La frode con l’intelligenza artificiale ha trovato un bersaglio preferito: chi organizza eventi, perché muove denaro in fretta, verso molti fornitori e quasi sempre sotto pressione. Tre schemi si ripetono: il cliente falso che commissiona un evento con documenti impeccabili, l’e-mail che cambia le coordinate bancarie a produzione avviata e l’invito che in realtà è una richiesta di autorizzazioni sul tuo account. La difesa è un metodo, non uno strumento: nessuna istruzione di pagamento si accetta su un solo canale, nessun anticipo parte prima che il denaro del cliente sia davvero incassato e ogni evento ha un unico luogo ufficiale dove si pubblicano i suoi dati. Se lavori con un partner in un altro paese, questa verifica deve valere in entrambe le direzioni.
Cosa si è detto a New York, e perché riguarda tutti
La frode ha occupato un’intera sessione dello Skift Meetings Forum, che si è tenuto il 22 settembre a New York. Secondo il resoconto di Skift Meetings, Nelson Lawson, socio di Information Secured, ha spiegato che il settore degli eventi è particolarmente esposto perché vive di urgenze, e ha dato due numeri: solo l’1% dei casi di criminalità informatica arriva a una condanna, e la cifra media sottratta a una piccola o media impresa si aggira sui 250.000 dollari. La sua regola: dare per scontato che tutto sia una frode finché non è verificato.
Due settimane prima, la stessa testata aveva analizzato un’allerta dell’FBI su criminali che si spacciavano per professionisti degli eventi e inviavano link camuffati da inviti. Il trucco non ruba la password: porta la vittima ad autorizzare un’applicazione sul proprio account, il che, secondo l’FBI, può aggirare password e autenticazione a due fattori e restare attivo anche dopo il cambio della password.
Il quadro generale conta. Un’analisi di dati dell’FBI pubblicata da Insurance Business stima le perdite per compromissione della posta aziendale (l’e-mail che si finge un fornitore o un dirigente) in poco più di 3 miliardi di dollari nel 2025, con 24.768 casi segnalati solo negli Stati Uniti.
Niente di tutto questo resta oltreoceano. Ogni evento internazionale mette insieme gli stessi ingredienti: acconti ai fornitori, pagamenti tra valute diverse, un cliente e un partner che non si sono mai visti di persona e squadre che lavorano dal telefono.
I tre schemi già in circolazione
Il cliente falso con documenti credibili. L’esempio più chiaro è stato raccontato da Skift Meetings a febbraio: un produttore di Las Vegas ha lavorato tre mesi a un presunto lancio di uffici per l’American Coatings Association. Ha ricevuto un capitolato firmato, fatture e un acconto di 20.000 dollari che sembrava accreditato; fidandosi, ha anticipato 20.280 dollari ai fornitori. Un secondo pagamento di 28.000 dollari è stato stornato una settimana dopo. Il dominio del “cliente” era stato registrato in malafede, la persona non esisteva e l’associazione ha confermato che almeno una mezza dozzina di agenzie aveva ricevuto lo stesso contatto. Il produttore ha perso oltre 75 ore di lavoro.
Il cambio di IBAN a produzione avviata. Un’e-mail con il logo, la firma e il tono di sempre annuncia che il fornitore “ha cambiato banca” e indica nuove coordinate. Con l’IA, quell’e-mail non contiene più errori. Come ha detto Mike Bushman di RainFocus nell’articolo sull’FBI, il vecchio consiglio di cercare refusi e frasi goffe è molto meno affidabile oggi.
L’invito che chiede autorizzazioni. Un link per “confermare la presenza” o “vedere il programma” apre una schermata che chiede di autorizzare un’applicazione sulla tua posta o sui tuoi file. Il consiglio raccolto da Skift è semplice: se dopo aver cliccato il link di un evento compare una schermata di autorizzazioni, chiudi la finestra. Una registrazione legittima raramente ha bisogno di un accesso ampio a e-mail, file o contatti.
