L'intelligenza artificiale ha cambiato le regole delle frodi: è ora di ripensare l'identità digitale
AI has reduced the cost of executing fraud attacks against knowledge-based authentication — passwords, PIN codes, SMS OTPs — to near zero. Voice cloning, real-time phishing relay kits, and deepfake document generation are now production-grade tools available to any attacker. The only authentication controls with structural resilience against AI-enabled attacks are possession-based: something the user physically holds, verified at the device or network layer, with no credential that can be stolen, replicated, or socially engineered.
La portata e la sofisticazione di questi attacchi stanno crescendo ben oltre le capacità delle difese tradizionali o dell'intuito umano. Ecco perché le organizzazioni stanno iniziando a rivolgersi a forme di sicurezza più forti, basate sul possesso, che eliminano l'uomo dall'equazione delle frodi.
L'intelligenza artificiale sta distruggendo i modelli tradizionali di frode e identità
Con l'ascesa delle frodi basate sull'intelligenza artificiale, i modelli tradizionali di difesa dell'identità e delle frodi online non funzionano più. L'intelligenza artificiale cambia completamente il gioco, introducendo nuove vulnerabilità e superfici di attacco:
- Bypassa l'autenticazione legacyn - KYC, Fattori di conoscenza, Voce, Video
- Moltiplica il volume di attacco - Chiunque può ora utilizzare strumenti di intelligenza artificiale per diventare un hacker
- Porta un nuovo rischio di frode agenziale - Come possiamo fidarci degli agenti di intelligenza artificiale?
Questo post illustra come la nuova tecnologia del fattore di possesso mobile possa risolvere tutti questi problemi e diventare un elemento chiave della sicurezza moderna, fondamentale per proteggere dagli attacchi attuali e futuri guidati dall'intelligenza artificiale.
Il mobile come superficie di attacco primaria
Già oggi, oltre L'80% degli attacchi di phishing ora ha come obiettivo i dispositivi mobili.
Il mondo sta diventando mobile e il cellulare sta diventando il computer principale (già oltre 60% del traffico Internet proviene da dispositivi mobili). Più che un computer, il cellulare sta diventando la vostra identità. Usiamo già il cellulare per pagare al posto della carta di credito; non chiamiamo più il centralino di un'azienda o un numero di casa, ma la persona in questione. I nostri biglietti di viaggio sono nel nostro portafoglio mobile. Presto ci saranno anche le nostre patenti di guida e altri documenti di identità. E quando inizieremo ad adottare il commercio basato sugli agenti, molti di essi e le transazioni saranno eseguite sul nostro telefono.
Questi cambiamenti rendono sempre più indispensabile la completa fiducia nel dispositivo mobile e l'esistenza di una catena di fiducia tra il proprietario, il suo account online e il dispositivo in mano.
In questo nuovo mondo dell'intelligenza artificiale, i tradizionali modelli di identità online che utilizzano e-mail, password, codici PIN SMS per verificare il numero di cellulare e la proprietà del dispositivo non sono più adatti allo scopo. È urgente un nuovo approccio.
Soluzione 1 - La conoscenza e la biometria sono compromesse - passare alla sicurezza del fattore possesso
Le password possono essere indovinate, rubate o falsificate. I documenti possono essere falsificati e persino i dati biometrici possono essere falsificati. Le domande basate sulla conoscenza sono facilmente aggirate quando i criminali possono raccogliere i dettagli personali dai dati violati o dai social media.
Il triangolo magico dei fattori si basa su:
- Conoscenza – passwords, PIN codes, passkeys*
- Biometria - volto, voce, impronta digitale
- Possesso – physical documents, mobile device, SIM card, security dongle
*Mainstream passkeys (Google, Apple, Microsoft) sync via the cloud and are not tied to a specific device — making them closer to a knowledge factor in practice. See the FAQ below.
L'intelligenza artificiale ha ormai compromesso i fattori di conoscenza, i fattori biometrici e i documenti fisici.
