Truffa del falso fornitore e del finto dirigente (BEC): come difendere i pagamenti aziendali

La truffa BEC (business email compromise) funziona così: un criminale si inserisce in una conversazione email reale, o imita un fornitore o un dirigente, e chiede di pagare su un IBAN diverso o di eseguire un bonifico urgente. L'unica difesa davvero efficace è organizzativa: ogni cambio di coordinate bancarie e ogni pagamento fuori standard deve essere verificato con una telefonata a un numero già noto, con una seconda persona che autorizza. Se il bonifico è già partito, conta la velocità: contatta subito la banca per chiedere il richiamo e presenta denuncia.

Le varianti più frequenti

Variante	Come si presenta	Segnale tipico
Cambio IBAN del fornitore	Email "dal fornitore": da ora pagate sul nuovo conto	Il messaggio arriva poco prima di una scadenza, con fatture reali in allegato
Finto dirigente (CEO fraud)	Email o messaggio "dal direttore": bonifico riservato e urgente	Richiesta di segretezza, tono pressante, indirizzo simile ma non identico
Conversazione dirottata	L'attaccante ha accesso alla casella di un fornitore o tua e si inserisce nella discussione	La risposta sembra coerente e conosce i dettagli dell'ordine
Finta fattura	Fattura contraffatta con coordinate diverse	Mittente nuovo, ordine mai fatto, importo in linea con quelli abituali
Falso intervento della banca	Telefonata o SMS "dalla banca" che chiede codici o autorizzazioni	Richiesta di codici OTP, di "mettere al sicuro" i fondi
Falso avvocato o autorità	Richiesta di pagamenti per presunte pratiche legali urgenti	Minacce, scadenze brevissime

Come avviene tecnicamente

Spesso la truffa parte dal furto di credenziali di posta (phishing, password riutilizzate): l'attaccante legge le conversazioni per settimane, impara i fornitori, i tempi di pagamento e il tono, poi crea regole di inoltro nascoste o registra un dominio quasi identico (una lettera cambiata, un "rn" al posto di una "m"). Per questo la protezione della posta, in particolare con l'autenticazione a più fattori, riduce molto il rischio; vedi la guida sull'MFA.

I segnali di allarme

Richiesta di cambiare IBAN, di solito verso un conto di un altro paese o intestato a un soggetto diverso dal fornitore.
Urgenza, riservatezza, "non dirlo a nessuno".
Dominio del mittente simile ma non identico, o nome visualizzato corretto con indirizzo diverso.
Cambiamenti nello stile della scrittura o nella firma.
Fatture senza ordine corrispondente o con coordinate diverse da quelle dell'anagrafica.
Telefonate che spingono a decidere subito e a non richiamare.
Richiesta di acquistare buoni regalo o carte prepagate per conto della direzione.

La procedura anti-frode: il cuore della difesa

Una procedura semplice, scritta e applicata sempre:

Doppia verifica sul cambio coordinate: ogni modifica dell'IBAN di un fornitore va confermata telefonando a un numero già presente in anagrafica (non quello nell'email) e parlando con una persona nota.
Doppia autorizzazione per i bonifici sopra una soglia scelta dall'azienda, con due persone diverse: chi inserisce e chi approva.
Controllo di coerenza: la fattura corrisponde a un ordine e a un documento di consegna?
Controllo dell'intestatario: il nome dell'intestatario del conto corrisponde al fornitore? Molte banche offrono verifiche del beneficiario sui bonifici istantanei in area SEPA; informati presso la tua banca su come funzionano nel tuo caso.
Canale alternativo per le richieste "del direttore": nessun pagamento urgente su richiesta via email o messaggio senza conferma a voce.
Registro delle modifiche alle anagrafiche fornitori, controllato periodicamente.

