Un dipendente riceve un'email che sembra esattamente provenire dal tuo fornitore di payroll. Il logo è giusto. Il tono è giusto. Dice che il portale HR dell'azienda ha cambiato fornitore e che tutti devono riverificare le proprie informazioni di direct deposit entro fine giornata. Il dipendente clicca, accede con le sue credenziali reali su una pagina falsa, e due cicli di paga dopo il suo stipendio finisce su un conto che non ha mai visto.
Questo scenario è ormai così comune che l'IRS l'ha inserito nella sua lista "Dirty Dozen" 2026 — il riepilogo annuale dell'agenzia delle truffe fiscali che causano più danni a privati e imprese. Phishing e impersonificazione sono di nuovo in cima alla lista quest'anno, ma la novità è il bersaglio specifico: i sistemi di payroll e HR, non solo i singoli contribuenti che presentano la dichiarazione.
Se gestisci il payroll anche solo per una manciata di dipendenti, vale la pena dedicargli cinque minuti di attenzione. La truffa è economica da realizzare, difficile da invertire una volta che il denaro si è mosso, e punta dritta ai sistemi da cui le piccole imprese dipendono di più.
Come Funziona Realmente la Truffa
Le tradizionali truffe di impersonificazione dell'IRS cercano di spaventare un singolo contribuente per fargli pagare una falsa cartella fiscale. La variante sul payroll è più silenziosa e paziente. Invece di minacciarti, impersona qualcuno di cui ti fidi già — un amministratore del payroll, un rappresentante HR o un dirigente aziendale — e chiede qualcosa che sembra una normale attività di routine.
Le versioni più comuni funzionano così:
- Una falsa notifica W-2 o del portale. Un'email afferma che il tuo sistema di payroll ha nuovi documenti pronti o necessita di un reset della password, e collega a una pagina di login convincente ma fraudolenta che cattura le credenziali reali.
- Una richiesta di dati in blocco. Qualcuno che impersona un dirigente aziendale invia un'email a HR o payroll chiedendo un foglio di calcolo con nomi dei dipendenti, numeri di Social Security e informazioni W-2 — spesso programmata intorno alla stagione fiscale, quando tali richieste sembrano plausibili.
- Una richiesta di modifica del direct deposit. Un'email, inviata come se provenisse da un dipendente o instradata tramite un account compromesso, chiede al payroll di aggiornare le coordinate bancarie "prima del prossimo giro di paga." Se viene processata al di fuori delle tue normali procedure di verifica, la prossima busta paga finisce dritta nelle mani del truffatore.
Una volta che gli aggressori hanno credenziali di accesso o dati dei dipendenti, possono dirottare i direct deposit, presentare dichiarazioni fiscali fraudolente usando numeri di Social Security rubati, o vendere i dati direttamente. Niente di tutto questo richiede di intrufolarsi nei tuoi sistemi — basta che un dipendente si fidi di un'email.
Perché il Payroll è un Bersaglio Così Attraente
Non è un'impressione — emerge dai numeri. L'Internet Crime Complaint Center (IC3) dell'FBI tiene traccia del business email compromise (BEC), la categoria generale che include la frode da dirottamento del payroll accanto alla frode delle fatture e all'impersonificazione dei dirigenti. Nel suo Internet Crime Report 2025, l'IC3 ha registrato 24.768 denunce BEC per un totale di circa 3,05 miliardi di dollari in perdite — in aumento rispetto ai 2,77 miliardi dell'anno precedente. In modo cruciale, l'86% delle perdite BEC è stato movimentato tramite bonifico o ACH, gli stessi canali su cui viaggiano i direct deposit del payroll, ed è esattamente per questo che questi schemi si muovono in fretta e vengono raramente recuperati una volta che i fondi lasciano il conto.
