In breve
Secondo CSIRT Italia i truffatori leggono la posta compromessa e si inseriscono in conversazioni vere chiedendo il pagamento su un nuovo IBAN.
Ogni cambio di IBAN e ogni pagamento urgente va confermato su un canale diverso, chiamando un numero già noto.
Separazione dei compiti e doppia firma oltre una soglia impediscono che una sola persona cambi un IBAN e lo paghi.
SPF, DKIM e DMARC proteggono il tuo dominio esatto, non i domini simili: servono anche MFA e formazione.
Se il bonifico è partito chiama subito la banca e denuncia: il richiamo è possibile solo entro i giorni di valuta.
Il 17 febbraio 2026 CSIRT Italia, il team di risposta agli incidenti dell'Agenzia per la Cybersicurezza Nazionale (ACN), ha diffuso un bollettino su una campagna di Business Email Compromise rivolta a organizzazioni in Italia: caselle di posta aziendali compromesse, domini quasi identici a quelli reali e richieste di pagamento con un IBAN nuovo. A marzo la Polizia Postale ha pubblicato un alert sulla stessa dinamica vista dal lato dei fornitori, con email alterate in cui l'IBAN legittimo viene sostituito da quello dei truffatori.
Sono due avvisi diversi che descrivono lo stesso rischio: una persona dell'amministrazione, in buona fede, fa partire un bonifico verso un conto controllato da criminali. Succede quando l'email sembra arrivare dal titolare, dal direttore o da un fornitore abituale. In questa guida trovi cosa dicono le fonti ufficiali, i segnali da riconoscere, la procedura di doppia verifica da adottare per cambi IBAN e pagamenti urgenti, come configurare la posta e cosa fare subito se il bonifico è già partito.
Cosa hanno segnalato ACN e Polizia Postale?
Le autorità descrivono due varianti principali della stessa frode. Nella prima i truffatori si fingono un vertice dell'azienda e chiedono un pagamento. Nella seconda si inseriscono in una conversazione reale con un cliente o un fornitore e cambiano le coordinate bancarie. In entrambi i casi non c'è un virus che svuota il conto: è una persona autorizzata a pagare che viene convinta a farlo.
Il whaling, la "truffa del CEO"
Già nel gennaio 2023 CSIRT Italia aveva segnalato una campagna di "Whaling Phishing" (bollettino BL01/230117/CSIRT-ITA) che coinvolgeva anche organizzazioni italiane. Secondo l'ACN il whaling, noto anche come CEO Fraud, usa tecniche di ingegneria sociale per colpire i vertici di un'organizzazione o chi ha poteri decisionali o di spesa, impersonando mittenti credibili per far autorizzare transazioni economiche illegittime.
Il bollettino descriveva email che impersonavano un mittente reale e noto alla vittima, usavano il nome reale del destinatario e avevano una firma che simulava quella inviata da uno smartphone, tipica di chi è in viaggio. La raccomandazione dell'ACN era di fare campagne di awareness verso il personale, in particolare verso i ruoli apicali.
Il thread hijacking: la conversazione vera, l'IBAN falso
Il bollettino del 17 febbraio 2026 (BL01/260217/CSIRT-ITA) segnala la ripresa di una campagna già trattata a dicembre 2025. Secondo CSIRT Italia gli attaccanti rubano le credenziali della posta con una pagina di login falsa, che chiede anche il codice OTP. Poi non agiscono subito: leggono la posta per individuare scambi commerciali in corso.
A quel punto registrano un dominio molto simile a quello dell'azienda, con caratteri facilmente confondibili, e si inseriscono nella conversazione con un cliente. Chiedono il saldo di una fattura apparentemente in sospeso, indicando un nuovo IBAN. Il contesto è vero, i riferimenti sono veri: per chi riceve l'email è difficile accorgersi del cambio.
L'alert della Polizia Postale sul "man in the middle"
Il 27 marzo 2026 la Polizia Postale ha descritto la frode "man in the middle" su email aziendali: il truffatore si inserisce nelle comunicazioni tra azienda e fornitore e sostituisce l'IBAN con uno proprio. Secondo l'alert i messaggi falsi sono quasi identici agli originali e spesso sollecitano un pagamento urgente, giustificato con problemi amministrativi, aggiornamenti contabili o un cambio di banca.
