Il modo più concreto per accorgersene in tempo
Arriva la fattura del solito fornitore. Stesso logo, stessa firma in fondo, lo stesso tono cordiale e sbrigativo di sempre. C’è solo una riga diversa: l’IBAN, con due parole di spiegazione su un cambio di banca. Si paga, come ogni mese, e qualche settimana dopo il fornitore chiama per sollecitare un pagamento che non ha mai ricevuto. È lo schema tipico del business email compromise: cos’è, in breve, una truffa in cui qualcuno si infila nella posta di un’azienda e la usa per dirottare i bonifici. Non serve essere una grande azienda per finirci dentro: basta una casella email e qualche fornitore da pagare, cioè la normalità di qualsiasi piccola impresa o studio professionale. Capire come funziona l’inganno, e quali segnali lo tradiscono, è il modo più concreto per accorgersene in tempo, prima di autorizzare il bonifico.
Business email compromise: cos'è e come funziona?
Il business email compromise, abbreviato BEC, è una frode informatica basata sull'accesso abusivo alla casella di posta di un'impresa, che permette ai criminali di leggerne la corrispondenza e di intervenire al momento giusto. La Polizia Postale la chiama anche Man-in-the-Middle («uomo nel mezzo») o CEO fraud e ne descrive due modalità. Nella prima il truffatore si mette tra l'azienda e un fornitore e comunica un IBAN diverso su cui pagare; nella seconda crea una falsa corrispondenza interna che sembra arrivare dall'amministratore delegato o dal direttore finanziario. Secondo la Polizia Postale i messaggi falsi sono quasi identici agli originali, perché grafica, firme e tono vengono copiati. A Bari, per esempio, un'impresa ha pagato la fattura di un fornitore estero che poi ha detto di non aver ricevuto nulla: l'IBAN era stato modificato e rimandava a una banca di Bangkok.
Come fanno i truffatori a entrare nella casella email?
Le strade principali sono tre: una mail di phishing, un programma che ruba le password oppure una password già violata e usata di nuovo. Il phishing è un messaggio che imita una banca, un corriere o un servizio online e invita a inserire nome utente e password su una pagina falsa. Il malware infostealer è invece un software malevolo che, una volta finito sul computer, preleva le credenziali salvate nel browser, il programma con cui si naviga. Poi c’è il riutilizzo: se la stessa password serve per più siti e uno di questi subisce un furto di dati, anche la casella di posta resta esposta. Secondo la società di sicurezza Cyberment, una volta dentro l’attaccante può osservare in silenzio per settimane, imparando chi viene pagato, quando e con quali parole. Può anche impostare regole di inoltro nascoste, che gli recapitano in automatico una copia di ogni messaggio: così la mail falsa arriva proprio quando una fattura è attesa.
Cos'è la truffa dell'IBAN modificato?
È la sostituzione delle coordinate bancarie dentro una richiesta di pagamento che, per il resto, è autentica. Gli addetti ai lavori la chiamano IBAN swapping e, secondo Cyberment, che è una fonte di settore e non istituzionale, rientra nel BEC nella variante detta «man in the mail». Il punto di forza di questa truffa è che la fattura è vera: l'importo è giusto, il lavoro descritto è quello svolto, la scadenza è quella concordata. Cambia soltanto la riga dell'IBAN, talvolta accompagnata da una spiegazione plausibile, come un cambio di banca o un conto provvisorio. Chi gestisce i pagamenti di solito controlla cifre e scadenze, non le coordinate di un fornitore che conosce da anni. Nell'ottobre 2026 la Polizia Postale del Veneto ha fatto recuperare oltre 53mila euro a un'azienda logistica del Veneziano, vittima proprio di una falsa mail commerciale con coordinate bancarie modificate.
Una voce al telefono può essere falsa?
Sì: con l’intelligenza artificiale una voce si può clonare e usare per chiedere un bonifico urgente a nome del titolare o di un dirigente. La Camera di Commercio di Aosta descrive la truffa del CEO con deepfake vocale, detto anche voice cloning: da brevi registrazioni reali di un dirigente si generano messaggi vocali sintetici che ne imitano la voce. Secondo la stessa fonte bastano circa 30 secondi di audio pubblico per replicare una voce: un intervento registrato, un video sui social o un’intervista online possono essere sufficienti. Il meccanismo sfrutta il social engineering, cioè la manipolazione psicologica che spinge a eseguire senza riflettere, giocando su urgenza e riservatezza: un’operazione da chiudere subito e da non dire a nessuno. In uno studio di poche persone, dove tutti riconoscono la voce del capo, è proprio la familiarità a far abbassare la guardia.
Quattro abitudini per riconoscere l'inganno prima di pagare
- Leggere l’indirizzo email per intero, non solo il nome del mittente, che si falsifica con facilità.
- Verificare fuori canale ogni cambio di IBAN o richiesta urgente, richiamando il numero già in rubrica e mai quello indicato nel messaggio.
- Stabilire una parola d’ordine aziendale da chiedere quando, al telefono, il titolare o un dirigente sollecita un pagamento.
- Prevedere la doppia autorizzazione: sopra una soglia decisa in anticipo, il bonifico parte solo con il via libera di due persone.
A queste abitudini conviene aggiungere l’autenticazione a due fattori sulla posta: oltre alla password serve un codice temporaneo, di solito inviato al telefono, e a chi ha rubato soltanto la password l’accesso diventa molto più difficile. Nessuna di queste misure, però, azzera il rischio: basta una giornata di fretta in ufficio e una mail costruita con cura perché un pagamento parta verso il conto sbagliato. Per questo vale la pena capire come ci si tutela anche sul piano assicurativo, sapendo che le condizioni dipendono sempre dalla singola polizza e vanno lette nel dettaglio. Se hai un’attività o uno studio professionale a Roma, in zona Aurelia, l’agenzia Piotto e Carones può rivedere con te le coperture che hai già e chiarire che cosa prevedono davanti a una mail falsa o a una voce clonata, prima di doverlo scoprire dopo un bonifico.