Tempo di lettura: 3 minuti

Che cosa è successo

 Arup è una società britannica globale di ingegneria, progettazione e consulenza tecnica, fondata nel 1946 e attiva a livello internazionale nel settore dell'ambiente costruito e delle infrastrutture. È nota, tra l'altro, per il proprio contributo a opere come la Sydney Opera House. 

Il fatto avvenne a metà gennaio 2024. Un dipendente del dipartimento finanziario della sede di Hong Kong ricevette un messaggio di phishing che sembrava provenire dal CFO, Chief Financial Officer, di Arup nel Regno Unito; il messaggio riguardava una transazione riservata. Il dipendente inizialmente nutrì dei dubbi sulla sua autenticità, ma venne poi coinvolto in una videoconferenza nella quale vide quello che riteneva essere il CFO insieme ad altri colleghi; volti e voci apparivano autentici e questo finì per convincerlo. 

A seguito di questa videoconferenza, nell'arco di circa una settimana vennero effettuati 15 trasferimenti verso cinque conti bancari di Hong Kong, per complessivi HK$200 milioni, all'epoca circa 25,6 milioni di dollari USA.

Interessante evidenziare che, secondo la ricostruzione ufficiale della polizia di Hong Kong, i criminali avevano utilizzato filmati e voci disponibili pubblicamente online per costruire una videoconferenza preregistrata. 

 La truffa venne denunciata alla polizia alla fine di gennaio. La polizia rese pubblico il caso il 4 febbraio 2024, senza indicare inizialmente la società coinvolta; solo il 17 maggio 2024 Arup confermò pubblicamente di essere la vittima. 

 L'elemento decisivo per questa truffa informatica non fu la e-mail di phishing iniziale, ma la falsa «conferma» audiovisiva. 

. 

Quali sono state le conseguenze

 Nei bilanci ufficiali di Ove Arup & Partners Hong Kong Limited, l'episodio venne contabilizzato come una perdita straordinaria di £24,292 milioni. La società di Hong Kong chiuse l'esercizio al 31 marzo 2024 con una perdita di £13,117 milioni, rispetto a un utile di £414 mila l'anno precedente; il documento specifica che il risultato fu pesantemente influenzato proprio dalla frode. 

Arup dichiarò che la stabilità finanziaria e le attività operative del gruppo non erano state compromesse e che nessun sistema informativo interno era stato violato.

 Alla data di pubblicazione di questo OAD Insight, non risultano pubblicamente comunicati recuperi significativi delle somme sottratte.

Un importante aspetto del caso Arup è che la frode non ha comportato la compromissione dei sistemi informativi dell'azienda, ma ha sfruttato il fattore umano e il processo autorizzativo. Il caso evidenzia quindi l'importanza di controlli organizzativi quali la segregation of duties, la doppia autorizzazione, soglie autorizzative, verifiche attraverso canali indipendenti e controlli sulle operazioni anomale.

I principali insegnamenti

•  Il deepfake può falsificare una persona. Un buon processo deve impedirgli di falsificare un'autorizzazione.
• La sicurezza deve continuare a funzionare anche nell'ipotesi che il deepfake sia indistinguibile dall'originale.
• Per somme rilevanti dovrebbero esistere controlli indipendenti dal canale attraverso il quale arriva l'ordine.
• Più in dettaglio, queste dovrebbero essere le principali procedure organizzative da seguire per pagamenti rilevanti:
  • Segregation of duties / four-eyes principle: chi dispone il pagamento non può essere l'unico soggetto che lo autorizza.
  • Autorizzazioni crescenti per soglia: 20.000 euro, 200.000 euro e 20 milioni non possono seguire lo stesso workflow autorizzativo.
  • Out-of-band verification: una richiesta anomala o rilevante deve essere verificata tramite un secondo canale indipendente, ad esempio richiamando il CFO attraverso un numero aziendale già noto o presente nella directory ufficiale, e non attraverso recapiti forniti nella richiesta.
  • Nessuna deroga causata da urgenza, confidenzialità o seniority: «è urgente», «è riservato», «lo vuole il CEO» devono aumentare i controlli, non diminuirli.
  • Controllo sulla transazione, non soltanto sull'identità: nel caso Arup, nuovo beneficiario, cinque conti diversi, importi elevati, operazione fuori dall'ordinario sono elementi che  avrebbero dovuto generare verifiche ulteriori. 

Il caso Arup pone quindi una domanda che ogni organizzazione dovrebbe farsi: se domani il CEO o il CFO chiedesse, apparentemente di persona e in videoconferenza, di effettuare con urgenza un pagamento rilevante, quali controlli indipendenti dalla sua voce e dal suo volto impedirebbero che il denaro venga trasferito?

Nell'era dei deepfake, l'identità percepita non può più coincidere con l'identità verificata. E la sicurezza di un processo critico non può dipendere soltanto dalla capacità di una persona di distinguere il vero dal falso.