Truffa del CEO e business email compromise: come verificare il mittente di un'email prima di pagare

Risposta rapida

La business email compromise (BEC), di cui la truffa del CEO è una delle forme, è una truffa in cui i criminali mandano email che sembrano arrivare dal tuo capo, da un fornitore o da un avvocato, per farti pagare o cambiare le coordinate bancarie. Per verificare il mittente, controlla indirizzo e dominio lettera per lettera, cerca il risultato "pass" di SPF, DKIM e DMARC nei dettagli del messaggio e non dare seguito a una richiesta di pagamento prima di aver chiamato la persona a un numero che avevi già. Se hai pagato, chiama subito la banca e denuncia.

Numeri chiave

• 3,05 miliardi di dollaripersi per business email compromise segnalati all'FBI nel 2025, in 24.768 denunceFBI IC3 2025 Internet Crime Report
• 679 milioni di dollaricongelati per le vittime dal Recovery Asset Team dell'FBI nel 2025, con un tasso di successo del 58% su 1,16 miliardi di dollari segnalatiFBI IC3 2025 Internet Crime Report
• 41,3 milioni di sterlinepersi nel Regno Unito nel 2025 per truffe su fatture e mandati di pagamento, in 2.305 casiUK Finance Annual Fraud Report 2026
• 55,5 miliardi di dollaridi perdite BEC accertate nel mondo da ottobre 2013 a dicembre 2023, in 305.033 incidentiFBI IC3 PSA, settembre 2024

Ti arriva un'email da un fornitore che paghi ogni mese. Ha cambiato banca, e la prossima fattura va pagata sul nuovo conto. Oppure il tuo amministratore delegato ti scrive dall'aeroporto: un pagamento urgente e riservato deve partire entro fine giornata. Il nome è giusto, il tono è giusto, il logo è giusto. La domanda è se a scriverti sia stata davvero la persona che pensi.

Questa è la business email compromise, la famiglia di truffe a cui appartiene anche la truffa del CEO, ed è uno dei reati più costosi tra quelli monitorati dall'FBI. Nel 2025 aziende e privati hanno denunciato perdite per 3,05 miliardi di dollari dovute alla BEC, in 24.768 segnalazioni all'Internet Crime Complaint Center dell'FBI. La soluzione è semplice ma rigorosa: qualche controllo per verificare il mittente dell'email e una regola di richiamata che nessuno salta.

Che cos'è la business email compromise?

La business email compromise è una truffa in cui i criminali si spacciano via email per qualcuno di cui ti fidi, come un fornitore, un dirigente, un dipendente o un avvocato, per farti inviare denaro o dati riservati. L'FBI la descrive come rivolta a persone e aziende che fanno regolarmente bonifici, usando account email violati o falsificati e, sempre più spesso, anche numeri di telefono e app per videoriunioni. Il National Cyber Security Centre irlandese ne elenca quattro forme comuni:

• Frode del fornitore o della fattura: l'email di un vero fornitore viene violata, o copiata con un dominio simile, per mandare fatture false o "nuove coordinate bancarie". In Italia è nota anche come truffa "man in the middle" o del cambio IBAN.
• Truffa del CEO: un finto dirigente chiede un bonifico urgente e segreto o delle carte regalo.
• Deviazione dello stipendio: un finto dipendente chiede all'ufficio del personale di accreditare lo stipendio su un nuovo conto.
• Falso avvocato: un finto legale o una finta agenzia che gestisce la compravendita (la "title company" negli USA) manda le istruzioni per il bonifico di un affare o del rogito di una casa.

Nel Regno Unito le banche hanno registrato 41,3 milioni di sterline persi per truffe su fatture e mandati di pagamento nel 2025, in 2.305 casi, e altri 5,6 milioni di sterline per la truffa del CEO.

Che aspetto ha un'email di business email compromise?

Sembra normale, ed è proprio questo il punto. Le email BEC raramente contengono malware o link. Puntano su una storia credibile, una scadenza e una piccola modifica. Ecco esempi tipici, riformulati:

Buongiorno, vi informiamo che abbiamo trasferito i nostri rapporti bancari presso un nuovo istituto. In allegato le coordinate aggiornate. Vi preghiamo di utilizzarle per la fattura n. 4471 e per tutti i pagamenti futuri. Il vecchio conto è stato chiuso.

Sei alla scrivania? Ho bisogno che tu gestisca oggi un pagamento riservato per un'acquisizione. Per ora non parlarne con nessuno. Sono in riunione, quindi sentiamoci solo via email.

Ciao, ho cambiato banca. Potete aggiornare l'IBAN per l'accredito dello stipendio prima della prossima elaborazione delle buste paga? Nuove coordinate qui sotto.

