Nel febbraio 2026 l’allora presidente di Fideuram, la private bank del gruppo Intesa Sanpaolo (ISP), ha autorizzato 11 bonifici per oltre 95 milioni di euro dopo aver ricevuto un finto messaggio WhatsApp di Carlo Messina e una telefonata con la voce clonata dall’intelligenza artificiale di un noto avvocato d’affari. È la più grande CEO fraud mai emersa in Italia, ed è emersa dalla stampa solo a settembre, sette mesi dopo i fatti. Gran parte del denaro è stata recuperata, ma secondo il decreto di sequestro della procura di Milano mancano ancora 39,5 milioni. Il caso Fideuram non è isolato: nello stesso anno la procura ha aperto altri due fascicoli su banche truffate per circa 26 milioni, e nel 2025 la voce falsa del ministro Crosetto era già servita a colpire i grandi imprenditori.
Per capire come difendersi dalle truffe finanziarie, anche quelle rivolte ai risparmiatori, restano di riferimento le 100 FAQ su truffe, trading, criptovalute e recupero fondi e la lista nera dei broker truffa.
Sommario
- Cosa è successo a Fideuram
- La cronologia della truffa, passo per passo
- Dove sono finiti i 95 milioni
- Non solo Fideuram: le truffe ai super manager in Italia
- Il copione che si ripete in ogni caso
- Perché le banche italiane non vogliono parlarne
- Cosa non bisogna fare
- Cosa insegna il caso Fideuram
- Domande frequenti
Cosa è successo a Fideuram
Fideuram è stata vittima di una truffa del tipo “CEO fraud”: qualcuno si è finto l’amministratore delegato della capogruppo per ottenere bonifici urgenti e riservati. La differenza rispetto alle truffe del passato è che, oltre al messaggio scritto, è arrivata una telefonata con una voce artificiale, costruita a partire da registrazioni pubbliche.
La vicenda è diventata pubblica il 25 settembre 2026, con le ricostruzioni del Corriere della Sera, dell’agenzia Reuters e delle principali testate. I fatti risalgono però a sette mesi prima. Il presidente di allora, Paolo Molesini, si è dimesso a marzo per ragioni personali non precisate.
Un punto va chiarito subito. Secondo tutte le ricostruzioni, Molesini non è indagato: è stato ascoltato dagli inquirenti come testimone ed è la persona ingannata. Allo stesso modo Carlo Messina e l’avvocato Paolo Nastasi, managing partner di A&O Shearman Italia, non hanno alcun ruolo nella truffa: i loro nomi e la voce di Nastasi sono stati usati dai truffatori.
Per il gruppo l’impatto economico è limitato. Fideuram gestisce circa 452 miliardi di euro di patrimonio: i 95 milioni trasferiti valgono lo 0,02% di quella cifra. Al netto dei recuperi, la perdita pesa per circa lo 0,4% dell’utile annuo del gruppo, come spiegato anche nell’analisi completa delle azioni Intesa Sanpaolo. Il danno vero è un altro: dimostra che anche la catena di comando di una grande banca può essere aggirata con pochi messaggi e una voce falsa.
La cronologia della truffa, passo per passo
Tutto si è svolto in poche ore, con un copione preparato nei dettagli. La sequenza qui sotto è ricostruita dal decreto di sequestro firmato dalla giudice Sonia Mancini, come riportato da Open, e dalle ricostruzioni di Corriere della Sera e Il Post.
| Quando | Cosa succede | La leva psicologica |
| 23 febbraio 2026 | Da un numero sconosciuto arriva un WhatsApp firmato “Carlo Messina”: serve un’operazione urgente su una banca estera da far passare per Fideuram | Autorità: l’ordine arriva dal vertice del gruppo |
| Stesso giorno | Il motivo della segretezza: evitare una fuga di notizie che potrebbe spingere la Consob a bloccare l’acquisizione | Riservatezza: non parlarne con nessuno |
| Stesso giorno | Chiama un finto avvocato con la voce clonata di Paolo Nastasi, che Molesini conosce di persona | Familiarità: una voce nota abbassa le difese |
| Stesso giorno | Arrivano 11 documenti: un accordo di riservatezza da firmare, una procura speciale con la firma apparente di Messina, le coordinate dei conti | Formalità: le carte in regola danno legittimità |
| Stesso giorno | Anche il responsabile della tesoreria di Fideuram viene contattato da un finto amministratore delegato, che gli preannuncia la chiamata del presidente | Doppia conferma: entrambi i livelli ricevono lo stesso messaggio |
| Nei giorni successivi | Partono 11 bonifici per oltre 95 milioni verso conti in Cina e in Portogallo | Urgenza: tutto va fatto subito |
| Scoperta | Una banca portoghese segnala un’operazione sospetta. Molesini prova a ricontattare il finto avvocato, che non è più rintracciabile | Il sistema antiriciclaggio funziona, ma a valle |
| 12 marzo 2026 | Molesini lascia la presidenza di Fideuram, per motivi personali | — |
| 25 settembre 2026 | La notizia diventa pubblica: c’è un indagato e un sequestro preventivo | — |
Un dettaglio mostra quanto fosse curata l’operazione. I truffatori hanno usato una casella di posta su mailbox.org intestata a Molesini, poi hanno cancellato conversazioni e documenti. Il telefono del finto avvocato era stato attivato online. Ogni traccia era pensata per sparire.