In una precedente comunicazione del settembre 2025, la Polizia Postale riassumeva le due varianti: l'IBAN diverso inserito nella corrispondenza con un partner commerciale, oppure false email interne che sembrano arrivare dall'amministratore delegato o dal direttore finanziario e ordinano a un dipendente di pagare.
Perché riguarda anche le PMI, soprattutto a fine anno?
Riguarda le PMI perché la frode non ha bisogno di grandi sistemi da attaccare: basta una casella di posta e una persona che può disporre pagamenti. Nelle aziende piccole spesso la stessa persona riceve le fatture, aggiorna l'anagrafica fornitori e carica i bonifici, e il titolare autorizza da remoto. È proprio la catena corta che il truffatore sfrutta.
I dati ufficiali confermano che il bonifico è lo strumento più esposto a questo tipo di inganno. Nel rapporto della Banca d'Italia sul secondo semestre 2025, pubblicato a luglio 2026, le frodi da "manipolazione del pagatore", in cui il titolare viene indotto in buona fede a pagare un conto fraudolento, sono la tipologia prevalente nei bonifici: il 72% in valore e il 58% in numero. Il rapporto osserva anche che i bonifici sono usati per pagamenti di importo elevato, anche tra imprese.
La fine dell'anno aggiunge pressione. Si chiudono contratti, si saldano fatture prima della chiusura dei conti, si anticipano pagamenti prima delle ferie e spesso chi autorizza è fuori ufficio. Urgenza e assenze sono esattamente le leve che le autorità indicano come tipiche di queste truffe.
Come riconoscere una richiesta di bonifico fraudolenta?
La truffa del CEO si riconosce più dal tipo di richiesta che dalla qualità dell'email. Gli avvisi di ACN e Polizia Postale mostrano messaggi ben scritti, nella lingua giusta, con nomi e firme reali. Per questo conviene allenare l'occhio su segnali di comportamento, non su errori di grammatica.
I segnali da prendere sul serio:
Urgenza e riservatezza: "va fatto oggi", "non parlarne con nessuno", "sono in riunione, non chiamarmi".
Una procedura diversa dal solito: un pagamento fuori dal flusso abituale, senza ordine o fattura registrata, o con un'approvazione saltata.
Un cambio di IBAN: nuovo conto "per cambio banca", "per problemi amministrativi" o "per aggiornamento contabile", soprattutto se il conto è all'estero o intestato a un nome diverso.
Un mittente quasi giusto: una lettera in più, un trattino, un dominio diverso dal solito. La Polizia Postale invita a controllare gli indirizzi, che possono presentare piccole variazioni difficili da notare.
Un canale che si chiude: il mittente evita la telefonata, chiede di rispondere solo via email o passa a un numero mai usato prima.
Una conversazione vera con un dettaglio nuovo: nel thread hijacking lo scambio è autentico, cambia solo la richiesta finale.
Nessuno di questi segnali, da solo, prova la frode. Ma ognuno è un buon motivo per fermarsi e fare la verifica descritta nella sezione successiva.
La doppia verifica fuori canale: la regola che ferma molti tentativi
La difesa più efficace indicata dalle autorità è semplice: ogni richiesta di cambio IBAN o di pagamento insolito va confermata su un canale diverso da quello da cui è arrivata. L'ACN parla di verifica "fuori banda", per esempio con una telefonata a un numero già noto, anche quando la richiesta sembra arrivare da un interlocutore fidato. La Polizia Postale indica la telefonata a un numero già noto, la PEC ufficiale o un contatto verificato.
Per i cambi di IBAN dei fornitori
Scrivi una regola semplice: nessun IBAN cambia in anagrafica sulla base di una sola email. Chi riceve la richiesta chiama il fornitore al numero già presente in anagrafica o nel contratto, mai a quello indicato nel messaggio. Chiede conferma del nuovo IBAN e dell'intestatario e annota data, ora e nome di chi ha confermato.
