Truffa del CEO: il finto capo che chiede un bonifico urgente

La truffa del CEO è un messaggio, una telefonata o una videochiamata di qualcuno che finge di essere il tuo capo e chiede a chi può fare i bonifici di pagare subito, in segreto, su un conto diverso dal solito. Il segnale non è un dettaglio strano nel messaggio: è la combinazione di autorità, fretta e segreto. La difesa che le fonti indicano per prima richiede pochi minuti: prima di pagare chiami tu la persona, con un numero che hai già.

Lo scrivo per titolari e uffici amministrativi di piccole imprese venete. Sono un web developer, non un esperto di sicurezza: qui metto in ordine ciò che dicono la Polizia di Stato, la Polizia Postale, l’Interpol e le banche, con le fonti in fondo. Spiego come funziona il meccanismo perché chi lo conosce lo riconosce; non troverai testi da copiare né istruzioni per farlo.

Come funziona la truffa del CEO

Gli esperti la chiamano anche business email compromise. Ha tre tempi.

L’esca. Chi truffa si presenta come un capo o un dirigente e scrive a chi può disporre pagamenti, di solito l’ufficio amministrativo o contabile. Prima studia l’azienda: la Polizia di Stato parla di una “profilazione” dei dirigenti sul web e sui social, e un articolo di Panorama racconta che i criminali osservano la posta aziendale per settimane. Il mittente può essere falsificato, oppure la casella è quella vera del capo, ma violata.

La pressione. La richiesta è urgente, riservata e chiede di saltare le procedure normali. L’avviso di una banca italiana lo dice con queste parole: pagamento urgente, riservatezza, “non seguire le regolari procedure”. Per questo non basta guardare il testo del messaggio: il lavoro del truffatore è non lasciarti il tempo di controllare.

L’incasso. Il denaro va su un conto diverso dal solito, spesso all’estero. A volte la richiesta non arriva per email: l’FBI e Panorama descrivono anche il contatto per telefono o in videochiamata, e i messaggi possono essere molto curati, perché con l’AI si scrivono in fretta testi dal tono ufficiale (lo dicono l’FBI e UBS). Anche la voce di una persona può essere riprodotta con l’AI. Non vuol dire che ogni truffa usi l’AI: vuol dire che “mi sembrava proprio lui” non è più una prova.

Un caso in Veneto: Verona, aprile 2024

Il 20 aprile 2024 la Polizia di Stato ha raccontato un tentativo contro un’azienda veneta. Un finto amministratore delegato aveva contattato l’ufficio contabile per ottenere un bonifico su un conto estero. Grazie a una segnalazione rapida, i fondi sono stati bloccati prima che arrivassero all’estero.

Non c’è colpa in chi riceve una richiesta del genere: chi truffa lo fa di mestiere. Il punto utile per un’azienda piccola è l’ultimo: segnalare in fretta ha fatto la differenza.

I 3 segnali: autorità, fretta, segreto

1. Autorità. La richiesta sembra venire da chi comanda, e per questo nessuno vuole fare domande.
2. Fretta. “Va fatto adesso.” La fretta serve a non farti chiamare nessuno.
3. Segreto. “Non dirlo a nessuno.” Un pagamento vero passa dalle persone e dalle procedure dell’azienda; uno che deve restare nascosto è un pagamento da controllare.

Quando le tre cose arrivano insieme, la richiesta è fuori dalla procedura normale. Chi la riceve ha tutto il diritto di fermarsi.

Tre esempi inventati

Sono esempi che ho inventato io per far capire lo schema, non casi reali.

• Esempio A. Il titolare di una ditta di serramenti è “in riunione” e scrive all’amministrazione: serve subito un pagamento a un fornitore nuovo, e non va detto a nessuno.
• Esempio B. Un fornitore abituale scrive che da oggi il conto per i pagamenti è cambiato. È la variante del fornitore: il messaggio cambia il conto, e i soldi vanno a chi lo ha scritto.
• Esempio C. Telefona la “responsabile” e chiede un bonifico riservato per un’acquisizione. Sul display c’è il numero dell’ufficio.

