6 min read
Sette aree di danno, nove mesi di operazioni smantellate e una conclusione scomoda. È la versione breve del report di threat intelligence di Anthropic di settembre 2026, che documenta come i criminali abbiano cercato di sfruttare l’IA tra dicembre 2025 e agosto 2026. Truffe e frodi compaiono accanto ad attacchi informatici e reti di fake news, compresi falsi profili gestiti dall’IA e ingegneria sociale automatizzata (indurre le persone a consegnare denaro o accessi).
La frase che dovrebbe catturare l’attenzione di ogni imprenditore in proprio: l’IA ha cancellato quasi del tutto il divario di competenze e personale che un tempo separava una grande organizzazione strutturata da una persona che lavora da sola. In parole semplici, oggi un solo truffatore può condurre il tipo di campagna che prima richiedeva una squadra. La tua attività non deve essere grande per diventare un bersaglio. Le bastano un conto in banca e una casella email.
La buona notizia è che la maggior parte delle difese è semplice, economica e veloce. Eccone nove che puoi mettere in pratica questa settimana, quasi tutte in meno di 20 minuti ciascuna.
Nove mosse rapide per diventare un bersaglio più difficile
1. Crea una regola del “richiamo” per qualsiasi modifica di pagamento
L’IA oggi sa scrivere un’email impeccabile, identica a quelle del tuo fornitore o del tuo commercialista. Quindi smetti di fidarti dell’email. Ogni richiesta di cambiare coordinate bancarie, pagare con urgenza una nuova fattura o acquistare gift card va verificata per telefono, usando un numero che avevi già, non quello indicato nel messaggio. Scrivi la regola su un post-it vicino alla scrivania. Tempo necessario: due minuti.
2. Concorda una parola d’ordine con la famiglia o il team
La clonazione vocale (software che copia la voce di una persona partendo da una breve registrazione) significa che una telefonata concitata con la voce del tuo partner, del tuo assistente o del tuo cliente più importante potrebbe non venire da loro. Scegli una parola d’ordine con le poche persone che potrebbero mai chiederti denaro o accessi in fretta. Se chi chiama non sa dirla, riattacca e richiama tu.
3. Attiva passkey o un’app di autenticazione ovunque ci siano soldi
I codici via SMS sono meglio di niente, ma possono essere intercettati. Passa a passkey o a un’app di autenticazione per banca, processore di pagamento, email e registrar del dominio. Inizia dall’email: chi controlla la tua casella può reimpostare quasi tutte le altre tue password.
4. Imposta un tetto di spesa su ogni account di IA e API
Un’analisi del report di Anthropic ha riassunto in modo semplice uno schema chiave: in molti attacchi, il bottino è la chiave API. Una chiave API è la password che permette a un software di usare un servizio di IA a nome del tuo account, e una chiave rubata può far lievitare le bollette molto in fretta. Se ne hai mai creata una per un’automazione, accedi, imposta un limite di spesa mensile ed elimina tutte le chiavi che non usi più.
5. Non incollare mai chiavi o password in documenti condivisi o chat con l’IA
Cerca nel tuo Google Drive, Notion o Dropbox parole come “password”, “chiave API” e “login”. Sposta tutto ciò che trovi in un password manager. Vale anche per gli assistenti IA: tratta una finestra di chat come una cartolina, non come una cassaforte. La nostra guida su gli errori che gli imprenditori in proprio commettono quando affidano dati aziendali all’IA completa il discorso su questa abitudine.
6. Mantieni il passaggio di approvazione su ogni agente IA
Gli agenti che possono inviare email, pubblicare contenuti o spendere denaro sono utili proprio perché agiscono al posto tuo. Ed è anche questo a renderli un bersaglio. Mantieni obbligatoria l’approvazione per tutto ciò che invia, paga o condivide, almeno finché non hai visto l’agente comportarsi bene per un mese. Abbiamo messo alla prova l’idea di agenti del tutto autonomi in Agenti IA per imprenditori in proprio: 5 convinzioni comuni messe alla prova.
7. Verifica quali app possono accedere ai tuoi account
Ogni pulsante “Accedi con Google” o “Collega a Shopify” apre una porta. Una volta a trimestre, apri la pagina delle app collegate del tuo account Google, del tuo account Microsoft e del tuo processore di pagamento, e rimuovi tutto ciò che non riconosci o non usi più. Dieci minuti, e chiudi porte che avevi dimenticato di aver aperto.
8. Rallenta davanti a tutto ciò che sembra urgente
Quasi ogni truffa fa leva sulla pressione: una fattura che scade oggi, un account sospeso entro un’ora, un cliente che ha bisogno di un bonifico prima del fine settimana. L’IA rende questi messaggi più convincenti, ma non può eliminare il trucco dell’urgenza, perché il trucco è proprio quello. Datti una regola personale: l’urgenza fa scattare una pausa, non un pagamento. Aspetta 30 minuti e verifica attraverso un canale che controlli tu.
9. Scrivi una scheda di una pagina “se mi hackerano”
Se qualcosa va storto, non avrai la mente lucida. Annota in anticipo: il numero antifrode della tua banca, come bloccare il tuo processore di pagamento, chi ospita il tuo sito web e la tua email e dove si trovano i tuoi backup. Conserva una copia stampata in un posto diverso dal tuo portatile.
Dove l’IA ti aiuta a difenderti, non solo ad attaccare
Gli stessi strumenti di cui abusano i criminali possono renderti più sicuro. Ecco alcuni modi pratici per mettere l’IA dalla tua parte:
- Un secondo parere sui messaggi sospetti. Incolla un’email sospetta (senza dati personali) nel tuo assistente IA e chiedi: “Quali sono i segnali che indicano che si tratta di una truffa?” È sorprendentemente bravo a individuare domini che non corrispondono e tattiche di pressione.
- Stesura delle regole. Chiedi all’IA di trasformare questo elenco in una semplice policy di sicurezza di una pagina per la tua attività, anche se il tuo “team” sei tu più un collaboratore part time.
- Esercitazioni pratiche. Fai scrivere all’IA tre finte email di phishing realistiche su misura per il tuo settore, poi verifica se le avresti riconosciute.
I browser agentici e gli assistenti che agiscono dentro i tuoi account sollevano questioni tutte loro. Se ne stai valutando uno, leggi prima la nostra guida su come lasciare che un browser IA agisca sui tuoi account.
Inizia dalle tre più importanti
Se nove ti sembrano tante, fai queste tre oggi, in quest’ordine:
- Proteggi la tua email con una passkey o un’app di autenticazione (mossa 3).
- Adotta la regola del richiamo per le modifiche di pagamento (mossa 1).
- Metti un tetto alle tue chiavi API e fai pulizia (mossa 4).
Insieme bloccano i modi più comuni e più costosi con cui le piccole imprese perdono denaro. Non devi diventare un esperto di sicurezza. Ti basta essere un po’ più difficile da ingannare rispetto alla prossima attività sulla lista del truffatore.
Quali di queste nove mosse fai già, e quale imposterai questa settimana? Raccontacelo nei commenti. La tua risposta potrebbe essere la spinta di cui un altro lettore ha bisogno.
