Il caso che raccontiamo riguarda un amministratore di Condominio esperto, con decenni di attività alle spalle, e un fornitore storico con cui collabora da quasi trent’anni. Nessun nome, perché ciò che conta non è il singolo episodio, ma il meccanismo.
Il caso concreto
L’amministratore riceve un’e-mail apparentemente ordinaria, proveniente da una casella che riproduce fedelmentel’indirizzo del fornitore di ascensori incaricato di un cantiere in corso.
Il messaggio:
- è personalizzato (nome e cognome corretti);
- fa riferimento a una morosità reale del Condominio;
- allega un estratto conto autentico, con fatture esistenti e importi corretti;
- indica correttamente: il Condominio interessato, l’indirizzo e il numero cliente del fornitore;
- richiama l’urgenza del pagamento, paventando la sospensione del cantiere o delle fornitura.
Nulla di anomalo. Nulla di “stonato”.
L’unico elemento che cambia è una frase apparentemente marginale:
“Si comunica che il nostro IBAN è stato aggiornato. Di seguito il nuovo conto su cui effettuare il pagamento.”
L’IBAN indicato è formalmente valido, intestato a una banca online.
L’e-mail si chiude con il nome e cognome del titolare dell’impresa, esattamente quello conosciuto dall’amministratore.
Il bonifico viene eseguito.
Qualche giorno dopo, il titolare dell’impresa chiama lamentando il mancato pagamento.
Dal confronto emerge l’evidenza: l’IBAN non è mai stato cambiato. Il pagamento è partito, ma il beneficiario è un soggetto terzo.
La truffa si è già consumata.
Non è phishing: è una truffa evoluta
Questo tipo di episodio non rientra nel phishing “classico”, fatto di e-mail sgrammaticate o richieste grossolane.
Siamo davanti a una Business E-mail Compromise (BEC), una delle forme di frode oggi più insidiose perché non inventa dati, bensì sfrutta quelli reali.
Importi, fatture, condomìni, rapporti contrattuali: tutto è corretto.
Questo presuppone una compromissione preventiva di una casella e-mail (dello Studio, del fornitore o di un intermediario), che consente di osservare i flussi e intervenire nel momento più credibile possibile.
Il rischio non nasce dall’eccezione, ma dalla routine.
“Ma se IBAN e intestatario non coincidono, la banca non blocca?”
È una domanda legittima, ed è proprio qui che cade una falsa sicurezza.
L’idea diffusa è che il sistema bancario blocchi automaticamente un bonifico quando IBAN e beneficiario non coincidono.
In realtà, anche se il quadro normativo europeo sta evolvendo verso controlli preventivi (al momento dell’inserimento dati per la disposizione di bonifico) più stringenti, la decisione finale resta comunque in capo all’ordinante.
In altre parole, i sistemi di verifica aiutano, ma non sostituiscono il giudizio umano né eliminano il rischio quando l’operazione appare, in buona fede, coerente e legittima.
Se l’IBAN è formalmente corretto e il cliente conferma l’operazione, il bonifico parte e quando parte, il recupero delle somme è spesso impossibile.
Perché queste truffe funzionano così bene
Perché colpiscono proprio dove ci si sente al sicuro:
- rapporti consolidati;
- fornitori storici;
- procedure “rodate” nel tempo;
- urgenze operative credibili.
Non fanno leva sull’ingenuità o sull’imprudenza, ma sulla normalità; questo le rende pericolose anche per professionisti esperti.
La vera contromisura: una regola semplice, ma rigida
Non esistono al momento software miracolosi, antivirus, o controlli automatici risolutivi.
La difesa più efficace è procedurale, non tecnologica.
Nessuna variazione di IBAN deve essere accettata sulla sola base di un’e-mail.
La buona prassi è una sola:
Ogni cambio di coordinate bancarie deve essere confermato tramite un secondo canale, su un recapito già noto (telefonico o incontro diretto).
Poche righe, una regola interna chiara, applicata sempre, senza eccezioni.
Anche con i fornitori di fiducia.
©Riproduzione riservata
Lascia un commento