La presente nota richiama l'attenzione del personale sui rischi di frode connessi a richieste di pagamento o di modifica delle coordinate bancarie apparentemente provenienti da dirigenti, colleghi, fornitori o altri soggetti legittimati. Tali tentativi possono avvenire attraverso diversi canali, tra cui telefonate, e-mail e messaggi, anche combinati tra loro. L'identità apparente del mittente o del chiamante, la conoscenza di informazioni aziendali, il tono autorevole e l'urgenza della richiesta non costituiscono, singolarmente, garanzia della sua autenticità. Le indicazioni seguenti si applicano a tutte le richieste di pagamento, trasferimento di denaro, modifica delle coordinate bancarie o variazione delle ordinarie modalità di pagamento, indipendentemente dal canale utilizzato.
I tentativi di frode possono manifestarsi attraverso diverse modalità:
- Impersonificazione telefonica: il chiamante si presenta come un dirigente o un altro soggetto autorizzato e richiede l'esecuzione urgente di un bonifico o di un'altra operazione finanziaria.
- Falsificazione delle e-mail: il messaggio presenta un mittente o un indirizzo apparentemente legittimo, oppure si inserisce in una conversazione aziendale per richiedere un pagamento.
- Business E-mail Compromise (BEC): l'attaccante utilizza un account di posta elettronica compromesso o ne simula l'identità per manipolare le procedure amministrative e finanziarie.
- Clonazione vocale mediante intelligenza artificiale: la voce di un dirigente o di un altro soggetto conosciuto viene riprodotta artificialmente per rendere credibile la richiesta.
- Manipolazione delle coordinate bancarie: viene richiesto di effettuare un pagamento su un nuovo conto corrente o di modificare le coordinate di un fornitore.
Queste tecniche possono sfruttare l'urgenza, la riservatezza, la pressione gerarchica o la presunta eccezionalità dell'operazione per indurre il destinatario ad agire senza effettuare le verifiche necessarie.
Verifica della richiesta attraverso uncanale indipendente
Ogni richiesta anomala, inattesa o non coerente con le procedure ordinarie, relativa a pagamenti, trasferimenti di denaro o modifiche delle coordinate bancarie, deve essere verificata prima di procedere.
La verifica deve avvenire attraverso un canale indipendente da quello utilizzato per ricevere la richiesta. A titolo esemplificativo:
- In caso di telefonata, interrompere la procedura e richiamare il soggetto interessato utilizzando un numero già noto e verificato.
- In caso di e-mail, contattare il presunto mittente tramite un recapito già conosciuto, senza rispondere al messaggio sospetto o utilizzare esclusivamente i recapiti in esso indicati.
- In caso di richiesta proveniente da un fornitore, verificare la variazione delle coordinate bancarie attraverso i contatti già registrati e secondo le procedure aziendali previste.
La verifica è necessaria anche quando il numero visualizzato, l'indirizzo e-mail, la voce o le informazioni fornite sembrano autentici.
Tutti i pagamenti devono essere effettuati nel rispetto delle procedure aziendali e dei livelli autorizzativi previsti.
Non devono essere effettuate deroghe sulla base di richieste telefoniche, e-mail o messaggi che invocano urgenza, riservatezza o presunte autorizzazioni straordinarie.
Le richieste di pagamento fuori procedura o di modifica delle coordinate bancarie devono essere sottoposte alle verifiche e alle autorizzazioni previste prima di procedere. L'eventuale conferma ricevuta attraverso lo stesso canale della richiesta originaria non sostituisce la verifica indipendente.
Occorre prestare particolare attenzione alle richieste che:
- Impongono di eseguire un pagamento in tempi insolitamente brevi;
- Chiedono di mantenere l'operazione segreta o di non informare altri responsabili;
- Prevedono un cambiamento improvviso delle modalità o delle coordinate di pagamento;
- Invitano ad aggirare i controlli o le autorizzazioni abituali;
- Provengono da numeri, indirizzi o canali non abitualmente utilizzati;
- Presentano anomalie linguistiche, contestuali o operative;
- Fanno riferimento a circostanze eccezionali per giustificare l'inosservanza delle procedure.
In presenza di dubbi o anomalie, la richiesta non deve essere eseguita fino al completamento delle verifiche.
E-mail con richiesta di modifica dell'IBAN
Un fornitore abituale comunica che ha cambiato banca e chiede di utilizzare un nuovo IBAN per la fattura in scadenza.
