Truffa del cambio IBAN e phishing via email: come riconoscerli e proteggere l'azienda

La truffa del cambio IBAN è una frode via email in cui un finto fornitore, o la casella reale di un fornitore compromessa, comunica nuove coordinate bancarie per far pagare le fatture su un conto controllato dai truffatori. Ci si difende soprattutto con una regola semplice: ogni cambio di IBAN si verifica al telefono, chiamando un numero già noto. Le misure tecniche sulla posta riducono il rischio, ma non sostituiscono questa abitudine.

La mail sembra quella di sempre: lo stesso fornitore, lo stesso tono, la stessa firma in fondo. Cambia solo un dettaglio, le coordinate per il pagamento. Qualche settimana dopo il fornitore chiama per un sollecito e il denaro, nel frattempo, è finito altrove. Vediamo come funziona questo tipo di frode e come proteggere l'azienda.

Come funziona la truffa del cambio IBAN?

La truffa del cambio IBAN funziona sfruttando la fiducia e la routine: arriva un messaggio credibile, da un contatto noto o che sembra tale, e chiede di aggiornare le coordinate bancarie. Fa parte di una famiglia di frodi chiamate BEC, dall'inglese business email compromise, che non richiedono virus né competenze tecniche da parte di chi le subisce. Gli schemi più diffusi sono quattro.

• Il finto cambio IBAN. Un messaggio, apparentemente da un fornitore, comunica nuove coordinate «per una revisione dei rapporti bancari». A volte arriva con una fattura modificata in allegato.
• Il falso amministratore. Qualcuno che si spaccia per il titolare o per un dirigente chiede un pagamento urgente e riservato, magari per un'operazione da non comunicare ad altri.
• La casella davvero compromessa. È la variante più insidiosa: l'attaccante ha ottenuto l'accesso alla posta reale del fornitore, o alla tua, legge le conversazioni in corso e si inserisce al momento giusto, rispondendo in un thread esistente con un tono perfettamente credibile.
• Il dominio sosia. L'indirizzo del mittente è quasi identico a quello vero: una lettera scambiata, un trattino in più, un'estensione diversa. A colpo d'occhio, sul telefono, la differenza non si vede.

Proprio perché non contengono allegati dannosi né link sospetti, questi messaggi passano spesso indenni dai filtri antispam. A fermarli deve essere qualcuno che si accorge che qualcosa non torna.

Come riconoscere una email fraudolenta?

Una email fraudolenta si riconosce soprattutto dalla richiesta che contiene, più che dall'aspetto. Nessun segnale da solo è una prova, ma alcuni elementi dovrebbero sempre far fermare chi gestisce i pagamenti:

• qualsiasi richiesta di modificare coordinate bancarie, anche da un contatto abituale;
• urgenza e riservatezza insieme: «va fatto oggi», «non parlarne con nessuno»;
• piccole differenze nell'indirizzo del mittente, o un indirizzo di risposta diverso da quello di invio;
• un conto intestato a un nome diverso dal fornitore, o in un paese con cui non c'è alcun rapporto;
• un tono leggermente diverso dal solito, formule insolite, errori in una persona che di solito non ne fa;
• la richiesta di non usare il telefono, perché il mittente è «in riunione» o «all'estero».

Saper riconoscere questi segnali non è intuitivo per chi non ha mai visto una frode da vicino. Una formazione sulla cybersecurity mirata per amministrazione e acquisti, con esempi realistici, rende le persone il primo filtro dell'azienda.

Quali regole interne proteggono dai pagamenti fraudolenti?

Dai pagamenti fraudolenti proteggono poche regole scritte, conosciute e rispettate da tutti, titolare compreso. La difesa più efficace contro queste frodi è organizzativa, prima ancora che tecnica.

1. Ogni cambio IBAN si verifica al telefono, chiamando il fornitore a un numero già presente in anagrafica o sul contratto, mai a quello indicato nella mail che chiede la modifica.
2. Doppia approvazione per ogni variazione delle coordinate bancarie e per i pagamenti sopra una soglia stabilita.
3. Nessuna eccezione per urgenza: una richiesta che non può aspettare una verifica è, di per sé, un campanello d'allarme.
4. Registro delle variazioni: chi ha chiesto la modifica, chi l'ha verificata, quando e come.
5. Attenzione ai primi pagamenti verso un nuovo IBAN, soprattutto se di importo elevato.

Queste regole funzionano solo se valgono per tutti. Quando la richiesta urgente sembra arrivare dal titolare, chi lavora in amministrazione deve sapere di essere autorizzato, anzi tenuto, a verificarla.

La verifica del beneficiario della banca basta?

