Come evitare la truffa del cambio IBAN

Come una familiare email di un fornitore si trasforma in un rischio aziendale a cinque cifre — e i semplici controlli che le PMI possono implementare oggi.

A cura del team editoriale di Safegram

20 ottobre 2026 • Dublino, Irlanda

Una conversazione di routine sulla contabilità può essere l'ultima occasione per mettere in discussione un'istruzione di pagamento modificata. Illustrazione editoriale generata da IA, non è una fotografia di un incidente reale.

Le piccole imprese irlandesi hanno perso 18,9 milioni di euro in truffe legate alle email in un periodo di due anni, secondo i dati pubblicati dalla Banking & Payments Federation Ireland nel marzo 2026. Questo ottobre, mentre l'Europa si concentra sulla cybersicurezza sul posto di lavoro, la risposta più utile potrebbe non essere un altro strumento complicato. Potrebbe essere una regola: mai cambiare le coordinate bancarie di un fornitore senza una conferma indipendente.

Punti chiave

• FraudSMART/BPFI ha riportato 18,9 milioni di euro di perdite per le PMI a causa di truffe via email nei due anni precedenti; le perdite medie registrate dagli istituti partecipanti hanno superato i 22.000 euro per incidente.
• La frode del reindirizzamento delle fatture può iniziare con una comune richiesta di aggiornamento dell'IBAN di un fornitore. La successiva fattura autentica potrebbe quindi essere pagata sul conto sbagliato.
• Un piccolo sondaggio condotto tra i membri ISME nel febbraio-marzo 2026 ha rilevato che il 53% dei rispondenti non aveva linee guida o formazione specifica per i dipendenti sulla consapevolezza delle frodi; il campione era di 65 aziende, non un censimento nazionale.
• Richiamate telefoniche indipendenti ai fornitori, doppia approvazione dei pagamenti, autenticazione a più fattori e un processo scritto per la modifica dei beneficiari sono difese pratiche.
• I profili online verificati possono migliorare i segnali di identità nella fase di ricerca, ma nessun badge sostituisce la verifica della destinazione di un pagamento.

Una fattura legittima può contenere una destinazione falsa

Si consideri un ipotetico bar di Dublino che ordina prodotti freschi dallo stesso grossista ogni settimana. Il rapporto è consolidato, l'ordine d'acquisto è previsto e l'importo della fattura è normale. Ma prima che la fattura arrivi, qualcuno che apparentemente rappresenta il grossista chiede al bar di aggiornare il conto bancario utilizzato per i pagamenti futuri.

Nient'altro nel rapporto commerciale deve cambiare. La consegna arriva comunque. La fattura è autentica. Il denaro viene semplicemente dirottato su un conto che non appartiene al fornitore.

Questa è la frode del reindirizzamento delle fatture: un inganno in cui un'azienda viene indotta a cambiare il conto su cui paga un fornitore reale o presunto. È una forma comune di Business Email Compromise (BEC), una categoria più ampia di attacchi che comportano l'impersonificazione di contatti fidati. Un criminale potrebbe simulare un indirizzo o sfruttare un account già compromesso. Il pericolo non è sempre una fattura palesemente falsa; è la fiducia mal riposta creata da un rapporto di lavoro esistente.

Il National Cyber Security Centre (NCSC) irlandese descrive la BEC come l'impersonificazione di un dirigente, fornitore o dipendente per ottenere denaro o informazioni sensibili. FraudSMART consiglia alle aziende di verificare le modifiche proposte alle coordinate bancarie utilizzando un contatto già noto — non il numero di telefono fornito nella richiesta di modifica. [2, 3]

I numeri sono troppo elevati perché sia solo un problema informatico

Il 27 marzo 2026, FraudSMART, l'iniziativa guidata dalla Banking & Payments Federation Ireland (BPFI), ha riferito che le PMI irlandesi avevano perso 18,9 milioni di euro a causa della truffa del cambio IBAN e altre frodi via email nei due anni precedenti. I suoi istituti membri riscontravano perdite medie superiori a 22.000 euro per incidente. Il reindirizzamento delle fatture e l'impersonificazione del CEO sono stati identificati come rischi preminenti. [1]