Il dirottamento del payroll in particolare ha una storia di crescita esplosiva una volta che i criminali trovano un modello funzionante. Un avviso precedente dell'IC3 ha rilevato che le perdite dichiarate da truffe di dirottamento del payroll sono aumentate del 815% in un arco di 18 mesi, poiché le organizzazioni criminali hanno capito che un singolo reindirizzamento riuscito può durare per uno o più cicli di paga completi prima che qualcuno se ne accorga — molto più efficiente di una truffa sulle fatture una tantum.
Alcune ragioni strutturali rendono il payroll un bersaglio così facile:
- Le informazioni sono già semi-pubbliche. Titoli di lavoro, nomi dei reparti e organigrammi sono facili da trovare su LinkedIn o sul sito aziendale, il che permette ai truffatori di scrivere email specifiche e credibili invece di messaggi generici.
- La richiesta sembra di routine. "Per favore aggiorna il mio direct deposit" è una richiesta che il payroll gestisce continuamente, quindi non attiva automaticamente sospetti come potrebbe fare una richiesta di bonifico verso un fornitore sconosciuto.
- I dipendenti più giovani e con redditi più alti sono colpiti in modo sproporzionato. I dipendenti abituati a gestire tutto tramite portali self-service sono più propensi a fidarsi di una pagina di phishing stilizzata come portale, e i dipendenti con retribuzioni più complesse (bonus, equity, più conti) rappresentano bersagli attraenti e di maggior valore.
Perché Questo Cluster è Finito Specificamente nella Lista 2026
La Dirty Dozen non è una lista statica — l'IRS la riorganizza ogni anno in base a ciò che funziona davvero per i truffatori, e l'edizione di quest'anno aggiunge richieste abusive legate agli utili non distribuiti del Modulo 2439 accanto alle solite voci su phishing QR-code e preparatori fiscali fantasma. Il phishing mirato al payroll che riceve una menzione accanto a truffe di lunga data è un segnale da prendere seriamente: significa che l'IRS e le istituzioni finanziarie con cui lavora vedono questo schema abbastanza spesso, e con un volume di denaro sufficiente, da meritare un avviso pubblico al di fuori della stagione fiscale stessa.
Due dinamiche si stanno combinando in questo momento. Primo, l'IA generativa ha reso banale produrre un'email di phishing impeccabile, senza errori di battitura, che cita il nome di un vero manager e un vero processo interno — il tipo di messaggio che una volta veniva intercettato dall'addestramento "controlla la grammatica" ora è indistinguibile da uno legittimo. Secondo, i fornitori di software payroll e HR hanno davvero cambiato piattaforma più spesso negli ultimi anni, quindi un'email che dice "la tua azienda ha cambiato fornitore di payroll, per favore riverifica il tuo account" suona plausibile invece che sospetta. I truffatori non stanno inventando una nuova bugia — stanno cavalcando una tendenza reale nel modo in cui le aziende operano davvero.
I Segnali d'Allarme Su Cui Puntano gli Esperti
I ricercatori di sicurezza che studiano questi schemi continuano a tornare sulla stessa lista di tre parole: urgenza, richieste insolite e cambi di processo. Qualsiasi comunicazione payroll o HR che combina una scadenza ravvicinata con una richiesta che salta il tuo normale passaggio di verifica merita un secondo sguardo, a prescindere da quanto legittimo sembri il nome del mittente.
Concretamente, significa trattare questi come bandiere rosse:
- Una richiesta di modifica del direct deposit che arriva solo via email, senza verifica telefonica o di persona
- Pressione ad agire "oggi" o "prima del prossimo giro di paga," specialmente al di fuori del tuo normale calendario di chiusura payroll
- Una richiesta di esportazione in blocco di dati fiscali o bancari dei dipendenti, specialmente da parte di qualcuno che rivendica autorità esecutiva
- Pagine di login per il tuo portale payroll che non corrispondono all'URL che normalmente salveresti nei preferiti o digiteresti direttamente
Come Proteggere la Tua Azienda
La soluzione non è esotica — è disciplina di processo, applicata in modo coerente anche quando una richiesta sembra legittima.