Dove sono finiti i 95 milioni
Circa 55,5 milioni sono stati recuperati o bloccati (il calcolo è per differenza); 39,5 milioni risultano ancora mancanti. Le cifre diffuse dai giornali sono diverse (si legge sia 36 sia 39,5 milioni), ma il conto torna se si legge il decreto: 39,5 milioni non sono stati recuperati e di questi oltre 36 milioni sono stati tracciati lungo una rotta precisa.
| Voce | Importo | Quota sul totale |
| Bonifici autorizzati (11 operazioni) | oltre 95 milioni | 100% |
| Restituiti subito da una banca cinese | circa 40 milioni | 42% |
| Congelati su un conto in Portogallo | oltre 13 milioni | 14% |
| Altri importi recuperati (per differenza) | circa 2,5 milioni | 3% |
| Non recuperati | 39,5 milioni | 42% |
| di cui transitati da Malta, Lussemburgo e Olanda | oltre 36 milioni | 38% |
| di cui convertiti in criptovalute e arrivati all’indagato, secondo gli inquirenti | quasi 4 milioni | 4% |
La rotta del denaro è quella tipica del riciclaggio moderno: conti a Malta, poi Lussemburgo e Olanda, una piattaforma canadese di trasferimento di denaro e infine due portafogli Bitcoin. Più passaggi ci sono, più il recupero diventa lento e incerto.
Il calcolo più istruttivo è un altro. Il 58% del denaro è tornato indietro perché una banca ha segnalato in tempo un’operazione sospetta e perché la procura di Milano ha agito in fretta. In media ogni bonifico valeva circa 8,6 milioni: ogni ora guadagnata nella scoperta poteva valere milioni.
Chi è indagato
Nel decreto di sequestro preventivo compare un cittadino israeliano di 48 anni, indagato “in concorso con ignoti” per truffa aggravata e sostituzione di persona. Le indagini sono della procura di Milano con i Carabinieri. Alcune cronache ipotizzano che anche la sua identità possa essere fittizia. Essere indagati non significa essere colpevoli: vale la presunzione di innocenza fino a sentenza definitiva.
Non solo Fideuram: le truffe ai super manager in Italia
Negli ultimi due anni in Italia almeno cinque vicende hanno colpito vertici di banche, grandi imprenditori e aziende quotate. Hanno tutte lo stesso schema: un’identità rubata, una richiesta urgente e riservata, conti all’estero.
| Caso | Chi si fingevano | Importo | Esito |
| Ferrari (luglio 2024) | L’amministratore delegato Benedetto Vigna, via WhatsApp e voce clonata | Non quantificato | Sventata: il dirigente ha fatto una domanda personale |
| Falso Crosetto (febbraio 2025) | Il ministro della Difesa e il suo staff, con voce clonata | Circa 1 milione pagato da Massimo Moratti | Fondi bloccati su un conto in Olanda |
| Fideuram (febbraio 2026) | Carlo Messina via WhatsApp, l’avvocato Nastasi con voce clonata | Oltre 95 milioni | 39,5 milioni ancora mancanti |
| Banca non nominata (maggio 2026) | Un dipendente interno, via email | Oltre 23,8 milioni | Parte dei fondi sequestrata a Barcellona |
| Piccola banca non nominata (maggio 2026) | Non precisato | Circa 2 milioni | Parte recuperata in Croazia |
Il falso Crosetto e gli imprenditori
Nel febbraio 2025 alcuni dei più noti imprenditori italiani hanno ricevuto telefonate da chi si presentava come il ministro Guido Crosetto o un suo collaboratore. La richiesta: aiutare in segreto lo Stato a pagare il riscatto per giornalisti italiani rapiti, con la promessa di un rimborso da parte della Banca d’Italia. I conti indicati erano a Hong Kong.