L'e-mail riproduce correttamente la firma, il logo e i riferimenti del fornitore.
Attenzione a:
- Comunicazioni inattese di variazione delle coordinate bancarie;
- Richieste di aggiornamento urgente dell’anagrafica fornitore;
- IBAN diverso da quello utilizzato in precedenza.
Comportamento richiesto: non modificare l'IBAN sulla sola base dell'e-mail; verificarlo contattando il fornitore attraverso un numero già noto e precedentemente registrato.
Richiesta urgente apparentemente proveniente dalla Direzione
Un dipendente riceve un'e-mail apparentemente inviata dall'amministratore delegato o dal direttore finanziario, con la richiesta di eseguire un bonifico urgente e riservato, magari a favore di un nuovo beneficiario.
Attenzione a:
- Urgenza anomala e pressione a procedere senza controlli;
- Richiesta di mantenere la disposizione riservata;
- Deroga alle normali autorizzazioni o alla doppia approvazione.
Comportamento richiesto: verificare la richiesta direttamente con il soggetto interessato tramite un canale indipendente e rispettare sempre i livelli autorizzativi previsti.
Telefonata da parte di un presunto dipendente della banca o di un fornitore
Un interlocutore chiede di modificare le coordinate di pagamento, comunicare codici ricevuti via SMS, approvare un'operazione nell'app bancaria oppure eseguire un bonifico per mettere al sicuro i fondi.
Attenzione a:
- Richieste di credenziali, OTP o codici di autenticazione;
- Indicazioni di operare immediatamente;
- Telefonate provenienti da numeri apparentemente conosciuti.
Comportamento richiesto: interrompere la chiamata e ricontattare la banca o il fornitore attraverso i recapiti ufficiali già disponibili.
Non comunicare codici né autorizzare operazioni su indicazione telefonica.
Fattura falsa o sostituita
Arriva una fattura apparentemente regolare, riferita a una fornitura effettiva, ma con beneficiario o coordinate bancarie differenti.
In alternativa, un'e-mail comunica che la fattura precedente è stata annullata e sostituita.
Attenzione a:
- Incongruenze tra ordine, contratto, fattura e beneficiario;
- Documenti sostitutivi inattesi;
- Indirizzi e-mail leggermente diversi da quelli abituali.
Comportamento richiesto: verificare la corrispondenza tra fornitura, documentazione contabile, beneficiario e IBAN prima di autorizzare il pagamento.
Impersonificazione tramite messaggi vocali o videoconferenze
Una persona che sembra essere un dirigente, un collega o un partner commerciale impartisce istruzioni di pagamento attraverso una chiamata, un messaggio vocale o una videoconferenza. La voce o l'immagine potrebbero essere state riprodotte o manipolate mediante strumenti di intelligenza artificiale.
Attenzione a:
- Richieste finanziarie insolite anche se provenienti da persone conosciute;
- Istruzioni che non possono essere confermate con i normali canali;
- Richieste di superare i controlli perché il richiedente è un dirigente.
Comportamento richiesto: confermare la richiesta tramite un secondo canale indipendente e applicare le stesse regole di autorizzazione previste per le richieste ordinarie.
Chi riceve una richiesta sospetta o rileva un possibile tentativo di frode deve:
- Non eseguire il pagamento e non comunicare credenziali, codici di autenticazione o altre informazioni riservate.
- Verificare la richiesta contattando il presunto mittente o chiamante attraverso un canale indipendente e recapiti già conosciuti.
- Segnalare tempestivamente l'accaduto al proprio responsabile, alla Direzione e alla funzione IT o al referente per la sicurezza informatica, secondo le procedure interne.
- Conservare le evidenze disponibili, incluse e-mail originali, intestazioni dei messaggi, numeri telefonici, messaggi vocali, screenshot e orari, evitando di cancellarle o modificarle.
- Seguire le indicazioni delle funzioni competenti per le eventuali misure di contenimento e le verifiche su account, accessi e operazioni non autorizzate.
Eliminare i tempi improduttivi significa ridurre i costi nascosti e trasformare l'organizzazione in un vero vantaggio competitivo.
CASSAZIONE CIVILE, SEZ. III, 24 GIUGNO 2026, N. 21651. PRES. SCARANO. EST. PELLECCHIA.
