Truffa del CEO e BEC: come difendersi dai falsi IBAN

Una mail del fornitore abituale comunica che le coordinate bancarie sono cambiate. Oppure il titolare, in viaggio, chiede all'amministrazione un bonifico urgente e riservato. Nessun virus, nessun allegato sospetto: solo un messaggio credibile che porta un pagamento sul conto sbagliato. È la Business Email Compromise, una delle frodi più insidiose per le aziende di ogni dimensione.

Cos'è la Business Email Compromise (BEC)

Con BEC si indica una famiglia di truffe in cui il criminale sfrutta la posta elettronica per spacciarsi per una persona di fiducia e ottenere un pagamento o informazioni riservate. Le varianti più comuni sono:

• truffa del CEO: il finto titolare o direttore chiede un bonifico urgente, spesso legato a un'operazione "confidenziale";
• falso fornitore o falso IBAN: una fattura reale, o una comunicazione su una fattura reale, arriva con coordinate bancarie modificate;
• finto avvocato o consulente: un professionista inesistente sollecita un pagamento legato a una pratica delicata;
• richiesta di dati: buste paga, dati dei dipendenti o elenchi clienti richiesti da un falso responsabile.

Come fanno a essere così credibili

La forza della BEC è che spesso non c'è nulla di tecnicamente "sbagliato" nel messaggio. I criminali usano diverse tecniche:

• casella compromessa: rubano la password di un dipendente o di un fornitore e scrivono dalla casella vera, inserendosi in conversazioni reali;
• domini simili: registrano un dominio che differisce per una lettera da quello autentico;
• nome visualizzato falsificato: il nome mostrato è quello giusto, l'indirizzo reale no;
• studio preliminare: raccolgono informazioni da sito web, social e firme email per conoscere ruoli, fornitori e abitudini;
• pressione psicologica: urgenza, riservatezza, autorità ("non parlarne con nessuno, ti spiego dopo").

I segnali d'allarme da riconoscere

• richiesta di cambiare IBAN, soprattutto verso un conto estero o intestato a un soggetto diverso;
• urgenza insolita e richiesta di saltare le procedure abituali;
• invito alla riservatezza, anche verso i colleghi;
• mittente che non risponde al telefono o propone di sentirsi solo via mail o chat;
• piccole differenze nell'indirizzo email o nello stile di scrittura;
• richieste che arrivano in momenti in cui il presunto mittente è in ferie o in viaggio.

Le procedure di verifica che funzionano

La difesa più efficace contro la BEC è organizzativa. Alcune regole semplici, scritte e condivise:

1. Verifica fuori banda: ogni variazione di coordinate bancarie si conferma con una telefonata a un numero già presente in anagrafica, mai a quello indicato nella mail sospetta.
2. Doppia autorizzazione: i bonifici sopra una certa soglia, o verso beneficiari nuovi, richiedono l'approvazione di due persone.
3. Nessuna eccezione per urgenza: la procedura vale anche quando chi chiede è il titolare. Il titolare stesso deve sostenerla pubblicamente.
4. Anagrafica fornitori protetta: la modifica dell'IBAN è un'operazione tracciata, eseguita solo da persone autorizzate e dopo verifica.
5. Canale per segnalare dubbi: chi riceve una richiesta strana deve sapere a chi rivolgersi, senza timore di sembrare diffidente.

Le difese tecniche di supporto

Le procedure vanno affiancate da misure tecniche che riducono le probabilità di successo:

• autenticazione a due fattori su tutte le caselle, per rendere più difficile la compromissione degli account (qui una guida all'MFA);
• configurazione corretta di SPF, DKIM e DMARC, che aiuta a bloccare messaggi che falsificano il dominio aziendale;
• avvisi per mittenti esterni e per domini simili al proprio;
• monitoraggio delle regole di inoltro e degli accessi anomali alle caselle, segnali tipici di un account compromesso.

Cosa fare se il bonifico è già partito

Il tempo è decisivo. Contattare subito la propria banca chiedendo il richiamo del bonifico, sporgere denuncia alla Polizia Postale, mettere in sicurezza la casella coinvolta cambiando password e verificando regole e accessi. Se sono coinvolti dati personali, valutare con il consulente privacy se si tratta di una violazione da notificare al Garante entro 72 ore, come previsto dall'art. 33 del GDPR.

La formazione dei dipendenti, soprattutto in amministrazione, è il complemento naturale di queste procedure.

Come può aiutarti Area GUI

Area GUI aiuta le aziende a mettere in sicurezza la posta elettronica, con autenticazione a più fattori, configurazione di SPF, DKIM e DMARC e monitoraggio degli accessi anomali. Scopri i servizi di posta e archiviazione e di Security Awareness, oppure contattaci per una verifica.