Un sondaggio separato condotto con i membri ISME nel febbraio e marzo 2026 ha rilevato che il 67% dei 65 intervistati ha dichiarato che la propria attività era stata presa di mira da una truffa finanziaria nei 12 mesi precedenti. Tra i rispondenti, il 53% ha riferito di non avere linee guida o formazione specifica per la consapevolezza delle frodi per i dipendenti. Il campione è piccolo e non deve essere trattato come una stima rappresentativa per ogni PMI irlandese; tuttavia, offre ai proprietari un divario che possono testare nel proprio ambiente di lavoro. [1]

Il tempismo è rilevante. Il Mese europeo della cybersicurezza si svolge per tutto l'ottobre 2026, con l'enfasi di quest'anno sulle competenze e la preparazione sul posto di lavoro. Il messaggio è importante soprattutto per i rivenditori indipendenti, gli artigiani, le attività ricettive, le agenzie creative e i liberi professionisti che gestiscono messaggi commerciali tramite email, app di messaggistica e social media senza un dipartimento finanziario dedicato. [4]

Perché la risposta più sicura è a volte interrompere la conversazione

Un'istruzione di pagamento sospetta può arrivare all'interno di una conversazione altrimenti normale. È proprio per questo che rispondere alla stessa email o chiamare il numero nella sua firma potrebbe non confermare nulla. Se l'account del mittente è compromesso, l'attaccante può vedere o influenzare la risposta. Se un messaggio è stato contraffatto, i dettagli di contatto potrebbero riportare al truffatore.

Verifica indipendente significa avviare una nuova conversazione utilizzando un numero o un metodo di contatto che l'azienda aveva registrato prima della richiesta. Contattate una persona conosciuta presso il fornitore, confermate la modifica, registrate l'esito e non effettuate il pagamento finché il controllo non è completo. Applicate la stessa regola quando una richiesta sembra provenire dal titolare, dal commercialista o dalla persona più senior dell'azienda. [2, 3]

Un team di costruzione di Dublino controlla direttamente con il fornitore prima di modificare i dettagli di pagamento. Illustrazione editoriale generata da IA.

Un'esercitazione di sette minuti sulla sicurezza dei pagamenti

Una piccola organizzazione non ha bisogno di un complesso dipartimento di cybersicurezza per praticare la sua prima difesa. Ha bisogno di un processo ripetibile che sopravviva a un frenetico venerdì pomeriggio, a un'assenza del personale o a un messaggio urgente da un cliente abituale.

Minuto 1: decidere chi può modificare i dettagli dei fornitori

Assegnate a un dipendente responsabile la gestione del registro dei fornitori. Registrate come vengono approvati i nuovi beneficiari, chi può cambiare un IBAN e dove sono conservati i dettagli di contatto verificati indipendentemente. I fogli di calcolo condivisi senza permessi appropriati o cronologia delle modifiche creano incertezze inutili.

Minuti 2–3: stabilire il richiamo telefonico indipendente

Richiedete una telefonata a un numero di fornitore precedentemente registrato per ogni modifica delle coordinate bancarie, incluse le richieste da dipendenti conosciuti o venditori storici. Non fate mai affidamento esclusivamente su un numero mostrato nella nuova email, nel messaggio in chat o nella fattura. Registrate la data, la persona contattata e l'esito della conferma.

Minuto 4: aggiungere un secondo paio di occhi

Utilizzate la doppia approvazione per i trasferimenti significativi e i primi pagamenti a un conto recentemente modificato. Il secondo approvatore dovrebbe esaminare il beneficiario in modo indipendente, non limitarsi a premere "approva". FraudSMART raccomanda specificamente la doppia autorizzazione elettronica per i pagamenti a terzi. [1]

Minuto 5: mettere in sicurezza i canali utilizzati

Abilitate l'autenticazione a più fattori sulle email aziendali e sui conti finanziari; utilizzate password forti e uniche, mantenete i dispositivi aggiornati e limitate l'accesso ai sistemi di pagamento. La crittografia e la verifica dell'identità possono affrontare alcuni rischi, ma non possono garantire che ogni istruzione di pagamento sia corretta.

Minuti 6–7: provare lo scenario

Chiedete a un collega di interpretare il fornitore e a un altro di rispondere a una richiesta fittizia di cambio conto. Il destinatario riesce a trovare il numero memorizzato indipendentemente? La richiesta rimane in sospeso fino alla conferma? Un secondo approvatore sa cosa controllare? In caso contrario, migliorate la procedura e testatela di nuovo. Questa è formazione con un risultato pratico, non una presentazione dimenticata.

