Voci clonate dai vocali WhatsApp, mail impeccabili, false fatture con l’IBAN cambiato: gli attacchi che colpiscono i grandi gruppi italiani arrivano identici nelle caselle sammarinesi. Ma qui nessuno se li aspetta — ed è proprio questo il problema.

C’è una frase che a San Marino funziona come un antifurto immaginario, e che ripetiamo davanti a ogni notizia di attacco informatico: “Eh, ma tanto a noi chi vuoi che ci pensi.” Siamo piccoli, siamo trentatremila — chi vuoi che perda tempo con una carrozzeria di Serravalle, uno studio di Borgo, un negozio di Città? La risposta, purtroppo, è arrivata: nessuno perde tempo con noi, perché il tempo non serve più. Le truffe oggi le genera un software, a diecimila alla volta, in italiano perfetto e con la voce di chi conosciamo. E per quel software San Marino non è piccolo: è solo una riga in un elenco, come Milano, come Francoforte. Con una differenza a nostro sfavore — qui ci fidiamo di più, e ci difendiamo di meno.

È una frase rassicurante, la nostra. Ha un solo difetto: descrive un mondo che non esiste più da qualche anno.

Il mondo in cui quella frase era vera funzionava così: il truffatore era una persona, il suo tempo era limitato, e quindi sceglieva i bersagli. Puntava dove c’erano più soldi, perché ogni tentativo gli costava fatica. In quel mondo, essere piccoli era davvero una difesa: semplicemente, non valevi lo sforzo.

Nel mondo attuale, chi attacca non sceglie più. Fa scegliere a un software. L’intelligenza artificiale ha fatto per le truffe quello che la catena di montaggio ha fatto per le automobili: le ha rese un prodotto di massa. Un solo operatore può generare diecimila mail perfette, in italiano impeccabile, ciascuna adattata al destinatario — nome giusto, azienda giusta, tono giusto. Può clonare una voce partendo da un vocale WhatsApp o dal video di un convegno. Può mandare la finta fattura del fornitore vero, con l’IBAN cambiato, nel giorno del mese in cui quella fattura arriva davvero.

E quando il tentativo costa zero, la domanda “chi vale la pena attaccare?” scompare. Resta solo: “chi è raggiungibile?”

Noi siamo raggiungibili. Anzi.

Perché c’è una seconda cosa che la frase “tanto a noi chi vuoi che ci pensi” si perde per strada, ed è la più scomoda: San Marino non è un bersaglio qualunque. È un bersaglio migliore della media.

Le truffe moderne non forzano le serrature: si presentano alla porta vestite da qualcuno di cui ti fidi. Il fornitore storico. Il commercialista. Il direttore di banca. Il titolare che scrive su WhatsApp. E in una Repubblica dove tutti conoscono tutti, dove gli affari si chiudono con una stretta di mano e le cose si sistemano con una telefonata, la fiducia è ovunque. È la nostra ricchezza sociale — e per chi attacca è la superficie d’attacco perfetta. Nella grande città anonima, una richiesta insolita insospettisce. Qui, se arriva a nome di qualcuno che conosciamo, abbassa le difese prima ancora di essere letta.

Piccoli e fiduciosi. Per un algoritmo che impersona le persone, non esiste combinazione più comoda.

Chi scrive lo vede da entrambi i lati del confine. Come Strategic ci occupiamo di sicurezza informatica per aziende sammarinesi di ogni dimensione, e quando non siamo sul Titano siamo spesso a Torino, in consulenza per uno dei principali gruppi IT italiani — migliaia di dipendenti, reparti di sicurezza strutturati, gente che fa solo quello. Ed ecco il dato che dovrebbe seppellire per sempre la nostra frase preferita: gli attacchi che intercettiamo lì e quelli che arrivano nelle caselle di posta sammarinesi sono gli stessi. Identici. Stesse tecniche, stesse mail, stesse telefonate. Il software che li genera non sa cos’è San Marino e non gli interessa: per lui siamo righe di un elenco, come Milano, come Francoforte.

La differenza non è nell’attacco. È nella difesa: il grande gruppo ha persone che ogni giorno fermano quello che a noi, se va bene, viene fermato da un antivirus comprato nel 2019 e da una buona dose di fortuna.

La buona notizia è che la difesa che conta di più non si compra: si impara. Tre abitudini, gratis.

La prima: verificare su un canale diverso da quello da cui arriva la richiesta. Mail del fornitore con un IBAN nuovo? Lo si chiama al numero che era già in rubrica — non a quello scritto nella mail. Vocale del titolare che chiede un bonifico urgente? Lo si richiama. Trenta secondi di imbarazzo valgono più di qualsiasi software.

La seconda: una regola aziendale semplice e non negoziabile — nessun pagamento richiesto via mail o messaggio parte mai senza una verifica a voce. Da sola, ferma la maggioranza delle frodi.

La terza: smettere di considerare il tema una cosa da tecnici. La difesa digitale nel 2026 è come il codice della strada: riguarda tutti quelli che circolano. Va imparata e allenata — ed è una convinzione su cui torneremo presto con qualcosa di concreto, pensato proprio per chi vive e lavora in Repubblica.

Chiudiamo con un test. Se stasera vi arrivasse un vocale con la voce di vostro figlio che chiede di ricaricare urgentemente una carta, cosa fareste?

Se la risposta è “lo richiamerei”, siete già più avanti di metà del Paese.

Se la risposta è “ma era la sua voce”… rileggete il titolo di questo articolo.

Ecco: quella frase, da oggi, proviamo a pensionarla.

Ufficio Stampa Strategic.sm