L'FBI osserva che oggi l'IA rende queste email più curate: i chatbot possono imitare lo stile di scrittura di un dirigente e la clonazione della voce può rafforzare la richiesta al telefono. Nel 2025 le aziende hanno segnalato oltre 30 milioni di dollari di perdite BEC in cui era coinvolta l'IA.

Come verifico il mittente di un'email?

Controlla l'indirizzo vero, controlla il dominio, controlla i risultati dell'autenticazione e poi conferma per telefono, a un numero che avevi già. Procedi in quest'ordine.

1. Mostra l'indirizzo completo. Il nome visualizzato ("Sara Rossi, Amministrazione") può dire qualsiasi cosa. Tocca il nome o passaci sopra con il mouse per vedere l'indirizzo reale. Sul telefono questo passaggio si salta facilmente, ed è per questo che l'FBI consiglia di impostare la posta in modo che mostri gli indirizzi completi.
2. Leggi il dominio lettera per lettera. Cerca caratteri scambiati o aggiunti: "acme-corp.com" invece di "acmecorp.com", "rn" al posto di "m", "l" al posto di "i", ".co" invece di ".com", oppure un indirizzo gratuito come Gmail per un'azienda che ha un dominio suo.
3. Controlla il Reply-To. Premi "Rispondi" e guarda la riga "A" prima di scrivere. Se compare un indirizzo diverso, l'email è costruita per dirottare la tua risposta altrove.
4. Controlla i risultati dell'autenticazione (SPF, DKIM, DMARC), spiegati qui sotto.
5. Guarda lo storico della conversazione. È un nuovo thread che "continua" uno vecchio? Sono cambiati la firma, il numero di telefono o il tono?
6. Chiama per confermare usando un numero dei tuoi archivi, mai quello nell'email. È il passaggio che blocca davvero la perdita.

Un'email inviata da un account vero ma violato supera tutti i controlli tecnici. Per questo il passaggio 6 non è facoltativo per nessun pagamento e per nessun cambio di coordinate bancarie.

Come controllo SPF, DKIM e DMARC su un'email?

Apri i dettagli completi o le intestazioni del messaggio e cerca le parole "pass" o "fail" accanto a SPF, DKIM e DMARC. In Gmail, apri l'email, clicca sul menu con i tre puntini e scegli "Mostra originale". In Outlook, apri le proprietà del messaggio o "Visualizza origine messaggio" e cerca la riga "Authentication-Results".

Un fail su un'email di pagamento è un segnale di stop. Un pass dimostra solo che l'email arriva da quel dominio. Non dimostra che il dominio sia quello giusto (un dominio simile può superare tutti e tre i controlli) né che l'account non sia stato violato. Considera questi controlli un filtro, non un verdetto.

Come verifico chi c'è dietro un dominio o un indirizzo email?

Controlla la data di registrazione del dominio, poi verifica la persona dietro l'indirizzo. Usa il servizio gratuito di ICANN per la ricerca dei dati di registrazione. Il dominio di un fornitore registrato dieci anni fa è normale. Un dominio simile registrato la settimana scorsa è una truffa. Proprio per questo l'NCSC irlandese consiglia di bloccare o segnalare la posta che arriva da domini registrati da poco.

Per un nuovo contatto, un nuovo fornitore o un nome che non conosci, una ricerca Contatto di lavoro su Search A-Z ti aiuta. Inserisci nome e cognome del mittente e il Paese, scegli "Contatto di lavoro" e aggiungi indirizzo email e azienda. Il report verifica se l'email è reale e il suo rischio di frode, e mostra l'email di lavoro della persona, lavoro e azienda attuali, esperienze lavorative, profili professionali pubblici, registrazione dell'azienda (ruoli presso la Companies House britannica e registro LEI mondiale), notizie e menzioni sul web ed eventuali segnalazioni pubbliche di truffa o frode. Se del "nuovo responsabile amministrativo" non c'è traccia presso il fornitore, hai la tua risposta. La persona non viene mai avvisata della tua ricerca.

Che cos'è una procedura di verifica con richiamata?

Una procedura di richiamata (call-back) è una regola scritta: ogni nuovo pagamento, cambio di coordinate bancarie o richiesta di bonifico urgente va confermato con una telefonata in uscita a un numero già in archivio, prima che il denaro si muova. È il controllo anti-BEC più efficace in assoluto, ma solo se fatto bene. La guida di JPMorgan su quando le richiamate vanno storte elenca gli errori tipici: fidarsi di una telefonata in arrivo che "conferma" l'email, usare il numero stampato nell'email o nella fattura, e parlare con qualcuno che non è la persona giusta.

