Venerdì pomeriggio arriva una mail dal titolare: «Sono in riunione, non posso telefonare. Serve un bonifico urgente a questo fornitore entro oggi, è una trattativa riservata: non parlarne con nessuno». Oppure scrive un fornitore abituale: «Abbiamo cambiato banca, da questa fattura usate il nuovo IBAN». Il tono è credibile, la firma è quella giusta, a volte la mail arriva proprio dall'indirizzo vero.
È lo schema delle frodi via mail che la Polizia Postale descrive come Business Email Compromise o «man in the middle»: chi truffa entra o si finge dentro la corrispondenza dell'azienda e la sfrutta per dirottare un pagamento. Non serve un attacco sofisticato: basta che il bonifico parta senza un controllo.
Come funziona
Le varianti più comuni sono due:
- la falsa richiesta dall'interno: qualcuno si presenta come titolare o dirigente e chiede un pagamento urgente e riservato;
- il falso cambio di coordinate: un fornitore vero, o qualcuno che lo imita, comunica un nuovo IBAN su cui pagare le fatture in scadenza.
A volte la casella di posta di un'azienda (la vostra o quella del fornitore) è stata davvero violata: chi truffa legge le conversazioni, aspetta il momento giusto e scrive nel thread esistente. Per questo l'indirizzo corretto del mittente non basta a fidarsi.
I segnali da riconoscere
Presi da soli sono normali. Insieme, sono il motivo per fermarsi:
- urgenza: «entro oggi», «subito», spesso a fine giornata o prima del weekend;
- riservatezza: «non parlarne», «trattativa delicata», niente telefonate;
- coordinate nuove: un IBAN diverso dal solito, magari intestato a un nome leggermente diverso o in un altro Paese;
- canale bloccato: chi scrive non è raggiungibile al telefono proprio adesso;
- piccole stonature: un dominio con una lettera diversa, un tono insolito, una firma senza numero.
La procedura che ferma la frode
La difesa più efficace non è tecnologica: è una regola che vale sempre.
- Verifica su un altro canale. Ogni richiesta di pagamento insolita e ogni cambio di IBAN si conferma con una telefonata a un numero già in vostro possesso: rubrica, contratto, fatture precedenti. Mai il numero scritto nella mail che chiede il pagamento.
- Doppia autorizzazione. Sopra una certa soglia, o per ogni nuovo beneficiario, il bonifico richiede l'ok di due persone.
- Il cambio IBAN è un evento. Si registra in anagrafica solo dopo la verifica, con data e nome di chi l'ha fatta.
- Nessuna eccezione. La regola vale anche per il titolare. Va detto esplicitamente al personale: nessuno verrà rimproverato per aver chiamato a verificare.
Proteggere anche la posta
Tra i consigli della Polizia Postale: cambiare spesso le password, controllare che non siano state aggiunte regole di inoltro automatico nella casella, attivare l'autenticazione a due fattori, tenere aggiornati sistemi e antivirus e formare chi si occupa dei pagamenti. Le regole di inoltro nascoste sono uno dei segnali tipici di una casella violata. Per un quadro più ampio trovi anche il nostro articolo sulle minacce informatiche più comuni per le PMI.
Se il bonifico è già partito
Conta il tempo. Chiamate subito la banca per chiedere il richiamo del bonifico, denunciate l'accaduto alla Polizia Postale e conservate mail e intestazioni senza cancellare nulla. Avvisate il fornitore vero e controllate la vostra casella: se è stata violata, password e regole vanno cambiate subito.
Domande frequenti
Se la mail arriva dall'indirizzo giusto, posso fidarmi?
No. Se la casella del mittente è stata violata, la mail arriva proprio dall'indirizzo vero. Per i pagamenti conta la verifica su un altro canale, non il mittente.
Una PEC basta come conferma del cambio IBAN?
Aiuta, ma anche una casella PEC può essere compromessa. La conferma più solida resta una telefonata a un numero già noto.
Succede solo alle aziende grandi?
No. Le piccole imprese sono spesso più esposte perché i pagamenti passano per poche persone e i controlli sono informali.
Il passo pratico: scrivete oggi la regola in tre righe (verifica su un altro canale, doppia autorizzazione, nessuna eccezione) e condividetela con chi fa i pagamenti. È il controllo più economico che possiate introdurre.