Conviene che la modifica in anagrafica la faccia una persona diversa da chi carica i bonifici, e che il primo pagamento sul nuovo IBAN venga segnalato a chi autorizza. Il tema si collega alla valutazione dei fornitori: concordare per contratto come si comunicano i cambi di coordinate rende la verifica più rapida per entrambi.
Per i pagamenti urgenti "dal titolare"
Il titolare o il direttore deve dire per primo, a tutti, che non chiederà mai un bonifico urgente e riservato solo via email o chat. Così chi riceve la richiesta non deve scegliere tra fidarsi e disobbedire: segue una regola già annunciata. La conferma si fa chiamando il numero personale già in rubrica, non rispondendo al messaggio.
Se il titolare è davvero irraggiungibile, il pagamento aspetta. Qualche ora di verifica raramente compromette un rapporto commerciale, mentre un bonifico verso un conto fraudolento può essere difficile da recuperare.
La verifica nome-IBAN della banca aiuta, non sostituisce
Dal 9 ottobre 2025, come ricorda la Banca d'Italia, banche e Poste devono verificare la corrispondenza tra nome e IBAN del beneficiario per i bonifici ordinari e istantanei, avvisando chi paga se i dati non coincidono. È un aiuto concreto: se compare un avviso di mancata corrispondenza, fermati e verifica. Non sostituisce però la telefonata al fornitore, che resta il controllo principale.
Separazione dei compiti e soglie di autorizzazione
La seconda difesa è organizzativa: fare in modo che una sola persona non possa, da sola, cambiare un IBAN e pagarlo. Non serve una struttura grande; serve dividere i passaggi chiave e fissare soglie oltre le quali un secondo sguardo è obbligatorio.
Un esempio di schema per una PMI, da adattare a volumi e organizzazione:
Operazione | Chi la prepara | Chi la approva | Verifica fuori canale |
|---|---|---|---|
Nuovo fornitore o cambio IBAN | Amministrazione | Responsabile amministrativo | Sempre, al numero già in anagrafica |
Pagamento ordinario sotto soglia | Amministrazione | Firma singola sul portale banca | Solo se l'IBAN è nuovo |
Pagamento sopra soglia | Amministrazione | Doppia firma sul portale banca | Se l'IBAN è nuovo o la richiesta è insolita |
Pagamento urgente fuori procedura | Nessuno senza conferma | Titolare, confermato a voce | Sempre |
La soglia la decide l'azienda in base ai propri importi abituali. Molti portali bancari per le imprese consentono di impostare la doppia firma e i profili di autorizzazione: vale la pena chiedere alla propria banca cosa è disponibile. Le regole vanno scritte, spiegate e rispettate anche quando chi chiede è il titolare.
SPF, DKIM e DMARC spiegati semplici
Queste tre sigle sono le impostazioni che dicono al mondo quali email partono davvero dal tuo dominio. Ad aprile 2026 l'ACN ha pubblicato linee guida dedicate alla configurazione della posta per l'autenticazione del mittente, con l'obiettivo di contrastare spoofing, phishing e manomissione dei messaggi.
In parole semplici:
SPF è l'elenco dei server autorizzati a spedire posta per il tuo dominio. Secondo l'ACN, da solo non basta a contrastare lo spoofing, perché controlla un indirizzo tecnico e non quello che il destinatario vede come mittente.
DKIM è una firma digitale apposta su ogni messaggio: chi riceve controlla che l'email venga dal tuo dominio e non sia stata modificata.
DMARC collega i due controlli all'indirizzo visibile e dice ai server di chi riceve cosa fare con le email che non li superano: nessuna indicazione (none), trattarle come sospette (quarantine) o rifiutarle (reject). Permette anche di ricevere report periodici su chi sta usando il tuo dominio.
L'ACN raccomanda di implementare i tre protocolli insieme. Chiedi a chi gestisce la tua posta o il tuo dominio di verificare la configurazione e di portare DMARC, per gradi, verso una politica che blocchi i messaggi falsi.