Una procedura semplice che puoi copiare:

• Ogni cambio delle coordinate bancarie di un fornitore o di un dipendente si conferma con una telefonata in uscita a un numero preso dall'anagrafica fornitori, dal contratto o dal sito ufficiale del fornitore, mai dalla richiesta.
• La chiamata va a una persona precisa, con cui hai già avuto a che fare.
• Le richieste urgenti o riservate ricevono più controlli, non meno.
• I pagamenti sopra una certa soglia richiedono l'approvazione di due persone.
• Le nuove coordinate bancarie restano in attesa per un periodo di sicurezza (per esempio da 24 a 48 ore) prima del primo pagamento.
• Il personale sa, per iscritto, che nessuno, nemmeno l'amministratore delegato, se la prenderà con chi ritarda un pagamento per verificarlo.

Un copione per la telefonata:

Buongiorno, sono Alessandro dell'amministrazione di Northfield. Abbiamo ricevuto un'email con nuove coordinate bancarie per le vostre fatture. Prima di modificare qualcosa, può confermarmi che l'avete inviata voi e leggermi le ultime quattro cifre del nuovo conto?

Come deve gestire un'azienda una richiesta di cambio delle coordinate di pagamento?

Tratta ogni cambio di pagamento come sospetto finché non è verificato fuori banda, cioè su un canale diverso dall'email, e registra ogni passaggio. Questa procedura funziona per le piccole aziende come per le grandi:

1. Registra la richiesta con data, indirizzo del mittente e dati richiesti. Per ora non rispondere.
2. Chiama il fornitore al numero già presente nei tuoi sistemi e conferma con il tuo referente abituale.
3. Controlla l'intestatario del nuovo conto. Nel Regno Unito, la Confirmation of Payee ti dice se il nome sul conto corrisponde. Nell'area euro, dal 9 ottobre 2025 la Verifica del beneficiario (Verification of Payee) fa lo stesso per i bonifici in euro. Un esito "non corrisponde" o "corrisponde parzialmente" è un campanello d'allarme.
4. Fai approvare la modifica da una seconda persona.
5. Invia un piccolo pagamento di prova e conferma per telefono che è arrivato, prima dell'importo pieno.
6. Fai attenzione ai solleciti. Le pressioni per saltare uno di questi passaggi sono già di per sé un segnale d'allarme.

Le stesse regole ti proteggono anche come fornitore: comunica per iscritto ai clienti che non cambierai mai le coordinate bancarie solo via email. Per i nuovi clienti, la nostra guida su come verificare un nuovo cliente prima di iniziare copre i controlli più ampi.

Cosa fare se hai pagato una fattura falsa?

Chiama subito la banca e chiedi di richiamare il pagamento, poi denuncia il fatto all'FBI o alla polizia del tuo Paese il giorno stesso. La velocità conta più di qualsiasi altra cosa. L'NCSC irlandese avverte che la maggior parte dei fondi è irrecuperabile se non viene segnalata nelle prime ore.

1. Chiama ora l'ufficio frodi della tua banca. Chiedi il richiamo del bonifico e il blocco dei fondi presso la banca che li ha ricevuti. Indica importo, data, conto beneficiario ed eventuale causale.
2. USA: fai la segnalazione su ic3.gov con tutti i dettagli della transazione, qualunque sia l'importo. Il Recovery Asset Team dell'FBI usa la Financial Fraud Kill Chain per lavorare con le banche e congelare il denaro. Nel 2025 ha gestito 3.900 casi e congelato 679 milioni di dollari, con un tasso di successo del 58%. Può seguire i trasferimenti successivi ("second hop") se glieli indichi, e collabora con FinCEN sui bonifici internazionali.
3. Regno Unito: denuncia a Report Fraud, che ha sostituito Action Fraud a dicembre 2025, allo 0300 123 2040, o a Police Scotland al 101. Anche la tua banca avvierà la sua procedura di recupero.
4. UE: denuncia alla polizia del tuo Paese e avvisa la banca. In Irlanda, anche l'NCSC chiede di essere informato. In Italia, segnala il caso alla Polizia Postale (commissariatodips.it) e sporgi denuncia.
5. Metti in sicurezza l'account email. Cambia le password, attiva l'autenticazione a più fattori e controlla se ci sono regole di inoltro o regole della posta in arrivo che nascondono le risposte. Sono un segnale tipico di un account finito in mano altrui.
6. Conserva le prove. Salva le email con le intestazioni complete, le fatture, i registri delle chiamate e delle transazioni. Non cancellare nulla.
7. Avvisa il vero fornitore o cliente. Il suo account, o il tuo, potrebbe essere ancora compromesso.

