Truffa della fattura falsa (BEC): come difendersi

Una mail da un fornitore che conosci: "Abbiamo cambiato banca, da questo mese il bonifico va fatto sul nuovo IBAN". In allegato la fattura, con il logo giusto. Paghi, e due settimane dopo il vero fornitore ti chiede dove sono i soldi. È la truffa della fattura falsa, nota come Business Email Compromise (BEC) o "man in the middle". Colpisce soprattutto piccole e medie imprese, professionisti e amministratori di condominio. Questa guida spiega come funziona, come riconoscerla, quale procedura mettere in piedi e cosa fare se hai già pagato.

Informazioni generali, non costituiscono parere legale. Per i casi concreti rivolgiti alla banca e alle forze dell'ordine.

Come funziona la truffa della fattura falsa

La Polizia di Stato descrive il fenomeno così: i criminali sono in grado di leggere, inserire o modificare i messaggi di posta tra due soggetti, spesso aziende legate da rapporti commerciali. Si sostituiscono all'azienda venditrice con un indirizzo email creato ad arte, apparentemente riconducibile a essa anche per loghi e riferimenti, e indicano all'acquirente un IBAN diverso da quello abituale, paventando problemi con la loro banca. I pagamenti successivi finiscono su conti spesso esteri o intestati a persone compiacenti. La fonte è il comunicato della Polizia di Stato sull'attività del Compartimento Polizia Postale del Veneto (11 maggio 2019), che riporta il blocco di circa un milione di euro in quattro mesi.

Gli attacchi si presentano in due varianti principali:

1. Casella compromessa: i truffatori hanno preso il controllo della posta del fornitore (o della tua), leggono le conversazioni e inseriscono il messaggio giusto al momento giusto. Il messaggio arriva da un indirizzo vero.
2. Dominio simile: viene registrato un dominio quasi identico (una lettera cambiata, una "i" al posto di una "l") e si scrive da lì, copiando lo stile e a volte la firma.

In entrambi i casi la fattura allegata è identica all'originale, tranne l'IBAN.

I segnali da riconoscere

• Richiesta di cambiare IBAN, specie con urgenza o con una scusa ("controlli bancari in corso", "conto bloccato").
• Conto in un altro Paese o intestato a un nome diverso da quello del fornitore.
• Tono leggermente diverso dal solito, orari insoliti, errori che prima non c'erano.
• Indirizzo del mittente con differenze minime rispetto al solito (controlla lettera per lettera, non solo il nome visualizzato).
• Richiesta di non telefonare o di rispondere solo per email.
• Cambio di condizioni di pagamento non concordato.

Nessun segnale è decisivo da solo. La difesa non si basa sul fiuto, ma su una procedura.

La procedura che salva i bonifici

Le indicazioni della Polizia Postale per le aziende sono semplici:

1. Verifica sempre per telefono ogni variazione di coordinate bancarie, chiamando il fornitore a un numero che hai già (rubrica, contratto, vecchie fatture), non a quello scritto nella mail.
2. Non dialogare via email sulla verifica: se la corrispondenza è compromessa, dall'altra parte potrebbero esserci i criminali.
3. Informa chi si occupa dei pagamenti: il personale addetto deve conoscere questo tipo di frode.
4. Regola interna: nessun IBAN cambia senza una conferma telefonica registrata da due persone, o da una persona diversa da chi ha ricevuto la mail.
5. Controllo del nome del beneficiario: l'IBAN nuovo deve corrispondere alla ragione sociale del fornitore.

A queste si aggiungono misure tecniche elencate dalla Polizia Postale e dalla stampa di settore: cambiare spesso le password e controllare che le regole di inoltro della posta non siano state alterate, attivare l'autenticazione a due fattori per l'home banking, tenere aggiornati i dispositivi, usare antivirus e proteggere il Wi-Fi.