Ciò che rimane sono i fattori di possesso digitali sicuri: l'unico fattore con una reale resilienza contro gli attacchi dell'IA è il fattore di possesso digitale crittografato, qualcosa che l'utente detiene fisicamente, come il suo telefono cellulare.
Soluzione 2 - Eliminare il rischio di "human-in-the-loop".
Ora che l'intelligenza artificiale mette a disposizione strumenti potenti e facili da usare, chiunque può essere un hacker, il che significa molti più attacchi. Di fronte a questa situazione, è fondamentale proteggersi dalle vulnerabilità più grandi e più facilmente attaccabili: le persone. Siamo noi l'anello debole!
La maggior parte delle difese attuali si basa sulla parte umana del modello di sicurezza: dobbiamo fare la cosa giusta per assicurarci che la frode non si verifichi - individuare l'e-mail sospetta, digitare il codice SMS, verificare la voce del chiamante, non condividere il codice PIN o cliccare sul link sbagliato. Ma gli esseri umani sono fallibili e quando i contenuti generati dall'intelligenza artificiale sembrano reali, anche gli utenti più accorti possono essere ingannati. Affidarsi agli utenti per individuare le frodi non è più possibile. Dobbiamo eliminare l'uomo dalla catena della sicurezza.
La difesa più forte contro le frodi guidate dall'intelligenza artificiale consiste nell'autenticare gli utenti in base a qualcosa che possiedono fisicamente e che non possono inconsapevolmente cedere. È qui che incorporato sicurezza mobile a fattore di possesso arriva.
È ora disponibile una nuova tecnologia che consente di verificare in modo sicuro e silenzioso la carta SIM nel dispositivo mobile. Questa verifica avviene direttamente con la rete mobile attraverso una connessione sicura e crittografata, in tempo reale. L'utente non è coinvolto. Fornisce una prova di possesso solida e resistente al phishing.
- Universale: Tutti hanno un telefono cellulare. In ogni telefono è incorporato qualcosa di crittograficamente sicuro: la carta SIM.
- Invisibile: Gli utenti non devono fare nulla, eliminando il rischio di phishing o di errori.
- Deterministico: Una verifica Sì/No in tempo reale, direttamente dalla rete mobile. Nessuna congettura.
Ancorando l'autenticazione a un fattore di possesso che l'intelligenza artificiale non può falsificare, le aziende possono eliminare il rischio di "human-in-the-loop" e bloccare le frodi prima che si verifichino.
Soluzione 3 - Estendere una catena di fiducia sicura per includere gli agenti mobili e i dispositivi di sicurezza.
Il commercio agenziale viene creato e distribuito a un ritmo semplicemente incredibile. Visa, MasterCard, Stripe, OpenAI e altri hanno lanciato soluzioni di commercio agenziale. Se da un lato le prospettive sono molto entusiasmanti, dall'altro questo comporta un'ondata di nuovi rischi.
Il commercio agenziale - in cui gli agenti di intelligenza artificiale prendono acquisti o decisioni finanziarie per conto degli utenti - introduce nuovi rischi di frode perché diventa più difficile dimostrare chi c'è veramente dietro ogni transazione. Senza forti legami di identità, attori malintenzionati o sistemi di frode guidati dall'IA possono impersonare gli utenti, dirottare le sessioni degli agenti o iniettare identità false nella rete. Stabilendo una catena di fiducia sicura che collega l'identità digitale verificata dell'utente alla sua carta SIM fisica e al suo dispositivo mobile, e infine all'app Agente, ogni azione può essere legata in modo crittografico a un individuo reale e autorizzato, riducendo in modo significativo il rischio di impersonificazione, acquisizione di account e frodi di identità sintetica.
La sicurezza del fattore di possesso mobile è una base fondamentale per la fiducia in questo nuovo mondo guidato dall'intelligenza artificiale.
Il passaggio da una sicurezza basata sulla conoscenza a una sicurezza basata sul possesso non è solo un aggiornamento tecnico, ma una necessità strategica nell'era delle frodi AI. Le banche, i fornitori di servizi di pagamento, le piattaforme di e-commerce e tutte le grandi imprese devono aggiornare e modernizzare i loro modelli di autenticazione ora, per essere preparati all'inevitabile attacco dell'intelligenza artificiale che sicuramente arriverà, e prima di quanto si pensi.
