L'email sembra esattamente come dovrebbe. Proviene dall'indirizzo reale del tuo CEO, in una conversazione che fa riferimento a un affare in corso, chiedendo al tuo contabile di bonificare 47.000 dollari a un fornitore entro fine giornata perché la scadenza è stretta e "sono in riunioni consecutive, per favore fallo e basta." Niente in essa appare sospetto. Il tono corrisponde. L'urgenza corrisponde. I refusi sono spariti — l'era dell'inglese di phishing comico è finita.
Venti minuti dopo, il denaro è sparito e il CEO non ha mai inviato quell'email.
Questa è la compromissione della posta elettronica aziendale, o BEC, e ora è la categoria più costosa di criminalità informatica segnalata all'FBI — più grande del ransomware, più grande delle violazioni dei dati. Solo nel 2025, l'Internet Crime Complaint Center dell'FBI ha registrato quasi 25.000 denunce BEC per un totale di poco più di 3 miliardi di dollari di perdite segnalate, in aumento rispetto ai 2,77 miliardi dell'anno precedente. Nell'ultimo decennio, le perdite cumulative segnalate per BEC hanno superato i 17 miliardi di dollari, un aumento di oltre dieci volte dal 2015. E a differenza di una carta di credito rubata, un bonifico fraudolento spesso è perso per sempre nel momento in cui viene accreditato — circa l'86% delle perdite BEC passa attraverso bonifici o addebiti diretti, entrambi i quali si regolano rapidamente e sono estremamente difficili da recuperare una volta che i fondi arrivano sul conto del truffatore e vengono spostati.
Le piccole e medie imprese sono esposte in modo sproporzionato. Gestiscono denaro reale attraverso la contabilità fornitori ogni settimana, ma raramente dispongono dei controlli di verifica a più livelli che un dipartimento di tesoreria di una grande azienda dà per scontati. Quel divario — flussi di cassa reali, controlli sottili — è esattamente ciò che i truffatori BEC sfruttano.
Come funziona realmente la truffa
La BEC non è realmente un problema di hacking. È un problema di fiducia, ed è questo che la rende così efficace contro persone benintenzionate e indaffarate. I meccanismi di solito rientrano in uno di alcuni schemi:
Impersonificazione di dirigenti. Un messaggio che sembra provenire da un fondatore, CEO o CFO — a volte da un account reale ma compromesso, a volte da un dominio spoofato o simile (tuasocietà-corp.com invece di tuasocietà.com) — istruisce qualcuno delle finanze a effettuare un bonifico urgente e riservato. La cornice di urgenza e riservatezza fa il lavoro: scoraggia il destinatario dal verificare con altri prima di agire.
Impersonificazione di fornitori o venditori. Un'email che sembra provenire da un fornitore reale ed esistente informa il tuo team di contabilità fornitori che "la nostra banca è cambiata" e fornisce nuove istruzioni di bonifico per il prossimo pagamento della fattura. Questa variante è particolarmente pericolosa perché la fattura stessa è spesso completamente legittima — importo reale, lavoro effettivamente svolto — con solo il conto di destinazione modificato. Il tuo team paga una fattura che deve effettivamente, ma al posto sbagliato.
Prese di controllo di account compromessi. Invece di falsificare un indirizzo email, l'attaccante ottiene l'accesso effettivo a una casella di posta reale — di un fornitore, di un partner, a volte di un dipendente — attraverso un attacco di phishing precedente o una fuga di credenziali. Dall'interno di una conversazione legittima e precedentemente fidata, inseriscono una richiesta di pagamento o reindirizzano una conversazione di fatturazione in corso. Poiché l'email proviene effettivamente dall'account reale, i controlli tecnici di autenticazione email non la rileveranno; solo un processo umano può farlo.
Deviazione delle buste paga. Un messaggio che impersona un dipendente chiede alle risorse umane o alla payroll di aggiornare i dettagli del deposito diretto prima del prossimo giro di stipendi, reindirizzando silenziosamente una busta paga (o più) a un conto che il dipendente non controlla.
Ciò che accomuna tutti questi schemi è che nessuno richiede di violare i tuoi sistemi. Richiedono di trovare una persona, in un giorno impegnativo, che si fidi abbastanza di un'email da saltare un passaggio di verifica che altrimenti farebbe.
I controlli che realmente fermano la truffa
La buona notizia: la BEC viene sconfitta quasi interamente dai processi, non dalla tecnologia. Una piccola impresa non ha bisogno di un centro operativo di sicurezza — ha bisogno di un breve elenco di regole che vengano seguite ogni singola volta, senza eccezioni per "ma questa sembrava urgente e legittima."
1. Verifica telefonica per qualsiasi modifica ai dettagli di pagamento
Questo è il controllo di valore più alto che puoi implementare e non costa nulla se non disciplina. Qualsiasi richiesta di modifica del conto bancario, delle istruzioni di bonifico o del contatto di pagamento di un fornitore — non importa come arrivi, non importa da chi sembri provenire — deve essere verificata telefonicamente prima di essere eseguita. Fondamentalmente, quella chiamata va a un numero di telefono già presente nei tuoi archivi del fornitore, mai a un numero fornito nell'email o nel messaggio di richiesta. Se l'unico modo per "confermare" la modifica è rispondere alla stessa conversazione email o chiamare il numero nella firma, non hai verificato nulla — hai solo chiesto al truffatore di confermare sé stesso.