La verifica del beneficiario aiuta, ma non basta da sola. Dall'ottobre 2025, per i bonifici in euro, le banche e gli altri prestatori di servizi di pagamento dell'area euro devono offrire un controllo che segnala quando il nome indicato non corrisponde all'intestatario dell'IBAN. È un passo avanti concreto contro questo tipo di frode.

I limiti, però, ci sono. L'avviso va letto e preso sul serio, non superato con un clic per abitudine; e un truffatore può usare un conto intestato a un nome plausibile, che non fa scattare alcuna segnalazione. La verifica telefonica con il fornitore resta quindi la protezione principale, e il controllo della banca un'ulteriore rete di sicurezza.

Quali misure tecniche proteggono la posta aziendale?

La posta aziendale si protegge con misure che riducono sia la probabilità che una casella venga compromessa, sia la possibilità che qualcuno si spacci per la tua azienda.

• Autenticazione a più fattori su tutte le caselle di posta, per rendere inutili le password rubate.
• SPF, DKIM e DMARC configurati sul tuo dominio, con una politica che indichi ai server di destinazione di rifiutare o mettere in quarantena i messaggi falsificati.
• Filtri antiphishing e analisi di link e allegati, con un avviso visibile sui messaggi provenienti dall'esterno.
• Blocco dell'inoltro automatico verso indirizzi esterni e avvisi sulle regole di posta create di recente, tipiche delle caselle compromesse.
• Monitoraggio degli accessi anomali, ad esempio da paesi insoliti o da più luoghi in tempi incompatibili.

Queste misure fanno parte di un approccio più ampio alla cybersecurity aziendale: la posta è il punto d'ingresso più frequente, ma la protezione funziona quando è coerente su account, dispositivi e rete.

Cosa fare se hai pagato un IBAN falso?

Se hai pagato un IBAN falso, la prima cosa da fare è contattare subito la tua banca: il tempo è il fattore che più conta per tentare il recupero. Poi, in quest'ordine:

1. Chiedi alla banca il richiamo del bonifico e fatti indicare la procedura da seguire.
2. Sporgi denuncia alla Polizia Postale, conservando email, allegati e ricevute del pagamento.
3. Metti in sicurezza la posta: cambia le password delle caselle coinvolte, verifica che non ci siano regole di inoltro o accessi sconosciuti, controlla che l'autenticazione a più fattori sia attiva.
4. Avvisa il fornitore, che potrebbe essere a sua volta vittima di una compromissione e avere altri clienti esposti.
5. Valuta gli obblighi privacy: se sono stati esposti dati personali, con chi si occupa di protezione dei dati va valutata l'eventuale notifica al Garante, da fare entro 72 ore da quando si viene a conoscenza della violazione.

Le frodi via email funzionano perché si inseriscono nel lavoro di tutti i giorni. Per lo stesso motivo, le contromisure più efficaci sono abitudini: una telefonata in più, una seconda firma, un'impostazione corretta sulla posta. Costruirle una volta, sulle procedure reali della tua azienda, costa molto meno di un solo bonifico perso.

Formazione, protezione della posta e risposta agli incidenti sono il lavoro di Cybernix, la divisione cybersecurity di VAY.

Se vuoi verificare quanto la tua azienda è esposta a questo tipo di frodi, contattaci: possiamo esaminare insieme procedure di pagamento e configurazione della posta.

Domande frequenti

Cos'è una frode BEC?

BEC sta per business email compromise: è una frode in cui qualcuno si spaccia, via email, per un fornitore, un cliente o un dirigente per ottenere un pagamento o dati riservati. Spesso non contiene virus né link dannosi, e per questo sfugge ai filtri tradizionali.

Come si verifica una richiesta di cambio IBAN?

Telefonando al fornitore a un numero già presente in anagrafica o sul contratto, mai a quello indicato nella mail che chiede la modifica. La variazione va registrata solo dopo la conferma e, idealmente, approvata da una seconda persona.

Cosa fare se ho pagato su un IBAN falso?

Contatta subito la tua banca per chiedere il richiamo del bonifico: la tempestività aumenta le possibilità di recupero. Poi sporgi denuncia alla Polizia Postale, metti in sicurezza le caselle di posta coinvolte e avvisa il fornitore.

La verifica del beneficiario della banca protegge dalle truffe sull'IBAN?

Aiuta, perché segnala quando il nome indicato non corrisponde all'intestatario del conto, ma non basta da sola. Gli avvisi vanno letti con attenzione e la verifica telefonica con il fornitore resta la protezione principale.

A cosa servono SPF, DKIM e DMARC?

Sono record configurati sul dominio di posta che permettono ai server di destinazione di verificare se un messaggio proviene davvero dalla tua azienda. Con una politica DMARC restrittiva, le email falsificate a nome del tuo dominio vengono scartate o messe in quarantena.