È la truffa informatica che in Italia fa i danni economici più grossi alle piccole e medie imprese, e quasi nessuno ne parla perché chi la subisce preferisce non raccontarlo. Il meccanismo è semplice: ricevi la fattura di un fornitore con cui lavori da anni, tutto è corretto tranne l'IBAN. Paghi. I soldi finiscono altrove e non tornano.
Come ci arrivano
Il presupposto è che qualcuno stia leggendo la corrispondenza. Di solito perché una casella email — tua o del fornitore — è stata compromessa, spesso con un phishing avvenuto settimane prima.
Da quel momento l'attaccante osserva in silenzio. Impara chi sono i fornitori, quanto si fattura, con che cadenza, come si scrivono le persone, quali formule usano. Aspetta la fattura importante. Poi agisce in uno di questi modi:
- Intercetta la mail vera, la elimina dalla tua casella, sostituisce il PDF con uno identico ma con IBAN diverso e la reinvia.
- Scrive dal dominio del fornitore se è la sua casella a essere compromessa. In questo caso la mail è autentica al 100%, mittente incluso.
- Registra un dominio quasi identico: rossimpianti.it diventa rossiimpianti.it o rossimpiantì.it. A colpo d'occhio non si distingue.
Spesso arriva anche una mail di accompagnamento credibile: "abbiamo cambiato banca", "il vecchio conto è temporaneamente bloccato per una verifica antiriciclaggio".
Perché i soldi non tornano
Il bonifico è stato autorizzato da te, con le tue credenziali, verso un conto reale. Non c'è nessuna operazione fraudolenta da disconoscere: dal punto di vista della banca è un pagamento regolare. Il conto di destinazione è quasi sempre un "conto mulo", intestato a un prestanome, e viene svuotato entro poche ore.
L'unica finestra utile è immediata: se ci si accorge entro poche ore, la banca può tentare il richiamo del bonifico. Passato un giorno, le probabilità crollano.
La procedura che ferma la truffa
Non serve tecnologia, serve una regola aziendale scritta e rispettata da tutti.
- Qualunque variazione di IBAN si verifica per telefono, chiamando il fornitore al numero che hai in rubrica da prima, mai a quello scritto nella mail o nella fattura.
- Non rispondere alla mail per chiedere conferma: se la casella è compromessa, a rispondere è il truffatore.
- Doppia firma sopra una soglia: i bonifici oltre un certo importo richiedono l'approvazione di due persone diverse.
- Anagrafica fornitori bloccata: l'IBAN sta nel gestionale e si modifica solo con una procedura tracciata, non si copia dalla mail di turno.
- Controlla il dominio del mittente carattere per carattere, soprattutto sulle mail che parlano di pagamenti. Le lettere raddoppiate e le sostituzioni rn/m sono le più usate.
Le difese tecniche che aiutano
- Autenticazione a due fattori su tutte le caselle di posta: è la misura che chiude l'ingresso principale. Non è opzionale.
- SPF, DKIM e DMARC configurati sul tuo dominio: rendono molto più difficile a un terzo spedire mail a nome tuo.
- Regola di allerta sui messaggi provenienti da domini esterni simili ai tuoi o a quelli dei fornitori abituali.
- Controllo periodico delle regole di inoltro nelle caselle aziendali: gli attaccanti ne creano una che inoltra tutto a un indirizzo esterno e la nascondono. È il primo posto da guardare in caso di sospetto.
Se è già successo
- Chiama la banca immediatamente e chiedi il richiamo del bonifico. Conta ogni minuto.
- Avvisa il fornitore per telefono: potrebbe essere la sua casella a essere compromessa e ci sono probabilmente altri clienti sotto attacco.
- Cambia le password di tutte le caselle coinvolte e attiva la 2FA.
- Cerca le regole di inoltro nascoste e le sessioni attive sospette.
- Denuncia alla Polizia Postale allegando mail complete di intestazioni tecniche, fatture e contabile del bonifico.
- Conserva tutto: le intestazioni delle mail sono la prova principale e vanno estratte prima che qualcuno cancelli qualcosa.
Conclusione
Questa truffa non sfrutta un difetto dei computer, sfrutta un difetto dei processi: pagare quello che c'è scritto nella mail. Una telefonata di trenta secondi prima di ogni cambio di IBAN vale più di qualunque antivirus. Se vuoi capire se le vostre caselle di posta sono esposte, o mettere in ordine SPF, DKIM e DMARC del dominio aziendale, possiamo verificarlo insieme.