Un fornitore abituale comunica nuove coordinate bancarie. L'email riprende una conversazione reale, usa nomi corretti e allega una fattura plausibile. Poco dopo arriva un sollecito: il pagamento è urgente. Se l'azienda controlla soltanto l'aspetto del messaggio, può autorizzare un bonifico verso un conto che non appartiene al fornitore.
La frode del falso IBAN è una delle forme che può assumere la Business Email Compromise, o BEC. Il punto debole non è necessariamente un errore evidente del destinatario: l'attaccante può imitare un indirizzo, compromettere una casella reale o sfruttare informazioni pubbliche e procedure interne prevedibili. Per questo la difesa non può dipendere soltanto dalla capacità di riconoscere un'email scritta male.
Questa guida, verificata il 21 agosto 2026, spiega come una PMI può proteggere il ciclo dei pagamenti con controlli tecnici e organizzativi proporzionati. Le indicazioni sono generali: in caso di frode, compromissione di account o possibile violazione di dati, le azioni devono essere valutate rapidamente con banca, referente IT e professionisti competenti in base al caso concreto.
Cos'è la frode del falso IBAN e come si inserisce nella Business Email Compromise
Europol descrive la Business Email Compromise come una frode digitale contro le imprese basata sull'ingegneria sociale. Tra le forme più comuni rientrano la CEO fraud, nella quale il criminale impersona un dirigente per chiedere un pagamento urgente, e la frode della falsa fattura, nella quale vengono usati documenti inventati oppure fatture reali con coordinate bancarie alterate.
Lo schema del falso IBAN può iniziare in modi diversi. Un messaggio può provenire da un dominio simile a quello del fornitore, con una lettera sostituita o un'estensione diversa. In altri casi viene compromessa una vera casella email e l'attaccante osserva le conversazioni, aspetta il momento adatto e interviene nel flusso con una richiesta coerente. Può anche essere imitato un amministratore, un consulente o un responsabile interno.
L'obiettivo è far apparire ordinaria un'eccezione: cambiare il conto di accredito, accelerare un bonifico, usare un nuovo beneficiario o ignorare temporaneamente il normale passaggio autorizzativo. La pressione può arrivare via email, telefono, messaggistica o con una combinazione di canali. Una richiesta che sembra confermata da due messaggi non è quindi automaticamente una richiesta verificata, soprattutto se entrambi partono da riferimenti forniti nella stessa comunicazione sospetta.
Il rischio coinvolge tecnologia, persone e processo. La posta deve essere protetta, ma anche l'amministrazione deve sapere come verificare una variazione e chi può approvarla. Se uno solo di questi livelli manca, un messaggio credibile può trasformarsi in un pagamento difficile da recuperare.
Perché un messaggio credibile può superare i controlli abituali
Le frodi più insidiose non somigliano allo spam generico. Possono contenere il nome del referente, il numero di una fattura, la firma abituale, informazioni su un progetto o dettagli ricavati dal sito e dai social aziendali. Europol segnala che, in alcuni schemi BEC, i criminali ottengono accesso alle comunicazioni email per comprendere struttura e procedure dell'organizzazione.
Questo spiega perché grammatica corretta, logo e tono professionale non bastano come prova. Anche l'indirizzo visibile può trarre in inganno: il nome del mittente non coincide necessariamente con l'indirizzo completo, un dominio può essere quasi identico all'originale e una casella autentica può essere stata compromessa. In quest'ultimo caso, il messaggio può arrivare all'interno di una conversazione già esistente.
L'urgenza riduce il tempo dedicato alla verifica. La riservatezza impedisce di chiedere conferma a un collega. L'autorità apparente del mittente rende più difficile contestare la richiesta. Sono leve organizzative prima ancora che tecniche: funzionano quando la procedura lascia a una sola persona il compito di interpretare e autorizzare un'eccezione sotto pressione.