Tra i contattati, secondo le cronache, c’erano i collaboratori di Giorgio Armani, Marco Tronchetti Provera, Diego Della Valle e Patrizio Bertelli, oltre a membri delle famiglie Beretta e Caltagirone. Esselunga ha presentato denuncia. Massimo Moratti è l’unico noto ad aver pagato: circa 1 milione in due bonifici (le cifre riportate vanno da 900mila a 980mila euro). La procura di Milano, con il pm Giovanni Tarzia, è riuscita a bloccare il denaro su un conto in Olanda grazie a un canale diretto tra banche centrali, senza rogatorie.
Ferrari: la domanda che ha salvato l’azienda
Nel luglio 2024, come ha raccontato Bloomberg, un dirigente Ferrari ha ricevuto messaggi da un finto Benedetto Vigna, con la foto del manager davanti al logo del Cavallino. Si parlava di una grande acquisizione, di un accordo di riservatezza in arrivo da un avvocato e di autorità e Borsa già informate. Poi è arrivata la telefonata, con la voce clonata.
Il dirigente ha notato un’intonazione meccanica e ha chiesto il titolo di un libro che Vigna gli aveva consigliato pochi giorni prima. La chiamata si è interrotta subito. Bastava una domanda a cui solo il vero manager poteva rispondere.
Il precedente internazionale: Arup a Hong Kong
Il caso più citato al mondo resta quello della società di ingegneria britannica Arup: nel 2024 un dipendente della sede di Hong Kong ha trasferito circa 25 milioni di dollari dopo una videoconferenza in cui tutti i “colleghi”, compreso il direttore finanziario, erano deepfake. In Italia per ora si usano soprattutto voce e messaggi, ma la tecnologia per il video esiste già.
Il copione che si ripete in ogni caso
Ferrari e Fideuram, a un anno e mezzo di distanza, mostrano lo stesso copione, quasi parola per parola. In entrambi i casi c’è una grande acquisizione segreta, un avvocato che deve far firmare un accordo di riservatezza e un riferimento alle autorità di mercato. A Ferrari si diceva che Consob e Borsa erano già informate; a Fideuram che una fuga di notizie avrebbe spinto la Consob a bloccare l’affare.
È quella che potremmo chiamare la “carta del regolatore”: citare la Consob rende plausibile la segretezza. Un manager di banca sa che le operazioni straordinarie sono riservate e che una fuga di notizie può costare cara. I truffatori usano proprio questa conoscenza contro di lui.
| Elemento del copione | Ferrari 2024 | Crosetto 2025 | Fideuram 2026 |
| Identità di un vertice | Sì (CEO) | Sì (ministro) | Sì (CEO della capogruppo) |
| Voce clonata con l’AI | Sì | Sì | Sì (dell’avvocato) |
| Segretezza obbligatoria | Sì | Sì (sicurezza nazionale) | Sì (rischio blocco Consob) |
| Avvocato e accordo di riservatezza | Sì | No | Sì |
| Conti verso l’Asia | Non arrivati a quel punto | Hong Kong | Cina e Hong Kong |
| Cosa ha fermato (o limitato) il danno | Una domanda personale | Denuncia rapida e blocco dei conti | Segnalazione di una banca portoghese |
La procura di Milano, che ha aperto tre fascicoli distinti sui casi del 2026, ha precisato che, allo stato attuale, i fascicoli non risultano collegati tra loro. Non c’è quindi prova di un’unica organizzazione. Ma il metodo è ormai una tecnica collaudata, che chiunque può replicare.
Perché le banche italiane non vogliono parlarne
La truffa a Fideuram è avvenuta a febbraio, ma il pubblico l’ha scoperta solo a settembre, e non da un comunicato della banca: dalla stampa. Il silenzio è il filo che unisce quasi tutti i casi di CEO fraud emersi in Italia.
| Chi | Cosa si sa del silenzio |
| Fideuram | Truffa a febbraio, notizia pubblica il 25 settembre: sette mesi dopo, attraverso la stampa |
| Le dimissioni | Il presidente lascia il 12 marzo citando “motivi personali”, senza alcun riferimento alla truffa |
| Le altre due banche | Truffate a maggio per circa 26 milioni: i nomi non sono mai stati resi noti ufficialmente |
| Ferrari | Secondo Bloomberg ha avviato un’indagine interna, ma ha rifiutato di commentare |
| Comunicazione ufficiale | Le ricostruzioni non riportano comunicati dedicati delle società coinvolte |
Ci sono ragioni comprensibili dietro questo riserbo. La prima è il segreto delle indagini: finché la procura lavora per seguire il denaro e bloccare i conti, parlare può aiutare i truffatori a spostarlo più in fretta. La seconda è il rischio di emulazione: raccontare nei dettagli un metodo che funziona significa offrirlo ad altri.