In nessuno dei tre si può capire dal messaggio o dal numero se la richiesta è vera. Il numero che compare sul telefono può essere falsificato: la Polizia di Stato lo ha spiegato nel novembre 2023 a proposito di un altro tipo di truffa, con il numero reale copiato da un falso operatore. Anche l’indirizzo di posta non basta: se la casella è stata violata, il mittente è quello giusto. La difesa è la stessa nei tre casi.

Cosa fare quando arriva la richiesta

1. Non fare.

• Non pagare solo perché lo chiede un superiore. Le procedure di pagamento valgono anche per il capo.
• Non cambiare l’IBAN di un fornitore per un messaggio, nemmeno se sembra quello solito.
• Non rispondere al messaggio e non richiamare il numero che ti ha scritto.

2. Controllare.

• Chiama la persona su un canale diverso da quello della richiesta, e già noto: la rubrica, il numero dell’ufficio, un collega vicino. La Polizia di Stato consiglia un “diverso e sicuro canale comunicativo interno”; l’Interpol dice di ricontrollare con un altro canale.
• Guarda l’indirizzo completo del mittente, non solo il nome che compare. Ma non fermarti qui: una casella violata ha l’indirizzo giusto.
• Se puoi, fai passare i pagamenti da più di una persona. Non è un consiglio della Polizia: è una prassi indicata da UBS e da Cybersecurity360, che raccomandano di evitare le autorizzazioni singole.

3. Se il bonifico è già partito.

• Avvisa subito la tua banca, per provare a bloccare o richiamare il bonifico. Non è una garanzia: nel caso di Verona la segnalazione rapida ha permesso di bloccare i fondi, ma non è detto che succeda sempre.
• Per una frode in corso chiama il 112 o il 113 e fai denuncia. Il modulo “Segnala online” della Polizia Postale non è pensato per le denunce né sostituisce il pronto intervento.
• Segnala il tentativo sul sito della Polizia Postale, anche se non hai perso nulla: lo dice l’avviso della banca, e la Polizia invita a segnalare con tempestività.

Non è colpa tua. La truffa è costruita per far sbagliare persone attente.

Cosa si crede e non è vero

• “Se la mail arriva dall’indirizzo vero del capo, è sicura.” No: il truffatore può entrare in una casella vera e inserirsi in conversazioni reali.
• “Gli errori nel testo la smascherano.” Non come regola. A volte l’indirizzo è diverso di un solo carattere, e la mail può essere perfetta.
• “Se mi chiama il capo, è lui.” No, il numero può essere replicato o compromesso.
• “Basta richiamare il numero che mi ha scritto.” No, richiamarlo non verifica niente.
• “Colpiscono solo le grandi aziende.” No: le fonti parlano di aziende e di persone, non solo di grandi gruppi.
• “Un bonifico fatto è perso.” Non sempre, ma agire subito conta.

Per un’azienda piccola: tre regole scritte

Un ufficio di tre persone non ha un reparto sicurezza, ma può avere tre regole che stanno su un foglio. Sono regole di buon senso mie, non un obbligo di legge né un consiglio della Polizia:

1. Nessun pagamento nuovo, né cambio di IBAN, si esegue sulla base di un solo messaggio o una sola telefonata.
2. Ogni richiesta urgente si verifica richiamando la persona su un numero già in rubrica.
3. Chiunque abbia dubbi può fermarsi senza dover spiegare, e il titolare lo sa in anticipo.

Se vuoi che il tuo personale capisca come funziona l’AI generativa, quella che rende credibili testi e voci false, e dove sbaglia, lo faccio nel workshop AI in azienda. Se invece usate già chatbot e assistenti senza regole, ho scritto cosa può succedere ai dati in Shadow AI nelle PMI.

Domande frequenti

Testo preparato con l’AI e verificato sulle fonti indicate. L’avatar di Kevin nelle immagini è generato con l’AI.