Esempio illustrativo: un'azienda con soglia di doppia approvazione a 5.000 euro riceve un'email "dal fornitore" con nuovo IBAN su una fattura da 18.000 euro. La procedura richiede una telefonata al numero in anagrafica; il fornitore dice di non aver cambiato conto. Il pagamento viene bloccato, il caso segnalato, e l'email viene analizzata per capire come l'attaccante si è inserito.

Misure tecniche di supporto

Autenticazione a più fattori su tutte le caselle, soprattutto amministrazione e direzione.
Controllo delle regole di inoltro e dei collegamenti di accesso della posta, con avvisi per le nuove regole.
Filtri di posta con rilevamento di domini simili e di impersonificazione.
Configurazione di SPF, DKIM e DMARC sul dominio aziendale, per rendere più difficile che altri inviino email spacciandosi per te.
Banner di avviso sulle email provenienti dall'esterno.
Registrazione e controllo degli accessi insoliti alla posta.

Se il bonifico è già partito

Il tempo è decisivo: nelle prime ore le possibilità di recupero sono più alte.

Chiama subito la banca e chiedi il richiamo del bonifico o il blocco dei fondi presso la banca beneficiaria; conferma per iscritto secondo le indicazioni della banca.
Presenta denuncia o querela alle forze dell'ordine, in particolare alla Polizia Postale e delle Comunicazioni, con tutta la documentazione (email con intestazioni complete, fatture, estremi del bonifico).
Metti in sicurezza la posta: cambia le password, attiva l'MFA, cerca regole di inoltro e sessioni sospette.
Avvisa il fornitore reale e valuta se i suoi sistemi sono stati compromessi.
Se ci sono dati personali coinvolti (per esempio accesso alla casella con documenti di clienti), valuta la notifica al Garante entro 72 ore; vedi la guida sulla violazione dei dati.
Controlla la polizza: alcune coperture cyber o di tipo crimine includono le frodi con ingegneria sociale, spesso con sottolimiti e condizioni sulle procedure di verifica.

Le possibilità di recupero non sono garantite: dipendono dalla rapidità e dalle banche coinvolte. Chiedi un parere a un legale sulle azioni di responsabilità e sui rapporti con il fornitore, perché se il pagamento è stato fatto a un terzo il debito verso il fornitore reale potrebbe restare dovuto.

Formazione e cultura

Gli addetti all'amministrazione sono il bersaglio principale. Esercitali con casi reali e simulazioni, e riconosci come positivo il comportamento di chi ferma un pagamento per verificare, anche se si rivela legittimo. Se i dirigenti pretendono bonifici immediati senza controlli, la procedura perde valore: il vertice deve essere il primo a rispettarla. Vedi la guida sulla formazione dei dipendenti.

Domande frequenti

Come capisco se l'email del fornitore è falsa?

Controlla l'indirizzo completo del mittente, il dominio, le intestazioni tecniche se necessario e, soprattutto, verifica la richiesta con una telefonata a un numero già noto.

Posso farmi restituire i soldi dalla banca?

Dipende dalla tempestività, dalla collaborazione della banca beneficiaria e dalle circostanze. Contatta la banca subito: nelle prime ore le possibilità sono maggiori.

La mia polizza copre queste truffe?

Alcune polizze cyber o crime includono le frodi da ingegneria sociale, spesso con limiti e condizioni. Leggi le condizioni e chiedi conferma al broker.

Chi è responsabile se un dipendente ha pagato?

Dipende da procedure, deleghe e circostanze. Per questo è importante avere procedure scritte e registrazioni. Per valutazioni sulla responsabilità rivolgiti a un legale.

Fonti ufficiali

Polizia Postale e delle Comunicazioni - Commissariato di PS online — informazioni e denunce su truffe online.
Banca d'Italia — informazioni sui pagamenti e sulla sicurezza dei servizi bancari.
Garante per la protezione dei dati personali — notifica delle violazioni di dati.
CSIRT Italia — avvisi su campagne di phishing e frodi.