Truffe on line: il rischio invisibile dietro un semplice bonifico
Dal momento che le truffe online continuano a proliferare sotto forme sempre nuove, con l’augurio che venga messo a punto un sistema capace di prevenirle efficacemente, riportiamo un episodio accaduto qualche tempo fa in una laboriosa città lombarda.
Siamo in un’azienda dove il direttore è in contatto online con un fornitore per definire il pagamento di una fornitura di materiale. Raggiunto l’accordo, resta soltanto da formalizzarlo mediante bonifico bancario. Il fornitore comunica quindi il proprio codice IBAN e l’azienda provvede a effettuare il pagamento.
Passa qualche tempo e il fornitore chiede notizie del bonifico. L’azienda risponde di averlo regolarmente eseguito. Chi mente? Nessuno dei due.
Nel momento in cui il fornitore aveva trasmesso il proprio IBAN, un truffatore si era inserito nella comunicazione sostituendo il codice con quello di un conto sotto il suo controllo. Il bonifico era quindi stato accreditato al criminale, che aveva incassato l’intero importo.
Fantascienza? Tutt’altro. Si tratta di una delle più insidiose truffe informatiche che colpiscono aziende e professionisti, sfruttando la fiducia tra le parti e la vulnerabilità delle comunicazioni elettroniche.
Il fenomeno sopra descritto corrisponde a una truffa informatica ben nota, spesso chiamata Business Email Compromise (BEC) o frode dell’IBAN.
In questi casi il truffatore non necessariamente interrompe la comunicazione tra cliente e fornitore.
Può invece:
– compromettere la casella email di una delle due parti;
– intercettare le comunicazioni;
– modificare un allegato o un messaggio contenente le coordinate bancarie;
– inviare una falsa email apparentemente proveniente dal fornitore con un IBAN diverso.
Il risultato è esattamente quello che racconta l’esempio: l’azienda paga in buona fede, il fornitore non riceve nulla e, quando chiede spiegazioni, emerge che nessuno dei due ha agito in malafede. Il denaro è finito sul conto controllato dai criminali.
Va precisato che la sostituzione dell’IBAN “in diretta” durante una comunicazione online è tecnicamente possibile ma meno frequente. Nella maggior parte dei casi i criminali ottengono l’accesso a una casella email e monitorano gli scambi per settimane, intervenendo nel momento opportuno con istruzioni di pagamento contraffatte.
Per ridurre il rischio, molte aziende adottano una regola semplice: ogni variazione delle coordinate bancarie deve essere verificata telefonicamente tramite un numero già noto e non attraverso i recapiti contenuti nella comunicazione ricevuta.
Siamo in un’azienda dove il direttore è in contatto online con un fornitore per definire il pagamento di una fornitura di materiale. Raggiunto l’accordo, resta soltanto da formalizzarlo mediante bonifico bancario. Il fornitore comunica quindi il proprio codice IBAN e l’azienda provvede a effettuare il pagamento.
Passa qualche tempo e il fornitore chiede notizie del bonifico. L’azienda risponde di averlo regolarmente eseguito. Chi mente? Nessuno dei due.
Nel momento in cui il fornitore aveva trasmesso il proprio IBAN, un truffatore si era inserito nella comunicazione sostituendo il codice con quello di un conto sotto il suo controllo. Il bonifico era quindi stato accreditato al criminale, che aveva incassato l’intero importo.
Fantascienza? Tutt’altro. Si tratta di una delle più insidiose truffe informatiche che colpiscono aziende e professionisti, sfruttando la fiducia tra le parti e la vulnerabilità delle comunicazioni elettroniche.
Il fenomeno sopra descritto corrisponde a una truffa informatica ben nota, spesso chiamata Business Email Compromise (BEC) o frode dell’IBAN.
In questi casi il truffatore non necessariamente interrompe la comunicazione tra cliente e fornitore.
Può invece:
– compromettere la casella email di una delle due parti;
– intercettare le comunicazioni;
– modificare un allegato o un messaggio contenente le coordinate bancarie;
– inviare una falsa email apparentemente proveniente dal fornitore con un IBAN diverso.
Il risultato è esattamente quello che racconta l’esempio: l’azienda paga in buona fede, il fornitore non riceve nulla e, quando chiede spiegazioni, emerge che nessuno dei due ha agito in malafede. Il denaro è finito sul conto controllato dai criminali.
Va precisato che la sostituzione dell’IBAN “in diretta” durante una comunicazione online è tecnicamente possibile ma meno frequente. Nella maggior parte dei casi i criminali ottengono l’accesso a una casella email e monitorano gli scambi per settimane, intervenendo nel momento opportuno con istruzioni di pagamento contraffatte.
Per ridurre il rischio, molte aziende adottano una regola semplice: ogni variazione delle coordinate bancarie deve essere verificata telefonicamente tramite un numero già noto e non attraverso i recapiti contenuti nella comunicazione ricevuta.
Giugno 2026
Ferdinando Raffero
Presidente Associazione Controllo del Vicinato ACdV – OdV