Quando una prenotazione locale diventa un rischio di pagamento

La stessa sfida appare nella creator economy e nel commercio locale. Un video maker riceve una richiesta da un ristorante; un fotografo fa un preventivo per una location per matrimoni; un appaltatore negozia un acconto per una ristrutturazione. La prima interazione potrebbe iniziare su una piattaforma social, spostarsi nei messaggi diretti e finire con un bonifico. Ogni passaggio lascia spazio alla confusione.

Un account falso può imitare un creator noto; un cliente autentico può ricevere una falsa modifica di pagamento; un'agenzia può trattare un IBAN su uno screenshot come attuale. La fiducia digitale, quindi, non può finire alla fase di scoperta. Deve essere mantenuta quando la transazione avviene effettivamente.

Safegram sta perseguendo un modello che unisce profili verificati, scoperta locale e annunci di servizi per creator o aziende all'interno di Safegram Exchange (il marketplace verificato della piattaforma). Ciò può aiutare un potenziale cliente a vedere chi offre un servizio. L'ambizione a lungo termine è collegare maggiormente il percorso di richiesta, prenotazione e pagamento attorno a un livello di fiducia persistente, piuttosto che disperdere la relazione su strumenti non correlati. Tuttavia, un profilo verificato non è una garanzia contro account compromessi, istruzioni di pagamento fraudolente o bonifici errati.

La distinzione è importante tanto per le giovani piattaforme quanto per i marketplace consolidati. La verifica può aiutare a stabilire chi ha aperto un account; la sicurezza dei pagamenti necessita di controlli appropriati nel momento in cui il denaro si muove, processi di disputa chiari e spiegazioni trasparenti su cosa è — e cosa non è — protetto.

La fiducia si costruisce nel flusso di lavoro, non solo nel profilo

I servizi consolidati hanno punti di forza reali: le banche offrono team antifrode e controlli sulle transazioni; i marketplace specializzati possono fornire un onboarding strutturato dei commercianti; i social network portano un'ampia visibilità; i software di prenotazione dedicati risolvono problemi specifici del settore. Questi vantaggi meritano riconoscimento.

Eppure, il percorso tra scoperta social, messaggistica, fatturazione, pagamento e supporto post-vendita rimane frammentato per molti piccoli team. Safegram intende nel tempo ridurre tale frammentazione attraverso identità verificate, community, prodotti, servizi e prenotazioni in Plans (il sistema di gestione degli abbonamenti e servizi) o Circles (i gruppi tematici e di networking). Se un'esperienza unificata sarà dimostrabilmente più sicura dipenderà da operazioni responsabili e controlli misurabili — non da una promessa di marketing.

Un rivenditore indipendente esamina una richiesta prima che entri nel processo di pagamento. Illustrazione editoriale generata da IA.

Cosa fare se hai già pagato sul conto sbagliato

Agite rapidamente. Contattate immediatamente la banca o il fornitore di servizi di pagamento, spiegate che il bonifico potrebbe essere fraudolento e chiedete se può essere richiamato o bloccato. Il recupero non è garantito, in particolare per un bonifico bancario autorizzato. Conservate i messaggi originali, le intestazioni complete delle email, le fatture, i dettagli dell'account e i riferimenti delle transazioni. Segnalate la sospetta frode criminale all'An Garda Síochána (o alle autorità locali competenti) e consultate la guida alla segnalazione degli incidenti dell'NCSC se è coinvolta una compromissione informatica. [3, 5]

Mettete in sicurezza gli account interessati, controllate gli accessi recenti e avvisate i fornitori o i clienti legittimi se le comunicazioni potrebbero essere state oggetto di impersonificazione. Non investigate esclusivamente attraverso una casella di posta che sospettate sia compromessa. Se sono stati esposti dati personali, considerate separatamente gli obblighi di notifica sulla protezione dei dati dell'organizzazione.

La prevenzione non dovrebbe ridursi a dire ai dipendenti di stare "più attenti". Un dipendente sotto pressione dovrebbe poter fare affidamento su una regola che impedisce un pagamento dubbio finché qualcuno non lo controlla. Procedure ben progettate proteggono le persone proprio quando sono impegnate.

