La contabile apre una mail dell'amministratore delegato. Tono secco: "Sto chiudendo un'acquisizione riservata, serve un bonifico di 38.000 euro entro oggi, non parlarne con nessuno, ti mando io l'IBAN." Pochi minuti dopo squilla il telefono: è "lui", voce sicura, conferma l'urgenza. Lei esegue. Il giorno dopo scopre che l'amministratore non ha mai scritto né chiamato. I soldi sono già spariti all'estero, spezzettati su conti impossibili da inseguire.
Questa è la CEO fraud, una delle frodi più redditizie verso le aziende. Insieme alla truffa del finto fornitore che cambia IBAN, fa parte della famiglia BEC (Business Email Compromise), che intreccia email e telefonate per dirottare pagamenti. Colpisce le multinazionali ma soprattutto le PMI, dove le procedure di controllo sono più snelle. Sul piano legale è a tutti gli effetti il reato di truffa, previsto dall'articolo 640 del Codice Penale.
Quello che non ti dicono i corsi di sicurezza informatica è che qui il problema non è tecnologico. Non ti serve un antivirus migliore: la truffa entra da una mail e da una voce, non da un virus. È un problema di procedura, e si risolve con la procedura. Se me lo chiedi, di tutte le difese possibili una sola conta davvero: la richiamata su un numero che già conosci prima di muovere un euro. Formazione, soglie e parole d'ordine la rinforzano, ma senza quella richiamata non regge niente.
CEO fraud: il finto amministratore che ordina il bonifico
Il truffatore si finge una figura apicale: amministratore delegato, titolare, direttore finanziario. Contatta chi può disporre pagamenti, di solito amministrazione o tesoreria, e ordina un bonifico straordinario. Le leve psicologiche sono sempre le stesse.
- Autorità: l'ordine arriva "dall'alto" e mettere in dubbio il capo è scomodo.
- Urgenza: "entro oggi", "prima della chiusura", "la banca aspetta". Niente tempo per riflettere.
- Riservatezza: "operazione confidenziale, non parlarne con nessuno". Serve a isolare la vittima dai colleghi che potrebbero smascherare il raggiro.
- Plausibilità: il truffatore studia l'azienda su sito, social e LinkedIn, conosce nomi, ruoli e tono interno.
Spesso l'attacco combina un'email molto somigliante a quella vera, con un dominio quasi identico, e una telefonata di conferma. La voce al telefono rende tutto più credibile. E qui entra in gioco un'arma recente.
Spoofing e clonazione vocale: perché la voce non basta più
Un tempo bastava "sentire la voce del capo" per stare tranquilli. Non più. I truffatori usano due tecniche che rendono inaffidabili sia il numero sia la voce.
Con lo spoofing, sul display compare il numero reale dell'amministratore o di un collega, falsificato. Sembra una chiamata interna, ma non lo è. Con la clonazione vocale tramite AI, pochi secondi di audio presi da un video, un webinar o un messaggio vocale bastano a generare una voce molto simile a quella imitata, che pronuncia frasi mai dette.
Per capire a fondo queste due tecniche, leggi gli approfondimenti sullo spoofing del numero chiamante e sulla clonazione vocale con l'AI nelle truffe telefoniche. La conseguenza pratica per l'azienda è una sola: numero e voce non sono più prove di identità. Serve un controllo che non passi dal canale con cui è arrivata la richiesta.
La truffa del finto fornitore e del cambio IBAN
L'altra grande frode colpisce il ciclo passivo. Il truffatore si inserisce nella relazione con un fornitore reale, spesso dopo aver compromesso una casella email.
- Aggancio: arriva una comunicazione, email a volte rinforzata da una chiamata, da quello che sembra un fornitore abituale.
- Annuncio del cambio: "abbiamo cambiato banca, da ora pagate sul nuovo IBAN". Tono normale, nessun allarme.
- Conferma telefonica: se l'azienda chiama per verificare, risponde un numero fornito dal truffatore stesso, che conferma il cambio.
- Dirottamento: la fattura successiva, magari di importo elevato e già attesa, viene pagata sull'IBAN dei truffatori.
- Scoperta tardiva: il fornitore vero reclama il pagamento. Solo allora emerge che i soldi sono finiti altrove.
Il punto debole sfruttato è la fiducia in una relazione consolidata e l'assenza di un controllo indipendente sul cambio delle coordinate bancarie. Nota il dettaglio che smaschera lo schema: il numero di conferma è quello scritto nella richiesta stessa. È come chiedere a un ladro se è onesto usando il biglietto da visita che ti ha dato lui.