Come verificare prima che il denaro parta
Quello che si è ripetuto a New York sta in una routine adatta a qualsiasi produzione:
- Confermare ogni istruzione di pagamento su un secondo canale. Una telefonata a un numero che avevi già, mai a quello indicato nella stessa e-mail. Lawson l’ha esteso alle videochiamate: ci sono già perdite causate da deepfake di dirigenti in diretta, e la difesa è la stessa.
- Non anticipare denaro del cliente prima che sia davvero incassato. Nel caso di Las Vegas, l’errore costoso è stato pagare i fornitori con un acconto poi stornato. Prima di qualsiasi uscita, verifica con la banca che l’incasso sia definitivo.
- Leggere il dominio, non il nome. Un’e-mail “del brand” da un dominio con una lettera cambiata è la porta d’ingresso della maggior parte di questi schemi.
- Andare piano con i clienti nuovi. Nirjary Desai, produttrice presente allo stesso panel, chiede oggi ai clienti alla prima collaborazione di versare i fondi su un conto vincolato del suo avvocato, con 30 giorni di attesa prima dello sblocco. Dopo essere caduta in una truffa, ha recuperato 20.000 dollari in 60 giorni perché aveva documentato ogni comunicazione e lavorato con l’ufficio antifrode della sua banca.
- Avere un’unica fonte ufficiale dell’evento. Una pagina con domini, fornitori e canali che verranno usati, così partecipanti e fornitori hanno un riferimento con cui confrontare.
Desai ha aggiunto un avvertimento per chi produce lanci di marca: i truffatori scelgono chi colpire guardando i social, e più un evento appare sfarzoso, più diventa attraente l’azienda che lo organizza.
Anche i partecipanti sono un bersaglio
Il rischio non finisce in amministrazione. Le raccomandazioni legate all’allerta dell’FBI includono misure per il giorno dell’evento: decidere in anticipo chi può avvisare i partecipanti, e su quali canali, se circola un messaggio falso, e aggiungere una breve indicazione di sicurezza nell’e-mail di conferma dell’iscrizione. Se il tuo evento gestisce dati degli iscritti, il tema si collega a quanto abbiamo scritto su dati e privacy dei partecipanti.
Cambia anche cosa chiedere ai fornitori di registrazione, app e accrediti. Skift suggerisce due domande concrete: quali autorizzazioni chiedono sugli account e in quanto tempo ti avviserebbero di una violazione. Una risposta vaga è già un segnale.
Un partner in Argentina o in America Latina: la verifica vale in entrambe le direzioni
Quando un’agenzia di Milano o di Roma affida una produzione a un partner a Buenos Aires, entrambe le parti fanno esattamente ciò che i truffatori imitano: trattare con qualcuno mai incontrato, firmare a distanza e trasferire denaro tra valute. Per questo la verifica deve essere reciproca e messa per iscritto dal primo giorno.
Dal lato di chi affida il lavoro valgono i filtri di sempre, senza scorciatoie: casi con nomi verificabili, contratto formale, fattura legale del paese del partner e pagamenti scaglionati per tappe. Lo spieghiamo in come verificare la capacità operativa di un fornitore in America Latina. Dal lato del partner, la buona pratica è speculare: sapere chi paga, da quale conto e con quali dati fiscali prima di impegnare un fornitore. In Argentina, per esempio, fatturiamo i clienti internazionali in USD con fattura di esportazione, il che lascia a entrambe le parti una traccia scritta fin dall’inizio.
La distanza non è il problema: si può gestire un’intera operazione da un altro paese, come abbiamo fatto con il controllo accessi della FILGUA in Guatemala, monitorato da Buenos Aires. Il problema è operare a distanza senza un metodo di verifica. Se stai preparando un evento in Argentina o in un altro paese della regione e cerchi un partner locale con contratto, fatturazione export e processi chiari, scopri come funziona un partner operativo in Argentina e le nostre partnership strategiche.