- Richiedi un secondo canale di verifica per qualsiasi modifica del direct deposit. Una chiamata di ritorno a un numero di telefono noto, o una conferma di persona, chiude il varco più grande: un flusso di lavoro basato solo su email che una pagina di phishing può imitare completamente.
- Forma i dipendenti a riconoscere i tre segnali d'allarme sopra, non solo "non cliccare link sospetti." La formazione generica sul phishing non prepara le persone a un'email che sembra provenire dal loro stesso reparto HR.
- Segnala il phishing sospetto legato all'IRS a
[email protected]e presenta una denuncia IC3 su ic3.gov se il denaro è già stato movimentato — prima viene avvisata la banca, migliori sono le probabilità di recuperare un trasferimento ACH prima che si stabilizzi. - Limita chi può approvare le modifiche al payroll. Se il tuo software di payroll supporta flussi di approvazione o doppia firma per i cambi dei dettagli bancari, attivali. Un singolo punto di errore è ciò che queste truffe sono progettate per sfruttare.
- Fai un audit della tua lista di accessi al payroll. Ex dipendenti, vecchi login di fornitori e credenziali condivise sono punti di ingresso più facili di un hack innovativo — e più facili da chiudere di quanto la maggior parte delle persone si aspetti.
Se È Già Successo: Le Prime 72 Ore
Se una busta paga è stata dirottata o i dati del payroll sono già stati inviati a un aggressore, la velocità conta più di qualsiasi altra cosa in questa lista.
- Chiama immediatamente le banche ricevente e mittente. I trasferimenti ACH a volte possono essere revocati o congelati entro una finestra ristretta dopo che la transazione si è stabilizzata — ma quella finestra si misura in ore e giorni, non settimane. Non aspettare un rapporto di incidente scritto prima di fare la chiamata.
- Blocca l'account o la credenziale compromessa. Se un dipendente ha inserito il login del portale payroll su una pagina falsa, reimposta quella password e qualsiasi altro account in cui l'ha riutilizzata, e controlla le regole di inoltro email non autorizzate — un segno classico che una casella di posta è stata compromessa silenziosamente prima che la richiesta payroll partisse.
- Presenta una denuncia all'IC3 e avvisa l'IRS. Oltre a
[email protected], le aziende i cui dati dei dipendenti sono stati esposti dovrebbero anche rivedere le linee guida IRS sulla segnalazione delle violazioni dei dati, poiché i numeri di Social Security rubati possono essere usati per presentare dichiarazioni fraudolente mesi dopo, non solo immediatamente. - Avvisa direttamente i dipendenti interessati, non solo tramite lo stesso canale che potrebbe essere stato compromesso. Se i loro dati personali sono stati esposti, potrebbero dover attivare un alert antifrode o un congelamento del credito.
- Documenta tutto per la tua contabilità. Transazioni invertite, pagamenti sostitutivi al dipendente colpito e eventuali fondi recuperati devono essere registrati con precisione — un incidente di frode che non viene riconciliato in modo pulito tende a riemergere come una discrepanza confusa mesi dopo.
Tieni i Tuoi Registri Finanziari Pronti per Qualsiasi Cosa
La frode sul payroll non è solo un problema di cybersecurity — è un problema di contabilità nel momento in cui accade. Se una busta paga viene dirottata, hai bisogno di registri puliti e timestampati di ogni ciclo di paga per capire esattamente cosa è cambiato, quando e chi l'ha approvato. Beancount.io offre una contabilità in testo semplice che ti dà una traccia completamente versionata e verificabile di ogni transazione — niente scatole nere, niente vendor lock-in e nessun dubbio su come apparivano i tuoi libri contabili prima che qualcosa andasse storto. Inizia gratuitamente e scopri perché sviluppatori e professionisti finanziari stanno passando alla contabilità in testo semplice.