Phishing, truffa del CEO e truffa delle fatture
Modulo 1: Perché Lei è un bersaglio · Tempo di lettura: 10 minuti
Obiettivo della lezione: Dopo questa lezione saprà riconoscere il metodo utilizzato in phishing, truffa del CEO e truffa delle fatture (BEC) e impostare una procedura di pagamento con controllo tramite richiamata telefonica.
Concetti chiave: phishing, spear phishing, truffa del CEO, truffa delle fatture, Business Email Compromise, principio dei quattro occhi, richiamare un numero conosciuto
Tre forme dello stesso trucco
Tutti e tre gli attacchi descritti in questa lezione si basano sull'inganno. Non si entra in un computer; si convince qualcuno a fare qualcosa di persona: cliccare su un link, inserire una password, effettuare un bonifico. Questo si chiama social engineering (ingegneria sociale). Funziona perché fa leva su normali reazioni umane: Lei vuole aiutare il proprio titolare, pagare un fornitore in tempo, risolvere rapidamente un problema.
| Forma | Cosa vuole l'aggressore | Messaggio tipico |
|---|---|---|
| Phishing | Credenziali di accesso, dati di pagamento o un clic su software dannoso | "La Sua casella di posta è piena, acceda per conservare i Suoi messaggi" |
| Truffa del CEO | Un pagamento urgente | "Sono in riunione, può fare questo bonifico già oggi? Non ne parli con altri" |
| Truffa delle fatture | Pagamento di una fattura reale su un conto sbagliato | "Attenzione: il nostro numero di conto è cambiato" |
La truffa del CEO e la truffa delle fatture rientrano entrambe sotto il termine inglese Business Email Compromise (BEC): una frode in cui la posta aziendale viene usata in modo improprio e un truffatore si finge qualcun altro.
Phishing e spear phishing
Il phishing è un messaggio che si finge un mittente affidabile, affinché Lei faccia qualcosa che altrimenti non farebbe. Di solito si tratta di un link a una pagina di accesso falsa, ad esempio di rnijnbank.example (con "rn" al posto di "m"), oppure di un allegato con software dannoso. Il phishing comune viene inviato a un gran numero di persone contemporaneamente, con un messaggio generico.
Nello spear phishing il messaggio è costruito su misura per Lei. L'aggressore usa il Suo nome, la Sua funzione, il nome di un collega o fornitore reale, un progetto a cui sta lavorando. Trova queste informazioni sul Suo sito web, su LinkedIn, nel Registro delle imprese o in una casella di posta violata in precedenza. Poiché il messaggio corrisponde a ciò che si aspetta, è molto meno evidente.
Gli errori di ortografia non sono più un indizio affidabile. Con programmi di traduzione e generatori di testo basati su IA, un truffatore scrive un italiano impeccabile. Nel modulo 3 imparerà a riconoscere il phishing da elementi che un truffatore non può imitare: il dominio reale di un link e il mittente tecnico di un messaggio di posta.
Truffa del CEO
Nella truffa del CEO chi effettua pagamenti riceve un messaggio che sembra provenire dal direttore o dal titolare. La Polizia Postale descrive le caratteristiche ricorrenti:
- Autorità: è un ordine, non una richiesta.
- Riservatezza: "non ne parli ancora con altri, riguarda un'acquisizione."
- Pressione del tempo: deve essere fatto oggi, prima che la banca chiuda.
- Un mittente che sembra quasi corretto: ad esempio
directie@example-com.example, che a prima vista somiglia al dominio aziendale, oppure un indirizzo privato "perché sono in viaggio".
A volte viene coinvolto un presunto "avvocato" o "commercialista" che conferma l'ordine; anche questi fanno parte della truffa. Anche associazioni e piccole imprese vengono contattate così: il tesoriere riceve un messaggio dal "presidente".
Perché funziona? Perché in una piccola azienda tutti si conoscono e si fidano gli uni degli altri. Il collaboratore vuole aiutare, e la riservatezza richiesta fa sì che non verifichi con un collega. Il segreto è esattamente l'obiettivo del truffatore.
Truffa delle fatture: cambia solo l'IBAN
La truffa delle fatture è più difficile da riconoscere, perché la fattura è spesso autentica. Importo, numero d'ordine, logo, impaginazione: tutto corrisponde. Cambia solo il numero di conto. Secondo la Polizia Postale, questo avviene in vari modi: la fattura viene intercettata e modificata, arriva una lettera separata che dice "il nostro numero di conto è cambiato", oppure l'azienda stessa è stata violata e il truffatore invia il messaggio dalla casella di posta reale.
Quest'ultimo punto è importante da capire. Se la casella di posta del Suo fornitore leverancier.example è stata compromessa, il messaggio arriva davvero dall'indirizzo corretto. Tutti i controlli tecnici (SPF, DKIM, DMARC, visti nel modulo 4) risultano superati. Il truffatore ha talvolta letto la corrispondenza per settimane, sa quali fatture sono in sospeso e invia il proprio messaggio esattamente al momento giusto, nella stessa conversazione. Verificare l'indirizzo del mittente non serve, in questo caso.
Un dettaglio spiacevole: se ha pagato il truffatore, in linea di principio deve ancora l'importo al fornitore reale.
Un esempio
Panificio Example ordina un nuovo forno da leverancier.example. Il preventivo, la conferma d'ordine e la fattura arrivano tutti regolarmente. Due giorni dopo, nella stessa conversazione di posta, arriva:
Gentile Petra, a seguito di un cambio di banca il nostro numero di conto è stato modificato con effetto immediato. Può versare l'importo della fattura del forno sul nuovo numero? Il vecchio numero verrà chiuso la prossima settimana. Cordiali saluti, Joost
L'indirizzo è corretto, il nome di Joost è corretto, il numero d'ordine corrisponde. L'unico elemento che tradisce la frode è la richiesta stessa: una modifica del numero di conto. Questo è sempre un momento in cui verificare, mai un momento in cui fidarsi soltanto del messaggio di posta.