Se la casella è stata compromessa: cosa controllare

Se sospetti che una casella dell'azienda sia stata violata, verifica:

• regole di inoltro e filtri nascosti (un classico: copiano in automatico le mail e le nascondono);
• accessi recenti e dispositivi connessi;
• messaggi inviati che non riconosci;
• reset password non richiesti.

Poi cambia la password da un dispositivo pulito, attiva la verifica in due passaggi, disconnetti tutte le sessioni e avvisa i clienti e fornitori che potrebbero aver ricevuto messaggi falsi. Se il problema nasce da un computer infetto, leggi PC aziendali infettati da infostealer.

Se hai già pagato: i primi minuti contano

La Polizia Postale raccomanda di informare tempestivamente, anche per telefono, la Polizia Postale in attesa della denuncia formale, per avviare le procedure di blocco del denaro; il tutto deve avvenire in tempi brevi, per impedire ai criminali di incassare. Quindi:

1. Chiama subito la banca da cui è partito il bonifico e chiedi di avviare il richiamo e di contattare la banca destinataria.
2. Contatta la Polizia Postale, anche per telefono (112/113 per le urgenze), poi presenta denuncia formale. Il sito è commissariatodips.it.
3. Conserva le prove: email originali complete di intestazioni tecniche, fatture, ricevute, orari. Non cancellare nulla.
4. Avvisa il fornitore vero con un canale sicuro (telefono) e i professionisti che ti seguono (commercialista, assicurazione).
5. Metti in sicurezza le caselle come visto sopra.

Non possiamo prevedere se e quanto sarà recuperabile: dipende da quanto rapidamente si interviene e dal destino del denaro. In alcuni casi la Polizia riesce a bloccare somme e a restituirle.

Prevenire dal lato tuo: il dominio e la posta

Le truffe BEC con domini simili o con messaggi che sembrano arrivare da te (verso i tuoi clienti) sfruttano la possibilità di falsificare il mittente. Un dominio con SPF, DKIM e DMARC configurati bene rende più difficile inviare posta che sembri provenire da te. Non elimina il rischio, ma lo riduce. Spieghiamo tutto in SPF, DKIM e DMARC spiegati semplice; per controllare il tuo dominio usa lo strumento gratuito.

Controllare ogni mese cosa è esposto

Spesso la BEC comincia da una casella la cui password è già finita in una violazione o in un log di infostealer. Verifica le password di posta e banca con il controllo password: il confronto avviene senza inviarle. Per un primo controllo dell'indirizzo c'è anche la scansione gratuita.

Il piano mensile di VINDICIS per la tua attività (vedi la pagina per PMI) ricontrolla ogni mese fino a 10 indirizzi email verificati e valuta SPF, DKIM, DMARC e MTA-STS del dominio; se emerge qualcosa di grave e nuovo ti scrive subito. È un software di autovalutazione: non blocca le truffe, ti aiuta a chiudere le porte aperte.

Domande frequenti

Come faccio a verificare un IBAN nuovo senza rischi?

Chiama il fornitore a un numero che hai già (non quello della mail) e chiedi conferma, verificando anche che il conto sia intestato alla sua ragione sociale. Non usare la stessa email per la verifica.

Il mittente dell'email sembra giusto: può essere comunque una truffa?

Sì. Se la casella del fornitore è stata compromessa, il messaggio arriva davvero dal suo indirizzo. Per questo la verifica telefonica è l'unica difesa affidabile.

Ho già pagato: posso riavere i soldi?

Non è garantito. Più rapido è l'intervento (banca e Polizia Postale), più possibilità ci sono di bloccare la somma. Chiama subito, poi presenta denuncia.

Serve un'assicurazione contro queste truffe?

Alcune polizze coprono i danni da frode informatica, ma condizioni ed esclusioni variano. Valuta con il tuo intermediario assicurativo.

SPF, DKIM e DMARC bastano a evitare la BEC?

No. Riducono la falsificazione del tuo dominio, ma non proteggono dal compromesso della casella di un fornitore né da domini simili. Servono sempre la procedura di verifica e la formazione.