La qualità degli strumenti di generazione e manipolazione dei contenuti rende inoltre poco prudente affidarsi a un singolo indizio, come lo stile di scrittura o perfino una voce conosciuta. La domanda utile non è “sembra davvero il fornitore?”, ma “la richiesta ha superato il processo indipendente previsto per modificare i dati di pagamento?”.
I segnali da verificare prima di autorizzare un pagamento
Un cambio di IBAN deve essere considerato un evento ad alto impatto, anche quando l'importo è abituale. Lo stesso vale per un nuovo beneficiario, una richiesta di pagamento fuori ciclo, un anticipo inatteso o l'invito a usare coordinate diverse da quelle presenti nell'anagrafica fornitori.
Tra i segnali da approfondire rientrano l'urgenza, la richiesta di riservatezza, il tentativo di saltare un'approvazione, la modifica improvvisa del canale di contatto e le spiegazioni che rendono difficile una verifica ordinaria. Meritano attenzione anche differenze minime nel dominio, indirizzi di risposta diversi dal mittente, allegati con formati inconsueti, firme cambiate e messaggi che chiedono di usare esclusivamente il numero telefonico indicato nell'email.
Nessun segnale, preso da solo, dimostra una frode. Un fornitore può cambiare realmente banca e un pagamento può essere davvero urgente. Il controllo serve proprio a distinguere l'eccezione legittima da quella manipolata senza bloccare ogni attività.
Conviene inoltre guardare al contesto. La richiesta arriva mentre il referente abituale è assente? Riguarda un pagamento già discusso? Inserisce un nuovo interlocutore senza presentazione? Modifica soltanto il conto oppure anche ragione sociale, beneficiario o Paese? La verifica deve concentrarsi sulle differenze rispetto ai dati già approvati, non solo sulla coerenza interna del nuovo messaggio.
La procedura di verifica per cambi IBAN e richieste urgenti
La misura organizzativa più utile è una procedura semplice, conosciuta e applicata senza eccezioni personali. Ogni variazione delle coordinate bancarie dovrebbe essere sospesa fino a una conferma ottenuta attraverso un canale indipendente e un contatto già noto all'azienda.
Chi verifica non dovrebbe rispondere all'email sospetta né usare il numero indicato al suo interno. Deve recuperare il referente dall'anagrafica approvata, da un contratto già verificato o da un'altra fonte interna affidabile. La telefonata o il canale alternativo devono confermare sia la richiesta sia le nuove coordinate, seguendo domande che non si limitino a un “sì” generico.
La modifica dell'anagrafica e l'autorizzazione del pagamento dovrebbero restare separate quando dimensione e organizzazione lo consentono. Una persona registra la variazione; un'altra controlla evidenze e autorizza. Nelle realtà più piccole, dove la separazione completa non è possibile, la direzione può prevedere una seconda conferma per le modifiche ai dati bancari o per le richieste fuori procedura.
Non esiste una soglia economica universale adatta a ogni impresa. L'azienda può definire livelli di approvazione coerenti con volumi, ruoli e rischi, ma il cambio IBAN merita un controllo specifico anche sotto la soglia ordinaria: una frode può essere frazionata oppure iniziare con un importo ridotto per verificare il processo.
Ogni variazione dovrebbe lasciare una traccia: richiesta ricevuta, fonte usata per il contatto, persona che ha confermato, data, responsabile della modifica e approvatore. Questo registro aiuta a ricostruire le decisioni, individuare anomalie e dimostrare che la procedura viene applicata.
È utile preparare anche un copione operativo di poche righe: “interrompi la lavorazione; non usare i contatti presenti nel messaggio; recupera il referente già validato; conferma verbalmente i dati; richiedi la seconda approvazione; registra la verifica”. Sotto pressione, una sequenza chiara vale più di una policy lunga e poco consultata.