La domanda che ogni titolare dovrebbe porsi stamattina

Chiedete a chiunque gestisca i pagamenti: cosa succede se il nostro principale fornitore ci invia un'email oggi per cambiare il suo IBAN? Se la risposta è "aggiorniamo il foglio di calcolo", l'azienda ha trovato un miglioramento urgente da apportare. Se la risposta è "chiamiamo il numero verificato indipendentemente, documentiamo l'approvazione e richiediamo una seconda firma", il team ha una difesa che vale la pena praticare.

Il Mese europeo della cybersicurezza termina il 31 ottobre. Un processo di pagamento sensato dovrebbe durare molto più a lungo.

Domande frequenti

Cos'è la frode del reindirizzamento delle fatture?

È una truffa in cui qualcuno impersona un fornitore o un'altra parte fidata e convince un'azienda a pagare su un conto bancario fraudolento, spesso richiedendo una modifica ai dettagli IBAN memorizzati.

In cosa il reindirizzamento delle fatture differisce dal phishing?

Il phishing cerca di ingannare i destinatari per indurli a rivelare informazioni, cliccare su un link dannoso o compiere un'altra azione non sicura. Il reindirizzamento delle fatture è una tattica specifica di diversione dei pagamenti e può comportare phishing o la compromissione dell'email aziendale.

Quanto hanno perso le PMI irlandesi a causa delle truffe via email?

FraudSMART/BPFI ha riportato 18,9 milioni di euro di perdite nei due anni precedenti la pubblicazione del 27 marzo 2026. La cifra copre le truffe legate alle email in generale, non solo la frode del reindirizzamento delle fatture.

Rispondere all'email di un fornitore è sufficiente per verificare le nuove coordinate bancarie?

No. Una risposta può raggiungere qualcuno che controlla una casella di posta compromessa. Contattate l'azienda in modo indipendente utilizzando un numero di telefono precedentemente verificato e documentate la risposta.

Qual è la protezione più semplice per una piccola impresa?

Richiedere un richiamo telefonico indipendente prima di cambiare le coordinate bancarie dei fornitori, una seconda approvazione per i pagamenti significativi e l'autenticazione a più fattori sulle email aziendali.

Un badge di azienda verificata significa che un pagamento è sicuro?

No. La verifica tramite Didit (il protocollo di identità digitale) può fornire prove sull'identità di chi ha aperto l'account, ma non convalida ogni conto bancario, istruzione o transazione successiva.

Dove dovrebbe segnalare un pagamento fraudolento un'azienda irlandese?

Contattare immediatamente la propria banca e segnalare la sospetta frode criminale all'An Garda Síochána. Utilizzare le risorse del National Cyber Security Centre in caso di compromissione di email o reti.

Passa all'azione

Inizia con un miglioramento oggi stesso: scrivi la regola per la modifica delle coordinate bancarie dei fornitori, assegna a un collega la responsabilità di farla rispettare e testala con uno scenario realistico. Le imprese locali e i creator che sviluppano una presenza professionale verificata possono esplorare Safegram Exchange su https://safegram.com — mantenendo comunque controlli di pagamento indipendenti ovunque avvenga una transazione.

Fonti e riferimenti

1. Banking & Payments Federation Ireland / FraudSMART, "Almost €19 million lost by SMEs to email-related scams over the past two years", 27 marzo 2026. https://bpfi.ie/almost-e19-million-lost-by-smes-to-email-related-scams-over-the-past-two-years-fraudsmart/

2. FraudSMART, "Invoice Re-Direction Fraud", business guidance, consultato il 20 ottobre 2026. https://www.fraudsmart.ie/business/fraud-scams/email-fraud/invoice-re-direction-fraud/

3. National Cyber Security Centre, "Protecting Against Business Email Compromise and Payment Fraud Guidance", consultato il 20 ottobre 2026. https://www.ncsc.gov.ie/guidance/

4. Commissione Europea / European Digital Skills and Jobs Platform, "European Cybersecurity Month 2026", ottobre 2026. https://digital-skills-jobs.europa.eu/en/latest/news/european-cybersecurity-month-2026

5. National Cyber Security Centre, incident reporting and cyber-security guidance, consultato il 20 ottobre 2026. https://www.ncsc.gov.ie/npc24/