La terza ragione è la più scomoda: la reputazione. Una banca vende fiducia e sicurezza. Ammettere che il suo presidente è stato convinto a trasferire 95 milioni con un WhatsApp e una voce falsa è un danno d’immagine molto più grande della perdita economica, che per il gruppo vale circa lo 0,4% dell’utile.
Il silenzio però ha un costo per tutti gli altri. Ogni caso tenuto riservato è un’occasione persa per avvisare manager, tesorerie e risparmiatori che il copione esiste e funziona. Il caso Ferrari è noto solo perché Bloomberg ha visto le chat. Quello di Fideuram perché è arrivato in procura e poi sui giornali. Quante altre aziende hanno pagato senza denunciare, o hanno denunciato senza dirlo, oggi non si può sapere.
Cosa non bisogna fare
L’errore decisivo non è credere a un messaggio: è eseguire un ordine di pagamento senza verificarlo su un canale indipendente. Queste sono le regole che valgono per un manager, per un impiegato amministrativo e anche per un privato che riceve una richiesta di denaro da un “figlio” o da un “funzionario”.
| Cosa NON fare | Cosa fare invece |
| Rispondere sullo stesso canale da cui è arrivata la richiesta | Richiamare la persona su un numero già in rubrica o sul centralino aziendale |
| Fidarsi di una voce perché “sembra proprio lui” | Fare una domanda che solo la persona vera conosce, come ha fatto il dirigente Ferrari |
| Accettare il vincolo di segretezza “anche verso i colleghi” | Coinvolgere sempre almeno un’altra persona: nessuna operazione vera vieta di avvisare il compliance |
| Farsi mettere fretta da scadenze di poche ore | Prendersi il tempo per le verifiche: un’operazione autentica sopravvive a un’ora di controlli |
| Considerare autentici procure, NDA e firme ricevuti per email | Verificare i documenti con l’ufficio legale interno o con lo studio, chiamandolo al numero ufficiale |
| Pagare su conti esteri mai usati prima, frazionando l’importo | Bloccare per regola i nuovi beneficiari esteri finché non sono verificati |
| Aspettare o vergognarsi quando nasce un dubbio | Avvisare subito la propria banca per il richiamo del bonifico e denunciare alla Polizia Postale |
Se sei un privato: la stessa truffa, in piccolo
Il meccanismo della CEO fraud è identico a quello delle truffe che colpiscono le famiglie: il messaggio “Ciao mamma, ho cambiato numero”, il finto operatore della banca, il falso funzionario. Cambiano solo gli importi. Per chi vuole capire quanto la propria banca investe in sicurezza, il criterio “Trasparenza e sicurezza” è uno dei 12 criteri del libro Il Metodo Biagetti per Conti Correnti e Banche.
La difesa migliore resta la stessa: nessuna banca, nessun parente e nessun ministro chiede mai un bonifico urgente e segreto su un conto nuovo. Per l’identità digitale conviene usare gli strumenti certificati come lo SPID e la PEC, che lasciano traccia di chi scrive.
Cosa insegna il caso Fideuram
La lezione principale è che i controlli devono valere anche per chi sta in cima alla piramide. A Fideuram l’ordine arrivava dal presidente, che a sua volta credeva di eseguire un ordine del CEO del gruppo. Nessun livello aveva motivo di dubitare di quello superiore.
1. La voce non è più una prova
Per decenni riconoscere la voce di una persona è stato il modo più sicuro per verificarne l’identità. Oggi bastano pochi minuti di registrazioni pubbliche, come interviste, conferenze e video, per clonarla. I manager più esposti sono proprio quelli che parlano più spesso in pubblico.
2. Il doppio controllo deve essere davvero indipendente
A Fideuram anche il responsabile della tesoreria era stato contattato dal finto CEO. I truffatori avevano previsto la seconda firma e l’avevano “preparata”. Una verifica vale solo se passa da un canale che il truffatore non controlla: un numero fisso aziendale, un incontro di persona, una parola d’ordine concordata in anticipo.