I controlli tecnici che riducono il rischio sulla posta aziendale
Il processo di verifica protegge il pagamento, ma deve essere affiancato da controlli sulla posta. SPF, DKIM e DMARC aiutano a contrastare l'uso non autorizzato del dominio aziendale. Il National Cyber Security Centre spiega che SPF indica quali sistemi possono inviare per il dominio, DKIM firma i messaggi e DMARC definisce come gestire quelli che non superano i controlli, oltre a produrre report utili.
Queste tecnologie non risolvono ogni scenario. Non impediscono a un criminale di registrare un dominio simile e non bastano quando una casella autentica è stata compromessa. Devono quindi rientrare in una difesa a più livelli con filtri antiphishing, protezione degli allegati e dei link, configurazione sicura del servizio cloud, aggiornamenti, monitoraggio e regole di accesso.
L'autenticazione multifattore deve essere attiva almeno sulle caselle e sugli account più critici, con particolare attenzione ad amministratori, direzione, amministrazione e persone che gestiscono pagamenti o dati sensibili. Quando il servizio lo consente, vanno preferiti metodi resistenti al phishing. È importante anche rivedere sessioni attive, metodi di recupero e applicazioni collegate: cambiare la password può non essere sufficiente se l'attaccante mantiene altri accessi.
Il monitoraggio dovrebbe rendere visibili accessi anomali, nuove regole di inoltro, deleghe inattese, modifiche ai metodi di autenticazione e invii insoliti. Le regole che nascondono, spostano o inoltrano messaggi relativi a fatture e pagamenti sono particolarmente rilevanti in un sospetto BEC.
Anche il dominio pubblico dell'azienda va osservato. Registrazioni molto simili, pagine imitate e informazioni eccessive su ruoli, assenze e procedure possono facilitare l'impersonificazione. Ridurre l'esposizione non significa nascondere l'organizzazione, ma evitare dettagli che non servono a clienti e partner e che rendono più credibile una richiesta fraudolenta.
Infine, deve esistere un modo rapido per segnalare un messaggio sospetto. La formazione è utile quando insegna azioni concrete e non colpevolizza chi chiede aiuto. Le indicazioni NCSC sottolineano che nessun utente può riconoscere ogni tentativo: strumenti, procedure, cultura della segnalazione e risposta devono lavorare insieme.
Cosa fare se il pagamento è già partito o la casella è compromessa
Quando un bonifico sospetto è stato disposto, il tempo conta. Occorre contattare immediatamente la banca attraverso i canali ufficiali, spiegare che si sospetta una frode e chiedere quali azioni siano ancora possibili. Non bisogna usare numeri o link ricevuti nel messaggio che ha originato il pagamento.
In parallelo va attivato il referente IT o il fornitore che gestisce la posta. La verifica deve riguardare non solo la password, ma anche sessioni aperte, inoltri, regole della casella, deleghe, applicazioni autorizzate, metodi MFA e account collegati. Se il mittente apparente è un fornitore, anche lui deve essere avvisato usando recapiti già verificati, senza continuare la conversazione potenzialmente compromessa.
È prudente conservare messaggi, intestazioni email, allegati, orari, dati del pagamento e cronologia delle azioni. Cancellare subito tutto o modificare i sistemi senza coordinamento può rendere più difficile ricostruire l'accaduto. Il piano di risposta agli incidenti informatici dovrebbe stabilire chi coordina, quali prove raccogliere e come mantenere una traccia delle decisioni.
La direzione deve inoltre valutare, con le figure competenti, le segnalazioni alle autorità, gli obblighi contrattuali e l'eventuale coinvolgimento di dati personali. Una frode di pagamento non coincide automaticamente con una violazione di dati, ma la compromissione di una casella può aver esposto messaggi, contatti, documenti o credenziali. Servono quindi verifiche tecniche prima di trarre conclusioni.
