Chi gestisce spazi e impianti in contesti sensibili ha accesso a informazioni riservate: ecco perché deve proteggerle come farebbe il cliente stesso
Negli ultimi mesi la cronaca ha raccontato diversi casi di frodi realizzate attraverso app di messaggistica istantanea, con testi apparentemente inviati da figure di vertice, seguiti da telefonate in cui la voce di un interlocutore fidato viene riprodotta con strumenti di intelligenza artificiale. Lo schema è sempre simile: un canale informale, un’identità nota alla vittima, una richiesta urgente che spinge ad agire prima di verificare. Non si tratta di episodi isolati.
Il settore della cybersecurity registra una crescita costante di questo tipo di attacchi: secondo le stime di Deloitte, le frodi generate con l’intelligenza artificiale negli Stati Uniti potrebbero arrivare a 40 miliardi di dollari entro il 2027, contro i 12,3 miliardi del 2023. Nel 2024 le aziende colpite hanno perso in media quasi 500.000 dollari per ogni incidente legato a un deepfake vocale o video, con punte fino a 680.000 dollari nelle organizzazioni più grandi.
Un caso emblematico è quello dello studio di ingegneria Arup a Hong Kong, dove una videochiamata con volti e voci clonati tramite IA ha portato a una frode da 25 milioni di dollari nel febbraio 2024. Anche in Italia il fenomeno ha già lasciato il segno: lo scorso febbraio l’allora presidente di Fideuram, la rete di private banking del gruppo Intesa Sanpaolo, è stato indotto con un messaggio WhatsApp e una voce clonata a autorizzare bonifici per circa 95 milioni di euro verso l’estero. Almeno 36 milioni risultano ancora introvabili.
A livello globale, gli attacchi di tipo “CEO fraud” colpiscono ormai almeno 400 aziende al giorno, e diversi studi indicano che la capacità umana di riconoscere un contenuto generato con l’intelligenza artificiale resta estremamente bassa. Questo scenario riguarda direttamente anche il facility management, un settore che per sua natura lavora a stretto contatto con informazioni che non gli appartengono ma che è chiamato a custodire.
Un settore esposto per definizione
Le imprese di facility management che operano in ospedali, cliniche, banche o infrastrutture critiche hanno spesso accesso a informazioni molto sensibili: planimetrie degli edifici, mappe dei sistemi di sicurezza, credenziali di accesso e badge, contratti di fornitura, turni del personale, e in ambito sanitario anche dati che intersecano cartelle cliniche, farmacie ospedaliere, aree a rischio biologico o di terapia intensiva.
A questo si aggiunge un elemento operativo che rende il settore particolarmente vulnerabile: molte decisioni quotidiane, dall’ingresso di un tecnico esterno alla conferma di coordinate per un pagamento a un fornitore, vengono gestite attraverso chat, messaggi vocali e telefonate, spesso su canali personali più che su sistemi aziendali strutturati. È esattamente il terreno su cui si muovono le tecniche di ingegneria sociale potenziate dall’intelligenza artificiale.
Basti pensare a una richiesta urgente, apparentemente inviata da un responsabile di struttura, per modificare le coordinate bancarie di un fornitore, oppure a una telefonata con voce clonata di un direttore sanitario che autorizza l’accesso di una persona non verificata a un’area critica come una sala server o un archivio dati pazienti.
Lo stesso meccanismo può essere usato per farsi passare per un cliente e ottenere informazioni su turni del personale o vulnerabilità degli impianti di sicurezza, oppure per impersonare un fornitore abituale e dirottare pagamenti verso conti alterati. In ambito ospedaliero, dove il facility management gestisce spesso anche flussi che intersecano dati regolati dal GDPR, una violazione di questo tipo non produce solo un danno economico diretto, ma può tradursi in un danno alla protezione dei dati dei pazienti, con conseguenze legali, sanzionatorie e reputazionali sia per l’impresa di FM sia per la struttura sanitaria committente.
La procedura conta più della tecnologia
La difesa più efficace contro questo tipo di attacchi non è principalmente tecnologica, ma procedurale e organizzativa. Nessuna autorizzazione di accesso, pagamento o modifica di coordinate dovrebbe basarsi su una sola comunicazione, per quanto l’interlocutore sembri familiare: va sempre effettuato un richiamo su un numero già noto e verificato in anticipo, mai su quello indicato nella comunicazione sospetta.
È altrettanto importante definire in anticipo un protocollo scritto per le richieste urgenti, proprio perché l’urgenza è lo strumento di pressione psicologica più usato in questo tipo di truffe: costringere chi riceve la richiesta a fermarsi e seguire una procedura, invece di agire d’impulso, è spesso sufficiente a disinnescare il tentativo di frode.
La formazione, poi, non può restare confinata all’IT e all’amministrazione: deve coinvolgere anche i responsabili di commessa, i coordinatori operativi e chiunque gestisca l’interfaccia quotidiana con ospedali, banche o infrastrutture critiche, perché sono loro il vero punto di contatto su cui questi attacchi fanno leva.
Una custodia che va oltre gli impianti
Il facility management che opera in contesti sensibili non è solo un fornitore di servizi tecnici, ma di fatto un custode di informazioni che il cliente, sia esso un ospedale, una banca o un ente pubblico, non può permettersi di vedere compromesse. Per questo motivo diventa essenziale limitare l’accesso a planimetrie, credenziali e dati dei clienti al minimo necessario per ciascun ruolo, affidare le decisioni critiche a canali aziendali tracciabili invece che a strumenti di messaggistica personale, e definire con il cliente clausole contrattuali chiare su protocolli di comunicazione e responsabilità in caso di violazione dei dati, un aspetto particolarmente rilevante nei contratti con strutture sanitarie.
Le tecniche di frode più recenti dimostrano che l’anello debole non è quasi mai il sistema informatico, ma il momento in cui una persona, sotto pressione e convinta di parlare con qualcuno di fidato, prende una decisione senza verificare. Per il settore, investire in procedure di verifica, formazione e protocolli chiari non è più un’opzione accessoria, ma una componente strutturale della qualità del servizio offerto ai clienti più esposti.
