Truffe con l'AI nel 2026: 9 inganni contro le piccole imprese
Le truffe con l'AI nel 2026 spiegate alle piccole imprese: videochiamate deepfake, voci clonate, false fatture di fornitori ed email di phishing perfette, con il segnale di allarme per ciascuna, tre regole che ne fermano la maggior parte e cosa fare nella prima ora se hai già pagato.
La voce al telefono è quella del tuo fornitore. Stesso accento, stessa battuta sul tempo. Dice che l'azienda ha cambiato banca e ti legge i nuovi dati del conto per la fattura di questo mese. Paghi. Lui non ha mai telefonato.
Ecco come sono oggi le truffe con l'AI: nessun errore di ortografia, nessun accento strano, niente che sembri sbagliato finché i soldi non sono spariti. UK Finance ha contato 1,28 miliardi di £ persi per frodi sui pagamenti nel 2025, e l'indagine del governo ha rilevato che il 43% delle imprese del Regno Unito ha individuato una violazione o un attacco informatico in un anno. Questa guida tratta i nove inganni rivolti alle piccole aziende, il segnale di allarme di ciascuno e le tre abitudini che ne fermano la maggior parte. Le cifre sono state verificate il 4 ottobre 2026.
Vuoi una politica di controllo dei pagamenti, un quiz per il personale e un elenco ordinato di chi può approvare cosa? Chiedi a un agente su Jobbit di scriverli per la tua attività: 100 crediti gratuiti al giorno, senza carta, e Go costa 7 £ al mese.
Come abbiamo verificato questa guida
- Perdite da UK Finance. Le cifre sulle frodi vengono dall'UK Finance Annual Fraud Report 2026, che riguarda il 2025.
- Attacchi alle imprese dai dati del governo. I dati sulle violazioni provengono dalla Cyber Security Breaches Survey 2025/2026, pubblicata il 30 aprile 2026.
- Regole di rimborso dall'autorità di vigilanza. I limiti e le scadenze dei rimborsi provengono dal Payment Systems Regulator.
- Casi con nome solo se confermati dalla vittima. Il caso Arup riportato sotto è stato confermato dall'azienda a maggio 2024.
- Nessuna statistica inventata. Dove nessuno pubblica un numero affidabile, descriviamo la truffa e omettiamo il numero.
Le 9 truffe con l'AI in sintesi
| Truffa | Cosa aggiunge l'AI | Il segnale | La difesa |
|---|---|---|---|
| Videochiamata deepfake del capo | Una copia in movimento e parlante di una persona reale | Urgenza, segretezza, un pagamento che nessuno si aspettava | Richiama su un numero che conosci |
| Voce clonata al telefono | Una voce ricostruita da pochi secondi di audio | Una richiesta di denaro o di codici | Una frase di sicurezza e una richiamata |
| Fornitore con nuovi dati bancari | Copie perfette di fatture ed email reali | "Abbiamo cambiato banca" | Conferma per telefono prima del primo pagamento |
| Pagamento urgente dall'amministratore delegato | Email nello stile del capo | Inviata quando il capo è in viaggio | Due persone approvano ogni bonifico |
| Email di phishing perfetta | Nessun errore di ortografia da notare | Un link che chiede di accedere | Digita tu l'indirizzo |
| Falso cliente o falso ordine | Aziende credibili inventate in pochi minuti | Pagamento in eccesso, poi richiesta di rimborso | Aspetta i fondi incassati |
| Ricatto con le recensioni | Centinaia di false recensioni su richiesta | Paga o arrivano le recensioni a una stella | Segnala, non pagare |
| Codice QR verso un falso accesso | Pagine di pagamento e di accesso clonate | Un adesivo sopra il codice vero | Controlla l'indirizzo prima di digitare |
| Falso strumento o app AI | Copie di marchi AI noti | Download "premium gratis" | Installa solo dal sito ufficiale |
Le quattro che portano via più denaro
La videochiamata deepfake
A gennaio 2024 un addetto alla finanza della sede di Hong Kong della società di ingegneria Arup si è collegato a una videochiamata con il direttore finanziario e diversi colleghi. Erano tutti falsi, costruiti da filmati pubblici. L'addetto ha inviato circa 200 milioni di HK$, circa 20 milioni di £, a cinque conti. Arup lo ha confermato a maggio.
Non serve essere una multinazionale. Chiunque abbia il volto e la voce online può essere copiato. Il segnale non è mai l'immagine. È la richiesta: urgente, riservata e fuori dalla procedura normale. La difesa è riagganciare e chiamare la persona su un numero che hai già.