La sicurezza mobile a fattore di possesso offre una via d'uscita: una protezione più forte, un'esperienza utente senza soluzione di continuità e una prevenzione delle frodi che cresce con la stessa velocità delle minacce.
Per saperne di più su come IDlayr aiuta le aziende a combattere le frodi AI.
AI has made phishing, voice scams, and identity fraud faster, cheaper, and more convincing. Phishing volumes increased 400% in early 2025 (Gen Digital Q1 Threat Report). Over half of fraud cases now involve some form of AI (Feedzai). Voice cloning takes 30 seconds of audio. Deepfakes can bypass live-selfie KYC. The marginal cost of a sophisticated attack has fallen to near zero.
SMS OTP relies on a human correctly identifying a legitimate authentication request and entering the code only on the real site. AI can now deliver pitch-perfect fake callers, in any language, 24 hours a day, to socially engineer victims into providing the OTP code. AI-powered phishing relay attacks automate the interception in real time — the attacker’s server forwards credentials to the real site, the OTP is sent, the user enters it on the fake site, and the attacker forwards it before it expires. The entire flow takes under 90 seconds.
Phishing-resistant authentication is any mechanism that does not rely on the user transmitting a secret. SNA is phishing-resistant because there is no code for the user to read or enter — the check happens server-side, between the enterprise and the mobile network operator.
Possession-based authentication requires physical access to a specific device or SIM card. AI can replicate knowledge (passwords, OTPs, security questions) and biometrics (faces, voices, documents) at scale. It cannot physically possess someone’s SIM card or device. That structural distinction is what makes possession-based controls resilient as knowledge-based controls degrade.
Knowledge-based authentication (passwords, PINs, OTPs, security questions) relies on information the user knows — information that can be stolen, guessed, phished, or replicated. Possession-based authentication relies on something the user physically holds: a specific SIM card or device. AI can break knowledge factors at scale. It cannot replicate physical possession.
The most effective response is to remove human-mediated steps from authentication and replace them with possession-based controls. Silent Network Authentication verifies mobile identity at the network layer without any user action — there is nothing for an AI-powered attack to phish or intercept.
A SIM-based possession factor uses the cryptographic relationship between a SIM card and a mobile network to verify a user’s identity. The SIM is physically present in the user’s device and cryptographically bound to the mobile network — a binding running silently for 5 billion users since the 1990s. Silent Network Authentication exposes this as an API.
SNA makes no request of the user. There is no credential to phish, no code to intercept, no voice to clone, no document to fake. The check is a silent API call between the business and the mobile network operator. An AI-powered attack has no surface to operate against because there is no human-mediated step to exploit.
Passkeys replace passwords (a knowledge factor at the app layer). SNA verifies the physical SIM card in your device directly with the mobile network — a true, carrier-verified possession factor. They are not competing technologies; they protect different stages of the user lifecycle.
Mainstream passkeys — as deployed by Google, Apple, and Microsoft — sync across your devices via the cloud, which means they are not tied to any specific physical device. That makes them closer to a very long, very strong password stored in a password manager: a knowledge factor, not a true possession factor. A device-bound passkey (stored only on one piece of hardware and never backed up) is a genuine possession factor — but that is not how most consumer passkeys work today.
No. Passkeys replace passwords; SNA replaces SMS OTP. They operate at different stages of the user journey and neither does the other’s job.
Three specific problems arise in any passkey deployment — and SNA resolves each one. First, initial device trust: SNA verifies the SIM belongs to the legitimate user before the passkey is issued, blocking attackers from registering fraudulent passkeys. Second, SCA compliance for banks: synced passkeys cannot prove the user held a specific device at authentication time, creating a PSD2 possession-factor ambiguity that SNA’s carrier-level verification resolves. Third, secure recovery: when a user loses their device, SNA re-establishes trust on the new device without an SMS OTP fallback.
English 
Spanish 
Italian