli ultimi anni le CEO fraud sono aumentate e stanno diventando sempre più elaborate e sofisticate. Per esempio nel 2024 una importante multinazionale di Hong Kong ha perso 25 milioni di dollari in una truffa simile. Un dipendente aveva ricevuto prima un messaggio relativo a una transazione riservata, che lo aveva insospettito, ma poi era stato invitato a una videoconferenza in cui il capo delle operazioni finanziarie confermava la richiesta e autorizzava l’operazione. Il video era un deepfake, cioè era stato generato con l’intelligenza artificiale.

Nel tempo le banche hanno studiato nuovi sistemi di sicurezza per fermare questo tipo di transazioni: per esempio se la banca destinataria riceve tempestivamente una segnalazione di frode e il denaro è ancora presente sul conto, è possibile bloccarlo.

Anche la perdita di Fideuram è stata arginata appena i sistemi di allerta sono stati attivati. Una banca in Cina le ha restituito immediatamente 40 milioni e altre decine di milioni sono state recuperate da una banca del Portogallo grazie alle indagini dei magistrati della procura di Milano.

Mancano ancora 36 milioni di euro, che probabilmente sono stati già convertiti in bitcoin, cioè in criptovalute. Convertire il denaro in bitcoin è una pratica molto diffusa tra i criminali per far uscire il denaro dal circuito bancario tradizionale e renderlo meno tracciabile.