Un limite da conoscere: queste impostazioni proteggono il tuo dominio esatto. Non impediscono a un truffatore di registrare un dominio simile, come descritto nel bollettino di febbraio. Per questo servono anche l'autenticazione a più fattori sulle caselle, che l'ACN chiede di rendere obbligatoria, il controllo delle regole di inoltro automatico e la verifica fuori canale. Le altre misure di base sono nella guida alle misure minime di cybersecurity per le PMI.
Formazione: allenare chi paga a dire "prima verifico"
Le autorità mettono la formazione tra le prime misure: l'ACN raccomanda campagne di awareness, in particolare per i ruoli apicali, e formazione periodica per riconoscere il phishing. La formazione utile, qui, non è un corso generico sulla sicurezza: è un allenamento mirato per chi riceve fatture, gestisce l'anagrafica e carica i pagamenti, e per chi li autorizza.
Cosa funziona, in pratica:
Esempi realistici e anonimi: mostrare email del tipo descritto negli avvisi, con un IBAN cambiato o una richiesta urgente del "titolare".
Una frase da usare: "Ti richiamo al solito numero per conferma". Rende normale la verifica, anche verso un superiore.
Nessuna colpa per chi segnala: chi blocca un pagamento legittimo per verificarlo ha fatto la cosa giusta.
Ripetizione prima dei periodi critici: un promemoria breve prima della chiusura d'anno e delle ferie.
Se lavori con ISO 27001, questa formazione rientra nei requisiti su competenza e consapevolezza: trovi come pianificarla e documentarla nella guida su competenza, formazione e consapevolezza.
Il bonifico è partito: cosa fare subito
Se ti accorgi che un pagamento è andato a un conto fraudolento, conta il tempo. La Polizia Postale ricorda che il richiamo del bonifico è possibile solo entro i giorni di valuta, e la Banca d'Italia precisa che un bonifico istantaneo, una volta eseguito, non può essere revocato. Agire in fretta aumenta le possibilità di recupero, ma non le garantisce.
Chiama subito la tua banca, non limitarti a un messaggio: chiedi di bloccare o richiamare il bonifico e fatti dire quali dati servono.
Denuncia alla Polizia Postale nel più breve tempo possibile; puoi segnalare anche tramite il Commissariato di PS Online. Porta email, fatture e ricevute del bonifico.
Conserva le prove: non cancellare le email, non rispondere al truffatore, salva i messaggi così come sono.
Metti in sicurezza la posta: cambia la password delle caselle coinvolte, attiva l'autenticazione a più fattori, controlla regole di inoltro e accessi recenti con chi gestisce l'IT.
Avvisa il fornitore o il cliente vero usando un contatto già noto: potrebbe ricevere anche lui email false.
Valuta se c'è un data breach: se i criminali hanno avuto accesso a una casella aziendale, possono aver letto dati personali.
Quando diventa anche un data breach
Se la frode è partita da una casella compromessa, il problema non è solo il bonifico. Le email contengono spesso dati di clienti, dipendenti e fornitori: un accesso non autorizzato può essere una violazione di dati personali ai sensi del GDPR. In quel caso va valutata la notifica al Garante entro 72 ore dal momento in cui ne vieni a conoscenza, salvo che il rischio per le persone sia improbabile, e l'evento va comunque documentato.
La valutazione dipende dal caso concreto e conviene farla con il DPO o il referente privacy. I passaggi, ora per ora, sono nella guida su cosa fare nelle prime 72 ore dopo un data breach. Se rientri tra i soggetti NIS2, verifica anche se l'incidente va notificato a CSIRT Italia.
Cosa fare nel medio periodo: portare i controlli dentro un sistema
Le regole su IBAN e pagamenti funzionano se restano in piedi anche quando cambiano le persone. È qui che un sistema di gestione della sicurezza delle informazioni come ISO 27001 aiuta: trasforma buone abitudini in controlli scritti, assegnati e verificati nel tempo.