La voce clonata
Nel 2024 Starling Bank ha rilevato che il 28% degli adulti britannici riteneva di essere stato preso di mira da una truffa con voce clonata nell'anno precedente, e che il 46% non aveva mai sentito parlare dell'idea. La banca afferma che una voce può essere copiata da appena tre secondi di audio, che bastano a un messaggio in segreteria o a un video sui social.
Il segnale è una voce di cui ti fidi che chiede denaro, un codice o un cambio di dati. La difesa è una frase di sicurezza concordata in anticipo con familiari, soci e chiunque possa muovere denaro, più la stessa regola della richiamata.
Il fornitore che ha cambiato i dati bancari
UK Finance la chiama truffa della fattura e del mandato: un criminale intercetta o imita un fornitore reale e dirotta un pagamento reale. Nel 2025 è costata 41,3 milioni di £ in 2.305 casi, e il 68% del denaro, 28 milioni di £, proveniva da conti aziendali. Il rapporto ne spiega il motivo: le imprese effettuano così spesso grandi pagamenti legittimi che uno falso è difficile da vedere.
L'AI rende perfetta la fattura falsa e la catena di email che la accompagna. Il segnale è qualsiasi messaggio che cambia la destinazione del denaro. La difesa è semplice e noiosa: prima del primo pagamento ai nuovi dati, telefona al fornitore al numero di una vecchia fattura, non a quello dell'email.
La richiesta urgente del capo
La frode dell'amministratore delegato è stata la truffa autorizzata più rara del 2025, con 197 casi, ma ha avuto la perdita media più alta di tutti e otto i tipi: poco più di 28.000 £ a caso. Alle vittime è stato restituito solo il 20% del denaro. L'email arriva mentre il titolare è su un volo, chiede un bonifico rapido e suona esattamente come lui perché un modello ha letto i suoi post pubblici.
La difesa è una regola per cui due persone approvano qualsiasi bonifico oltre un certo importo, e nessun pagamento viene mai approvato solo via email.
Le cinque che costano tempo, accessi e reputazione
L'email di phishing perfetta
Il phishing è stato l'attacco più comune nell'indagine del governo, segnalato dal 38% di tutte le imprese e quello più spesso descritto come il più dannoso. Il vecchio consiglio era cercare la grammatica sbagliata. Quel consiglio è finito. Guarda invece cosa vuole il messaggio: un accesso, un pagamento, un download. Vai al sito digitando tu l'indirizzo, mai tramite il link.
Il falso cliente
Una nuova azienda fa un grosso ordine, paga con un metodo che può essere annullato, paga per errore di più e chiede indietro la differenza. Il sito, le foto del personale e le referenze sono stati generati in un pomeriggio. Aspetta i fondi incassati e diffida di qualsiasi rimborso su un conto diverso da quello che ha pagato.
Il ricatto con le recensioni
Un messaggio avverte che arriverà un'ondata di recensioni a una stella a meno che tu non paghi. Non pagare. Segnala le recensioni alla piattaforma come false, conserva il messaggio come prova e denuncia la minaccia. Pubblicare o commissionare recensioni false è vietato nel Regno Unito dal 6 aprile 2025 in base al Digital Markets, Competition and Consumers Act.
Il codice QR che porta a un falso accesso
Un adesivo sopra il codice di un parcometro, o un codice in un'email su una consegna mancata, apre la copia di una pagina di pagamento. Sul telefono la barra degli indirizzi è piccola e facile da ignorare. Leggila prima di inserire qualsiasi dato.
Il falso strumento AI
Annunci e schede di app imitano prodotti AI noti e offrono una versione premium gratuita. Il download ruba le password salvate. Installa gli strumenti solo dal sito del produttore e dai al personale un elenco approvato. Un gestore di password tra i nostri strumenti per password e privacy limita i danni se un accesso viene sottratto.
Tre regole che fermano la maggior parte delle truffe con l'AI
- Richiama a un numero che hai già. Ogni richiesta che riguarda denaro, dati bancari, password o codici richiede una telefonata a un numero dei tuoi archivi.
- Due persone per i pagamenti. Fissa un importo oltre il quale deve approvare una seconda persona. Per un libero professionista, la seconda persona può essere una regola: aspetta un'ora e rileggi la richiesta.
- I cambiamenti non si accettano mai per messaggio. Nuovi dati bancari, un nuovo indirizzo di consegna o un nuovo referente si confermano a voce.
Scrivi le tre regole su una pagina e consegnala a chiunque possa pagare una fattura, compresi il contabile e i familiari che danno una mano.
Se hai già pagato: la prima ora
- Telefona subito alla banca, al numero riportato sulla tua carta. Chiedi di bloccare o richiamare il pagamento.
- Segnalalo. In Inghilterra, Galles e Irlanda del Nord usa Report Fraud, il servizio che ha sostituito Action Fraud a dicembre 2025, su reportfraud.police.uk o al 0300 123 2040. In Scozia chiama Police Scotland al 101.
