False fatture e cambi di IBAN: la truffa che svuota i conti delle imprese

Tra le truffe che colpiscono le imprese, quella del cambio di IBAN è una delle più costose e delle più difficili da notare. Non arriva da sconosciuti e non contiene link strani: arriva, almeno in apparenza, da un fornitore con cui lavori da anni, e ti chiede soltanto di pagare una fattura su un conto diverso dal solito.

Come funziona

Lo schema ha di solito tre fasi.

L'osservazione. I truffatori ottengono accesso alla casella di posta del fornitore, o a quella di un dipendente della tua azienda, spesso con una semplice email di phishing. Per settimane leggono la corrispondenza senza farsi notare: imparano chi paga cosa, quando scadono le fatture, come si scrivono le persone.

Il messaggio. Al momento giusto, di solito quando c'è una fattura in scadenza, parte un'email credibile: "Vi informiamo che abbiamo cambiato banca, da questo mese vi preghiamo di effettuare i pagamenti sul nuovo IBAN". A volte arriva dalla casella vera del fornitore, violata. Altre volte da un indirizzo quasi identico, con una lettera diversa che nessuno nota.

Il pagamento. L'ufficio amministrativo aggiorna le coordinate e paga. Il denaro arriva su un conto controllato dai truffatori e viene spostato in fretta. Ci si accorge del problema solo settimane dopo, quando il fornitore vero sollecita il pagamento.

I segnali da riconoscere

Nessun segnale da solo è una prova, ma alcuni dovrebbero far scattare una verifica:

• una comunicazione di cambio coordinate arrivata solo via email, magari insieme a una fattura in scadenza;
• un nuovo conto intestato a un nome diverso da quello del fornitore o aperto in un altro Paese;
• urgenza insolita, richieste di riservatezza o la spiegazione che il fornitore "non è raggiungibile al telefono in questi giorni";
• piccole differenze nell'indirizzo del mittente o nel modo di scrivere;
• un PDF della fattura che sembra identico al solito, ma con l'IBAN modificato.

La verifica che blocca la truffa

La difesa più efficace è una regola semplice e non negoziabile: ogni variazione di coordinate bancarie si conferma per telefono, chiamando un numero già in vostro possesso. Non quello indicato nell'email che annuncia il cambio, che potrebbe portare direttamente ai truffatori.

Alcune accortezze rendono la regola più solida:

• chi riceve la richiesta di cambio non è la stessa persona che la approva;
• la conferma telefonica si annota, con data, nome dell'interlocutore e numero chiamato;
• per i primi pagamenti sul nuovo conto si chiede al fornitore di confermare la ricezione;
• le anagrafiche dei fornitori si modificano solo seguendo questa procedura, anche quando chi chiede è un dirigente.

Se il pagamento è già partito

Il tempo è decisivo. Contatta subito la tua banca e chiedi di tentare il richiamo del bonifico: se i fondi non sono ancora stati spostati, a volte è possibile bloccarli. Poi avvisa il fornitore usando un contatto sicuro, perché anche la sua casella potrebbe essere compromessa. Presenta denuncia alla Polizia Postale, anche tramite il portale online del Commissariato di P.S., e informa l'assistenza informatica: se la truffa è partita da una casella interna, bisogna capire chi altro è stato coinvolto.

Infine, conserva tutto: email originali con le intestazioni, fatture, ricevute dei bonifici. Serviranno alla banca, alle forze dell'ordine e, se previsto, all'assicurazione.

Una questione di procedura, non di fiducia

Chiedere conferma al telefono non significa dubitare del fornitore: significa proteggere entrambe le aziende. Spiegarlo ai fornitori una volta, per iscritto, rende la verifica normale e attesa. E rende molto più difficile il lavoro di chi conta sulla fretta di chi paga.