Le difese che funzionano davvero
La buona notizia: queste frodi si fermano con procedure semplici, a costo quasi zero. Non servono software costosi, serve disciplina.
| Difesa | Come si applica |
|---|---|
| Callback su numero noto | Per ordini urgenti o cambi IBAN, si richiama la persona sul numero in rubrica, mai su quello fornito nella richiesta. È la difesa cardine |
| Doppia verifica (dual control) | Ogni bonifico sopra una certa soglia richiede l'approvazione di due persone distinte |
| Canale alternativo | Si conferma con un mezzo diverso da quello della richiesta: richiesta via email, conferma di persona o al telefono noto |
| Procedura scritta per il cambio IBAN | Nessuna modifica di coordinate senza verifica documentale e telefonica indipendente |
| Parola d'ordine interna | Una frase concordata per validare ordini fuori procedura, che la voce clonata non può conoscere |
| Formazione del personale | Chi gestisce i pagamenti conosce questi schemi e sa che può sempre dire "verifico prima" |
La regola madre è una: l'urgenza e la riservatezza non annullano mai la procedura, anzi la rendono più necessaria. Un amministratore vero non si offende se la sua richiesta viene verificata; un truffatore conta proprio sul fatto che nessuno controlli. Se in azienda passa il messaggio che verificare è segno di sfiducia, hai già perso.
Checklist anti-frode per la tua azienda
- Imposta un callback obbligatorio per qualsiasi ordine urgente o cambio IBAN, sul numero che già conosci: è la voce più importante di questo elenco.
- Fissa una soglia di doppia firma per i bonifici oltre un certo importo, senza eccezioni.
- Vieta i cambi IBAN su semplice email o telefonata: ogni modifica passa per una verifica indipendente sul numero ufficiale del fornitore.
- Diffida di urgenza più riservatezza insieme: è la firma della CEO fraud.
- Limita le informazioni pubbliche su ruoli, gerarchie e processi di pagamento esposti su sito e social.
- Verifica i numeri sospetti su numerosospetto.it quando ricevi chiamate anomale legate a pagamenti.
- Definisci in anticipo chi chiamare (banca, IT, responsabile) se scatta un sospetto, così non si perde tempo prezioso.
Cosa fare se il bonifico è già partito
- Contatta immediatamente la banca per tentare il richiamo (recall) dei fondi: i primi minuti sono decisivi, soprattutto con i bonifici istantanei.
- Blocca le operazioni in corso e verifica che non ci siano altri pagamenti in coda verso lo stesso IBAN.
- Raccogli tutte le prove: email, intestazioni, numeri, registri delle chiamate, ordini di bonifico.
- Sporgi denuncia alla Polizia Postale, anche tramite il portale del Commissariato di PS online.
- Coinvolgi l'IT: verifica se una casella email aziendale o del fornitore è stata compromessa e cambia le credenziali.
- Avvisa il fornitore vero e gli altri reparti, per evitare ulteriori pagamenti dirottati.
Sul versante bancario, le possibilità di recupero dipendono molto dalla rapidità e dal tipo di operazione. Approfondisci nell'articolo su come recuperare i soldi dopo un bonifico istantaneo finito in una truffa, dove spieghiamo richiamo dei fondi, reclamo alla banca e ruolo dell'ABF.
Domande frequenti sulle frodi telefoniche verso le aziende
La CEO fraud colpisce solo le grandi aziende?
No, anzi. Le PMI sono spesso bersagli preferiti perché hanno procedure di controllo più snelle e poche persone che gestiscono i pagamenti. Bastano una mail credibile e una telefonata di conferma per convincere chi non ha una procedura di verifica obbligatoria.
Se vedo il numero del mio capo sul display, posso fidarmi?
No. Con lo spoofing il numero visualizzato si può falsificare e mostrare quello reale dell'amministratore o di un collega. Allo stesso modo la voce può essere clonata con l'AI. Verifica sempre richiamando tu la persona sul numero che hai in rubrica, mai su quello da cui è arrivata la richiesta.
Come gestiamo in sicurezza il cambio di IBAN di un fornitore?
Mai accettare un cambio di coordinate solo via email o telefono. Applica una procedura scritta: conferma documentale del fornitore e verifica telefonica indipendente su un numero che già conosci, non su quello indicato nella comunicazione del cambio. Finché non hai confermato, continua a pagare sul vecchio IBAN.
Cos'è la parola d'ordine interna e perché aiuta?
È una frase concordata in azienda per validare ordini di pagamento fuori dalle procedure standard. Un truffatore, anche con voce clonata e numero falsificato, non può conoscerla. Se chi ordina un bonifico urgente non sa ripetere la parola d'ordine, la richiesta si blocca.
Quanto è urgente avvisare la banca dopo un pagamento sospetto?
Moltissimo. Il margine per tentare il richiamo dei fondi si misura spesso in minuti, perché i truffatori svuotano subito il conto ricevente. Appena hai il dubbio, chiama la banca e attiva il recall, poi raccogli le prove e sporgi denuncia. Non aspettare di avere la certezza assoluta.
In sintesi
CEO fraud e cambio IBAN non sono attacchi informatici, sono attacchi alle tue procedure: entrano da una mail credibile e da una voce che ormai si clona, non da un virus. La difesa vera non è un software, è un'abitudine imposta a tutti senza eccezioni: prima di muovere denaro urgente o cambiare un IBAN, richiami la persona sul numero che già conosci. Chi mette al primo posto quel callback ferma quasi sempre la truffa; chi si fida di numero e voce, prima o poi paga.