Come un candidato falso viene assunto, non solo come ti froda
La maggior parte degli imprenditori oggi si prepara al deepfake che attacca dall'esterno: la voce clonata di un direttore finanziario che approva un bonifico, la videochiamata che si rivela sintetica. Lo schema descritto negli avvisi di giugno 2026 di studi come Skadden e Crowell va nella direzione opposta. Qui il deepfake non telefona per commettere una frode. Si candida per un lavoro. Supera il colloquio video dal vivo, presenta un portfolio generato dall'IA e una storia lavorativa che sembra pulita, ed esibisce un'identità rubata o presa in prestito che supera un controllo dei precedenti standard. Poi viene assunto in un ruolo da remoto nell'ingegneria o nell'IT, e nessuno nella tua azienda ha mai incontrato la persona dietro lo schermo.
I resoconti descrivono operativi legati a Stati stranieri che usano questi metodi su larga scala. Una volta dentro, il lavoratore percepisce uno stipendio, ottiene un accesso legittimo al codice e ai dati dei clienti e, in casi documentati di applicazione della legge, dirotta i salari all'estero, a volte mentre un facilitatore nazionale custodisce il portatile aziendale in una cosiddetta laptop farm per nascondere la vera posizione. I procuratori hanno citato ben oltre un centinaio di aziende vittime in diversi settori. Il punto scomodo per un imprenditore è che la frode non è un singolo bonifico rubato che puoi recuperare. È una persona nel tuo libro paga con un badge, una login e del tempo a disposizione.
Perché l'esposizione ricade su di te, l'azienda che li ha assunti
L'istinto porta a pensare che un'azienda ingannata da un'operazione professionale sia semplicemente una vittima, e in una certa misura gli avvisi descrivono così le aziende che assumono. La realtà più dura è che il rischio a valle ricade comunque sul datore di lavoro. Se un operativo sottrae codice sorgente, dati dei clienti o segreti commerciali, sei tu a farti carico degli obblighi di notifica e di violazione dei dati. Se ha toccato tecnologia controllata, sei tu a farti carico della questione del controllo delle esportazioni. E dove è coinvolta una giurisdizione sanzionata, la responsabilità per le sanzioni può scattare su base di responsabilità oggettiva, il che significa che l'esposizione può sussistere anche quando l'azienda non sapeva chi stesse davvero pagando. Gli avvisi non descrivono alcuna esenzione esplicita che assolva un'assunzione involontaria.
Niente di tutto questo è una previsione sulla tua azienda, e nulla qui costituisce consulenza legale o un'accusa nei confronti di alcun individuo. È la descrizione di uno schema che le autorità di vigilanza e gli studi legali stanno ora segnalando, e di dove ricadono le conseguenze. Finora l'applicazione della legge ha in gran parte trattato le aziende che assumono come vittime piuttosto che come bersagli, ma le stesse linee guida indicano che un'azienda con deboli controlli di assunzione e monitoraggio si trova in una posizione molto diversa rispetto a una che può dimostrare di aver verificato. Per un'azienda remote-first che assume ingegneri a cui non stringerai mai la mano, quella distinzione è tutto il gioco.
Cosa dovrebbero davvero verificare gli imprenditori che assumono ingegneri da remoto
Le difese non sono esotiche e non sono costose rispetto all'esposizione. Verifica correttamente la liveness invece di dare per scontato che una telecamera funzionante significhi una persona reale: un passaggio di persona dove è fattibile, oppure tecniche di colloquio abbastanza robuste da mettere alla prova un feed sintetico, come chiedere al candidato di muoversi, di mostrare un oggetto o di cambiare la scena su richiesta. Verifica credenziali e referenze in modo indipendente, contattando istituzioni ed ex datori di lavoro attraverso canali che trovi tu stesso, e non i numeri di telefono e le email forniti dal candidato. Tratta i documenti d'identità come qualcosa da confermare rispetto alla persona, non solo da raccogliere.
Due controlli operativi svolgono molto lavoro silenzioso. Spedisci l'hardware aziendale solo all'indirizzo verificato sul documento d'identità, mai a un indirizzo di inoltro o a un punto di ritiro, il che neutralizza direttamente il meccanismo della laptop farm. E richiedi un'autenticazione a più fattori basata su hardware e legata al dispositivo consegnato, così che una login da un Paese inatteso non passi semplicemente liscia. Fai attenzione ai segnali che ricorrono nei resoconti: geografie di login incoerenti, riluttanza a mostrarsi in video in condizioni che cambiano e pressioni per dirottare stipendio o attrezzature verso un luogo diverso dall'identità verificata. Poni alle Risorse Umane e all'IT, insieme, una sola domanda sulle tue ultime assunzioni da remoto: potremmo dimostrare, oggi, che ciascuna di quelle persone è chi ha detto di essere.
Da leggere ora: La tua difesa informatica è pronta per attacchi alla velocità della macchina? | Un singolo file mal configurato è il vostro maggior rischio IA?