- Chiedi del rimborso. Dal 7 ottobre 2024 le banche devono rimborsare le vittime di frodi con pagamento autorizzato (authorised push payment) inviati con Faster Payments o CHAPS, fino a 85.000 £. La regola riguarda persone fisiche, enti di beneficenza e le imprese più piccole, che l'autorità chiama microimprese. Hai 13 mesi per presentare la richiesta e la banca dovrebbe normalmente decidere entro cinque giorni lavorativi. Le aziende più grandi non sono coperte, un motivo in più per la regola delle due persone.
- Cambia le password, prima della posta elettronica, poi della banca, poi di tutto il resto.
- Avvisa il vero fornitore o collega perché possa mettere in guardia gli altri.
Nel 2025 le banche hanno restituito il 61% delle perdite da pagamenti autorizzati nel complesso, quindi segnalare in fretta conviene.
Come un agente AI ti aiuta a difenderti
ChatGPT, Claude, Gemini, Microsoft Copilot, Manus e Muse di Meta ti spiegheranno tutti un'email sospetta se ne incolli il testo senza i nomi. Un agente può fare il lavoro di preparazione al posto tuo.
- Scrive le tue regole sui pagamenti. Una pagina, con le tue parole, i tuoi limiti e i tuoi approvatori.
- Prepara un quiz per il personale. Dieci esempi realistici, metà veri e metà falsi, con i segnali spiegati.
- Verifica cosa è pubblico. Elenca dove compaiono online la tua voce, i nomi del personale e dei fornitori, così sai cosa può copiare un criminale.
- Controlla i dati dei fornitori. Confronta i dati bancari sulle nuove fatture con quelli in archivio e segnala ogni variazione.
- Redige le email difficili. La comunicazione ai clienti dopo un incidente e la risposta a un fornitore per chiedergli di confermare per telefono.
Su Jobbit l'agente lavora anche con una rete di persone verificate, così un esperto di sicurezza può rivedere ciò che produce. Se questi strumenti sono nuovi per te, parti da 12 lavori che un agente AI può fare per la tua attività.
Il tuo piano per questa settimana
- Oggi: concorda la regola della richiamata e una frase di sicurezza con chiunque possa muovere denaro.
- Domani: telefona ai tuoi cinque fornitori principali e conferma i dati bancari che hai.
- Giorno 3: imposta con la tua banca il limite per due persone, se lo offre.
- Giorno 4: invia al personale le regole su una pagina.
- Giorno 5: controlla che le tue fatture riportino chiaramente i tuoi dati, usando il nostro modello di fattura gratuito, così i clienti riconoscono una contraffazione delle tue.
Domande frequenti
Che cos'è una truffa con l'AI?
È una vecchia frode resa più convincente da nuovi strumenti: una voce clonata, una falsa videochiamata, una fattura contraffatta o un'email scritta alla perfezione. Lo scopo è lo stesso di prima, farti inviare denaro o consegnare un accesso.
Come riconosco una videochiamata deepfake?
Non fidarti dell'immagine. Giudica la richiesta. Se qualcuno in una chiamata chiede un pagamento urgente o segreto, chiudila e richiamalo su un numero che già possiedi.
Le piccole imprese sono davvero prese di mira dalle truffe con l'AI?
Sì. La Cyber Security Breaches Survey 2025/2026 ha rilevato che il 43% delle imprese del Regno Unito ha individuato una violazione o un attacco in un anno, e UK Finance riferisce che il 68% delle perdite per truffe sulle fatture nel 2025 proveniva da conti aziendali.
Un'impresa può riavere i soldi dopo una truffa?
A volte. La regola del rimborso obbligatorio copre persone fisiche, enti di beneficenza e microimprese per i pagamenti con Faster Payments o CHAPS, fino a 85.000 £, da richiedere entro 13 mesi. Le imprese più grandi dipendono dalla decisione della propria banca e dall'assicurazione.
Dove si denuncia una frode nel Regno Unito?
Avvisa prima la tua banca. Poi usa Report Fraud su reportfraud.police.uk o al 0300 123 2040 in Inghilterra, Galles e Irlanda del Nord, oppure Police Scotland al 101.
È sicuro usare strumenti AI al lavoro?
Sì, con alcune impostazioni e regole. La nostra guida su quanto è sicuro usare l'AI tratta i tuoi dati e le impostazioni da cambiare.
Come può l'AI aiutarmi a proteggere la mia attività dalle truffe con l'AI?
Facendo il lavoro di preparazione per cui nessuno ha tempo: le regole sui pagamenti, il controllo dei fornitori e la formazione del personale. Chiedi a un agente su Jobbit di redigere tutti e tre, gratis con 100 crediti al giorno e senza carta.