La procedura di pagamento che la blocca
Non può riconoscere ogni messaggio falso. Può però assicurarsi che un messaggio falso non sia sufficiente per effettuare un bonifico. Lo fa con alcune regole fisse.
- Richiamare un numero conosciuto. Ad ogni modifica del numero di conto, e ad ogni richiesta di pagamento insolita, chiami il mittente. Non al numero indicato nel messaggio o nella fattura, perché anche quello potrebbe essere falso, ma a un numero che già possedeva: dalla Sua contabilità, dal contratto o dal sito ufficiale digitato da Lei stesso.
- Non risponda al messaggio. Se vuole verificare via e-mail, digiti Lei stesso l'indirizzo. Con "rispondi" potrebbe finire dal truffatore, ad esempio tramite un campo Reply-To che punta a un altro indirizzo (lezione 3.3).
- Il principio dei quattro occhi. I pagamenti superiori a un importo prestabilito, i nuovi beneficiari e i numeri di conto modificati vengono verificati da due persone. In una ditta individuale questo significa: un tempo di attesa fisso e una richiamata telefonica prima di pagare.
- Nessuna eccezione tramite e-mail o chat. Il direttore non chiede mai via e-mail o WhatsApp di saltare la procedura. Lo concordi espressamente, anche con il direttore stesso. Così tutti sanno che un messaggio con "solo per questa volta fuori procedura" è per definizione sospetto.
- Registrare i dati. Il numero di conto di un fornitore è presente nella Sua contabilità. Confronti il numero su ogni fattura con quello già registrato. Dall'ottobre 2025 le banche dell'area euro verificano, al momento di un bonifico, se il nome inserito corrisponde al numero di conto (in inglese Verification of Payee). Prenda sul serio un avviso in tal senso. Ma un esito positivo indica solo che nome e conto corrispondono, non che il destinatario sia onesto.
| Situazione | Azione |
|---|---|
| Nuovo numero di conto di un fornitore esistente | Richiamare un numero conosciuto, approvazione di una seconda persona |
| Pagamento urgente richiesto dalla direzione | Chiamare o verificare di persona, seguire comunque la procedura |
| Nuovo fornitore, prima fattura | Verificare i dati su una fonte ufficiale, approvazione di una seconda persona |
| Fattura con un aspetto diverso dal solito | Chiedere conferma prima di pagare |
Se succede comunque
Ha pagato e non si fida più? Allora ogni ora conta.
- Chiami subito la Sua banca e chieda se il pagamento può essere bloccato o recuperato.
- Segnali l'accaduto alla Polizia Postale e sporga denuncia.
- Avvisi il fornitore: se la sua casella di posta è stata compromessa, altri clienti riceveranno messaggi falsi.
- Se il messaggio proveniva dalla Sua casella di posta o da quella di un collega, questa potrebbe essere stata compromessa. Cambi la password, revochi le sessioni e controlli le regole di inoltro (lezioni 2.5 e 3.5).
Riepilogo
- Phishing, truffa del CEO e truffa delle fatture sono forme di social engineering: Lei viene convinto a fare qualcosa di persona.
- Lo spear phishing è costruito su misura e quindi molto più convincente; gli errori di ortografia non sono più un buon indizio.
- La truffa del CEO fa leva su autorità, riservatezza e pressione del tempo.
- Nella truffa delle fatture spesso cambia solo l'IBAN, a volte inviato dalla casella di posta reale del fornitore, violata.
- Una procedura di pagamento con richiamata a un numero conosciuto e il principio dei quattro occhi blocca la maggior parte delle frodi, anche se non riconosce il messaggio falso.
Quiz
Esercizio
Esercizio A1.2: Riconosca la frode. Riceverà sei brevi messaggi. Indichi per ciascun messaggio se si tratta probabilmente di phishing, truffa del CEO, truffa delle fatture o di un messaggio normale, e quale azione intraprenderebbe. Il programma correggerà e indicherà per ogni messaggio le caratteristiche che avrebbe potuto notare.
Esercizio D1.2: La Sua procedura di pagamento. Scriva la procedura di pagamento della Sua azienda su un unico foglio A4: quando richiamare, a quale numero, chi effettua il secondo controllo e a partire da quale importo. Ne discuta con tutti coloro che effettuano pagamenti.
Esercizio D1.2: La Sua procedura di pagamento
Come procedere: (1) Scriva su un foglio A4 quando un pagamento richiede un controllo extra: numero di conto modificato, nuovo beneficiario, importo superiore a una soglia scelta da Lei, richiesta urgente al di fuori della procedura normale. (2) Scriva come richiamare: solo un numero tratto dai Suoi archivi, dal contratto o dal sito ufficiale digitato da Lei stesso. (3) Designi una seconda persona che controlli (in una ditta individuale: un tempo di attesa fisso, ad esempio una notte). (4) Concordi con la direzione che la procedura non viene mai saltata via e-mail o chat. (5) Discuta il foglio A4 con chiunque esegua pagamenti e lo affigga in un luogo visibile.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori il funzionamento è simile.
- Questa email è davvero di WebOké? Riconoscere il phishing e utilizzare il codice promozionale
- E-mail da ICANN o dal registry riguardo al Suo dominio: autentica o falsa, e cosa deve fare?
- Polizia Postale, truffa del CEO: https://www.commissariatodips.it/
- Polizia Postale, il numero di conto sulla fattura è stato modificato: https://www.commissariatodips.it/
- Polizia Postale, fatture intercettate: https://www.commissariatodips.it/