2. Doppia approvazione per i pagamenti in uscita oltre una soglia
Nessuna singola persona — indipendentemente dal titolo — dovrebbe essere in grado di originare e approvare unilateralmente un bonifico oltre un determinato importo. Un secondo paio di occhi indipendenti sui dettagli del pagamento prima del rilascio intercetta lo schema fraudolento quasi ogni volta, perché il secondo revisore non opera sotto la stessa urgenza artificiosa della persona che ha ricevuto la richiesta originale. Imposta la soglia abbastanza bassa da essere significativa per le dimensioni della tua azienda; un bonifico di 47.000 dollari è esattamente il tipo di importo medio e plausibile che i truffatori BEC prediligono perché viene liquidato facilmente senza innescare controlli aggiuntivi da parte della banca.
3. Tratta urgenza e riservatezza come bandiere rosse, non come istruzioni
"Gestisci questo con discrezione," "non coinvolgere nessun altro," "devo farlo prima del mio volo" — queste frasi esistono anche nella comunicazione aziendale legittima, ed è esattamente per questo che i truffatori ci fanno leva. Addestra il tuo team a considerare la pressione per bypassare il processo normale come un motivo per rallentare e verificare, non per accelerare. Un dirigente legittimo che è realmente di fretta non si arrabbierà se confermi un bonifico per telefono prima di inviarlo.
4. Blocca le modifiche al registro fornitori
Le modifiche ai tuoi registri di pagamento dei fornitori — nuovo conto bancario, nuovo indirizzo di rimessa, nuovo contatto principale — meritano la stessa attenzione dei pagamenti stessi. Richiedi un secondo approvatore per qualsiasi modifica al registro fornitori e considera un breve periodo di raffreddamento tra quando una modifica viene inserita e quando entra in vigore per il prossimo ciclo di pagamenti, dando a un secondo revisore il tempo di notare qualcosa di sbagliato.
5. Controlla il dominio, non solo il nome
Addestra il tuo team a controllare il dominio di invio effettivo per qualsiasi cosa riguardi denaro, non solo il nome visualizzato (che è banale da falsificare). Un messaggio da "Mario Rossi, CEO" merita un secondo sguardo se l'indirizzo sottostante è mario.rossi@tuasocietà-corp.com invece di mario.rossi@tuasocietà.com. Dal punto di vista tecnico, assicurati che il tuo dominio abbia SPF, DKIM e DMARC configurati — questo non impedisce a qualcuno di falsificarti, ma impedisce agli attaccanti di falsificare con successo il tuo dominio per truffare i tuoi stessi fornitori e clienti.
6. Crea una cultura del "se muove denaro, viene verificato" — e rendila facile
I controlli sopra funzionano solo se le persone li seguono realmente sotto pressione, il che significa che il passaggio di verifica deve essere veloce e normalizzato, non un fastidioso devia. Tieni un elenco aggiornato e facilmente accessibile di contatti fornitori con numeri di telefono verificati. Rendi il passaggio della chiamata di verifica una parte normale e attesa del flusso di lavoro dei pagamenti, piuttosto che qualcosa che sembra accusare un collega di essere stato truffato. Le aziende che vengono colpite più duramente sono di solito quelle in cui il processo esisteva tecnicamente sulla carta, ma nessuno lo ha seguito l'unica volta in cui sarebbe importato.
Cosa fare se è già successo
Se un trasferimento fraudolento è già partito, la velocità è l'unica leva che ti resta. Contatta immediatamente l'ufficio frodi della tua banca e richiedi un richiamo o un blocco del trasferimento — le banche a volte possono intercettare fondi che non si sono ancora completamente regolati o accreditati presso l'istituto ricevente, ma solo in una finestra ristretta. Presenta una denuncia all'Internet Crime Complaint Center dell'FBI (IC3.gov) il prima possibile; il team di recupero beni dell'IC3 ha, in alcuni casi, aiutato a congelare e recuperare fondi quando notificato rapidamente. Ogni ora conta — prima viene segnalato, migliori sono le probabilità di intercettare il denaro prima che venga spostato di nuovo.
Rendi la tua contabilità un controllo, non solo una registrazione
Ognuno di questi controlli dipende dalla capacità di rispondere rapidamente a domande di base: chi ha approvato questo pagamento, quali erano i dettagli bancari del fornitore prima della "modifica," e questa transazione corrisponde a un modello che abbiamo pagato in precedenza? Questo è molto più difficile quando i tuoi libri contabili sono un mix di esportazioni bancarie, fogli di calcolo e approvazioni ricordate a metà — e molto più facile quando ogni transazione vive in un unico posto verificabile e con controllo delle versioni.
Beancount.io mantiene l'intera cronologia dei pagamenti in una contabilità in testo semplice con una cronologia completa delle modifiche, quindi verificare il registro di pagamento reale di un fornitore — invece di fidarsi di qualunque email sia appena arrivata — richiede secondi, non una ricerca affannosa tra vecchi estratti conto. Inizia gratuitamente e dai al tuo processo di contabilità fornitori la traccia cartacea che rende le frodi BEC facili da individuare e difficili da nascondere.