Se un "servizio di recupero" ti contatta offrendo di farti riavere i soldi in cambio di una commissione, è un'altra truffa. Il recupero vero passa dalla tua banca e dalle forze dell'ordine.

Come proteggo la mia azienda dalle frodi via email?

Unisci una procedura di pagamento rigorosa a poche basi tecniche. L'FBI e l'NCSC irlandese consigliano entrambi:

• Autenticazione a più fattori su ogni account email.
• SPF, DKIM e DMARC configurati sui tuoi domini, così i criminali non possono spacciarsi facilmente per te con i tuoi clienti.
• Una posta che mostra gli indirizzi completi dei mittenti e segnala quelli esterni.
• La registrazione dei domini più simili al tuo, o il loro monitoraggio.
• Un elenco di fornitori verificati con contatti telefonici noti.
• Formazione regolare del personale con esempi reali come quelli qui sopra.

La BEC spesso parte da una ricerca sul tuo team: chi approva i pagamenti, chi sono i fornitori, chi è in viaggio. La nostra guida per riconoscere i profili falsi su LinkedIn spiega come gli account falsi raccolgono queste informazioni.

In sintesi

A occhio non puoi distinguere un'email partita da un account violato da una vera, quindi non provarci. Controlla indirizzo e dominio, usa SPF e DKIM come primo filtro e conferma ogni cambio di pagamento chiamando un numero che avevi già. Se i soldi sono partiti, chiama la banca e denuncia entro poche ore, non giorni.

Domande frequenti

Che cos'è la business email compromise?

La business email compromise (BEC) è una truffa in cui i criminali si spacciano via email per un contatto di fiducia, come un fornitore, un dirigente o un avvocato, per indurti a inviare denaro o a cambiare le coordinate bancarie. La truffa del CEO è una delle sue forme. Nel 2025 l'FBI ha ricevuto 24.768 segnalazioni BEC, con 3,05 miliardi di dollari di perdite.

Come capisco se un'email arriva davvero da chi dice di essere?

Mostra l'indirizzo completo del mittente, controlla il dominio lettera per lettera, guarda dove vanno le risposte e cerca il risultato "pass" di SPF, DKIM e DMARC nei dettagli del messaggio. Per tutto ciò che riguarda soldi, conferma chiamando la persona a un numero che avevi già.

Un indirizzo email vero può essere usato per una truffa?

Sì. Se l'account di un fornitore o di un collega viene violato, le email truffa partono dal suo indirizzo reale e superano tutti i controlli tecnici. Per questo i cambi di pagamento vanno sempre confermati per telefono, a un numero preso dai tuoi archivi.

Cosa significa DMARC fail?

Significa che il dominio mostrato nella riga "Da" non corrisponde a un dominio che ha superato i controlli SPF o DKIM. Su un'email di pagamento o di cambio coordinate, consideralo un forte segnale che il mittente è falsificato.

Posso riavere i soldi dopo aver pagato una fattura falsa?

A volte, se agisci in fretta. Chiama subito la banca per chiedere il richiamo del pagamento e denuncia su ic3.gov negli USA o a Report Fraud nel Regno Unito; in Italia, alla Polizia Postale. Nel 2025 il Recovery Asset Team dell'FBI ha congelato 679 milioni di dollari per le vittime, ma le probabilità crollano dopo le prime ore.

Che cos'è la Financial Fraud Kill Chain dell'FBI?

È la procedura con cui il Recovery Asset Team dell'FBI lavora con le banche per congelare i trasferimenti fraudolenti, compresi i bonifici internazionali tramite FinCEN. La attivi denunciando in fretta su ic3.gov con tutti i dettagli della transazione e chiedendo alla banca il richiamo del pagamento.

Che cos'è un dominio simile (lookalike domain)?

Un dominio web o email creato per sembrare quello vero, come acme-corp.com invece di acmecorp.com, o con una lettera sostituita da una simile. Controlla la data di registrazione con il servizio di ricerca di ICANN: un dominio simile di solito ha pochi giorni o poche settimane.

Fonti

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, la truffa da 55 miliardi di dollari (settembre 2024)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Irlanda): linee guida sulla business email compromise (luglio 2025)
5. J.P. Morgan: quando le richiamate vanno storte
6. City of London Police: il servizio Report Fraud è operativo (dicembre 2025)
7. ICANN: ricerca dei dati di registrazione (RDAP)
8. Mason Hayes & Curran: Regolamento UE sui pagamenti istantanei e Verifica del beneficiario

I dati sono gli ultimi pubblicati da ciascuna fonte al momento dell’aggiornamento della guida. Le perdite denunciate sono un minimo: la maggior parte delle frodi non viene mai denunciata.