Diversi controlli dell'Allegato A della norma toccano direttamente questo rischio: la separazione dei compiti (5.3), il trasferimento delle informazioni (5.14), la sicurezza nei rapporti con i fornitori (5.19), la preparazione alla gestione degli incidenti (5.24), la consapevolezza e formazione (6.3) e l'autenticazione sicura (8.5). Inserire la frode sui pagamenti nell'analisi dei rischi porta a scegliere questi controlli con criterio, non per elenco.
Nel medio periodo, i passi utili sono:
Procedura scritta per cambi IBAN e pagamenti urgenti, con la verifica fuori canale e la registrazione della conferma.
Profili di autorizzazione sul portale banca allineati alle soglie decise.
Clausole con i fornitori su come si comunicano i cambi di coordinate bancarie.
Configurazione email verificata: SPF, DKIM, DMARC, autenticazione a più fattori, controllo degli inoltri.
Una simulazione all'anno: un esercizio su una finta richiesta di cambio IBAN per vedere se la procedura regge.
Un piano di risposta con i contatti della banca, della Polizia Postale e del DPO pronti all'uso.
Come Complaion ti accompagna nella sicurezza delle informazioni
Complaion affianca le aziende con un Lead Auditor dedicato che segue l'organizzazione nel tempo e propone il percorso più adatto, dalla certificazione ISO 27001 all'adeguamento alla direttiva NIS2. L'audit interno è condotto dal Lead Auditor, che verifica come il sistema funziona davvero prima dell'audit di certificazione.
La piattaforma Complaion raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario e prepara l'audit. Completano l'offerta il penetration test delle applicazioni web (WAPT) e il DPO esternalizzato. Lavoriamo con oltre 1.000 clienti. Se vuoi capire da dove partire, contattaci.
Domande frequenti sulla truffa del CEO e sui falsi IBAN
Cos'è la truffa del CEO?
È una frode in cui un criminale si finge un vertice dell'azienda, o un suo consulente, per convincere chi può disporre pagamenti a fare un bonifico urgente. L'ACN la descrive come una forma di whaling che usa l'ingegneria sociale per far autorizzare transazioni economiche illegittime. Rientra nella più ampia famiglia del Business Email Compromise.
Che differenza c'è tra truffa del CEO e Business Email Compromise?
Il Business Email Compromise è la categoria generale: frodi che sfruttano la posta aziendale, compromessa o imitata, per ottenere pagamenti. La truffa del CEO è la variante in cui il truffatore si finge il titolare o un dirigente. L'altra variante frequente è il falso cambio IBAN di un fornitore o di un cliente.
Se l'email arriva dall'indirizzo vero del fornitore, posso fidarmi?
Non basta. Il bollettino ACN di febbraio 2026 descrive casi in cui i criminali avevano accesso alla casella vera e conoscevano la conversazione in corso. Per questo ogni cambio di IBAN va confermato su un canale diverso, chiamando un numero già noto.
SPF, DKIM e DMARC bastano a bloccare queste truffe?
No. Riducono la possibilità che qualcuno spedisca email false con il tuo dominio esatto, ma non bloccano domini simili né email inviate da caselle compromesse. Vanno abbinati ad autenticazione a più fattori, formazione e verifica fuori canale dei pagamenti.
Si può recuperare un bonifico fraudolento?
A volte sì, se si agisce molto in fretta. La Polizia Postale ricorda che il richiamo è possibile solo entro i giorni di valuta, e la Banca d'Italia precisa che un bonifico istantaneo eseguito non può essere revocato. Chiama subito la banca e sporgi denuncia senza aspettare.
Una truffa BEC va notificata al Garante privacy?
Dipende. Se il truffatore ha avuto accesso a caselle con dati personali, può trattarsi di un data breach da valutare: la notifica al Garante va fatta entro 72 ore, salvo che il rischio per le persone sia improbabile. Fai la valutazione con il DPO e documenta comunque l'evento.
ISO 27001 protegge dalla truffa del CEO?
Nessuna norma elimina il rischio. ISO 27001 aiuta a ridurlo perché chiede di analizzare i rischi e di applicare controlli come separazione dei compiti, sicurezza nei rapporti con i fornitori, formazione e gestione degli incidenti, e di verificarne l'efficacia con audit periodici.