3. Le procedure devono prevedere l’eccezione
Ogni truffa di questo tipo si presenta come un caso speciale: “non possiamo usare i canali normali per motivi di riservatezza”. La regola più utile è scrivere nelle procedure che nessuna eccezione autorizza a saltare la verifica, nemmeno se la richiesta arriva dal vertice.
4. La velocità di reazione vale milioni
Fideuram ha recuperato più della metà del denaro perché una banca estera ha segnalato l’anomalia e la procura ha agito in fretta. Lo stesso è accaduto a Moratti, con i fondi bloccati in Olanda. Chi scopre la truffa deve avvisare la banca subito, non il giorno dopo.
5. Il fattore umano resta il punto debole, e anche la difesa migliore
La tecnologia ha reso la truffa più credibile, ma a fermarla a Ferrari non è stato un software: è stata una domanda sul titolo di un libro. Per le aziende che vogliono investire nella difesa, la guida alle migliori aziende italiane di cybersecurity e fintech e quella sulle migliori azioni cybersecurity del 2026 mostrano quanto il settore stia crescendo proprio grazie a questi rischi.
Un vecchio proverbio latino lo dice già: “Fide, sed cui vide”, cioè “Fidati, ma guarda bene di chi”. Nel 2026, guardare bene significa verificare su un altro canale, anche quando la voce al telefono è quella di una persona che conosci.
Domande frequenti
Cos’è la truffa Fideuram?
È una CEO fraud da oltre 95 milioni con un finto WhatsApp di Carlo Messina e una voce clonata. Nel febbraio 2026 l’allora presidente di Fideuram ha autorizzato 11 bonifici verso conti in Cina e Portogallo credendo di eseguire un’operazione riservata del gruppo Intesa Sanpaolo.
Quanti soldi ha perso Fideuram?
Secondo il decreto di sequestro mancano ancora 39,5 milioni di euro su oltre 95 milioni trasferiti. Circa 40 milioni sono stati restituiti da una banca cinese e oltre 13 milioni congelati in Portogallo. Alcune testate citano 36 milioni, cioè la parte tracciata fino ai portafogli Bitcoin.
Paolo Molesini è indagato?
No, Molesini non è indagato: è stato ascoltato come testimone ed è la persona ingannata. La procura di Milano indaga un cittadino straniero per truffa aggravata e sostituzione di persona, in concorso con ignoti. Vale la presunzione di innocenza.
Cos’è una CEO fraud?
È una truffa in cui il criminale si finge un dirigente per ottenere un bonifico urgente e riservato. Si usano email, messaggi e oggi anche voci o video falsi generati con l’intelligenza artificiale, sfruttando l’autorità del vertice e la fretta.
Come si riconosce una voce clonata con l’AI?
A orecchio è sempre più difficile: il metodo sicuro è richiamare su un numero noto. Possono tradirla un’intonazione meccanica, pause innaturali o risposte vaghe. Una domanda personale, come quella del dirigente Ferrari, è spesso sufficiente a far cadere la chiamata.
Cosa fare se ho fatto un bonifico a un truffatore?
Chiama subito la tua banca per chiedere il richiamo del bonifico, poi denuncia alla Polizia Postale. Più presto si agisce, più alte sono le possibilità di bloccare i fondi prima che vengano spostati. Diffida di chi promette recuperi a pagamento: spesso è una seconda truffa.
Avvertenza
Questo articolo ha finalità informative e giornalistiche e si basa su notizie pubblicate da fonti di stampa (Corriere della Sera, Reuters, Il Post, Open, Sky TG24, BusinessOnline, Bloomberg, MilanoToday, QuiFinanza, Calcio e Finanza) e su atti giudiziari citati da tali fonti. Le persone nominate come vittime o il cui nome è stato usato dai truffatori non sono indagate. Per l’indagato vale la presunzione di innocenza fino a sentenza definitiva. Il testo non costituisce consulenza finanziaria, legale o di sicurezza informatica. Per segnalare abusi finanziari consulta il sito della Consob; per i servizi bancari e le frodi sui pagamenti quello della Banca d’Italia; per denunciare una truffa online il Commissariato di Polizia Postale. Per verificare l’iscrizione di un consulente usa l’albo dell’Organismo di Vigilanza e Tenuta dell’Albo Unico dei Consulenti Finanziari (OCF). La ricostruzione di partenza è disponibile su MilanoToday.
Direttore editoriale, Analista finanziario indipendente e autore di 9 metodi proprietari di analisi finanziaria, e uno di investimenti, pubblicati su relativi libri. Scopri di più su chi siamo e sul nostro lavoro editoriale., oppure leggi tutti i contributi e la biografia di Massimiliano Biagetti.