Dopo il contenimento, la revisione non dovrebbe fermarsi al singolo clic. Va ricostruito come la richiesta ha superato i controlli: dati fornitore modificabili da una sola persona, assenza di verifica fuori banda, MFA mancante, regole email non monitorate, pressione gerarchica o contatti non aggiornati. La correzione più utile agisce sul processo che ha consentito il pagamento.
Un presidio sostenibile per la PMI e il supporto di Zanettistudios
Una PMI non deve trasformare ogni fattura in un'indagine. Deve riconoscere gli eventi che cambiano il rischio e applicare controlli proporzionati: nuovo beneficiario, cambio IBAN, richiesta fuori ciclo, eccezione autorizzativa, contatto inatteso o casella sospetta.
Un presidio essenziale comprende un'anagrafica fornitori controllata, contatti di verifica già validati, approvazioni coerenti, MFA sulle caselle critiche, configurazione antiphishing, monitoraggio degli accessi e una procedura di risposta. La direzione dovrebbe riesaminare periodicamente eccezioni, modifiche ai dati bancari e segnalazioni, cercando problemi di processo prima che diventino incidenti.
La Gestione Servizi IT di Zanettistudios integra infrastruttura, cybersecurity, protezione dei dati e continuità operativa. Questo approccio consente di valutare insieme configurazione della posta, accessi, monitoraggio, procedure e dipendenze dai fornitori, adattando le priorità all'ambiente effettivo dell'impresa.
La panoramica dei servizi Zanettistudios aiuta a collocare il rischio tecnologico nel più ampio contesto organizzativo. Per esaminare caselle, domini, flussi autorizzativi e capacità di risposta è possibile usare la pagina Contatti. Qualsiasi intervento deve partire da una verifica del perimetro: strumenti usati, ruoli, volumi, fornitori, dati trattati e controlli già presenti.
FAQ
Che cos'è la frode del falso IBAN?
È una frode nella quale un criminale induce l'azienda a pagare su coordinate bancarie controllate da lui, spesso impersonando un fornitore o intervenendo in una conversazione reale. Può rientrare negli schemi di Business Email Compromise.
Come si verifica un cambio di coordinate bancarie ricevuto via email?
La lavorazione va sospesa e la richiesta deve essere confermata attraverso un contatto già validato, recuperato da una fonte indipendente dal messaggio. La variazione e l'approvazione dovrebbero essere registrate e, quando possibile, separate tra persone diverse.
SPF, DKIM e DMARC impediscono la frode del falso IBAN?
Riducono alcuni abusi del dominio e aiutano a gestire messaggi non autenticati, ma non bloccano ogni impersonificazione e non proteggono da soli una casella già compromessa. Servono controlli tecnici, MFA, monitoraggio e procedure di pagamento.
Una telefonata è sempre sufficiente per confermare il nuovo IBAN?
No, se il numero arriva dalla stessa email sospetta o se non è chiaro chi sta rispondendo. Il contatto deve provenire da un'anagrafica o da una fonte interna già verificata; per richieste sensibili può essere necessaria un'ulteriore approvazione.
Cosa bisogna fare dopo un bonifico sospetto?
Contattare subito la banca tramite canali ufficiali, attivare il referente IT, avvisare il fornitore con contatti verificati e conservare le evidenze. Segnalazioni, obblighi e comunicazioni devono essere valutati sul caso concreto con le figure competenti.
La frode implica sempre un data breach?
No. Tuttavia, se una casella email è stata compromessa, possono essere stati esposti dati personali o aziendali. Occorre verificare accessi e contenuti coinvolti prima di stabilire se esiste una violazione di dati e quali adempimenti siano pertinenti.
Fonti
- Zanettistudios - Gestione Servizi IT
- Zanettistudios - Servizi
- Zanettistudios - Cybersecurity e privacy
- Europol - Online fraud schemes: a web of deceit
- Europol - Cyber scams e Business Email Compromise
- NIST - Phishing, Small Business Cybersecurity Corner
- NCSC - Email security and anti-spoofing
- NCSC - Business payment fraud