I sette segnali per riconoscere un'email truffa restano validi e continuano a fermare la maggior parte del traffico sporco: quel pezzo è la base e vale la pena rileggerlo. Ma la base intercetta gli attacchi di massa, quelli spediti a centomila indirizzi nella speranza che qualcuno abbocchi. L'autunno porta l'altra categoria, quella che riguarda la tua azienda per nome: pochi messaggi, scritti a mano, preparati leggendo per una settimana tutto ciò che di te è pubblico. Lì i sette segnali non scattano, perché non c'è niente che non torni.
E arrivano adesso per un motivo semplice: settembre e ottobre sono i mesi in cui in azienda si rimette in moto tutto insieme. Preventivi, ordini, fatture arretrate, fornitori nuovi, scadenze fiscali, gente che rientra e trova duecento mail da smaltire in fretta. Una richiesta di pagamento urgente, in mezzo a quel traffico, non sembra strana: sembra martedì.
Prima dell'attacco c'è una settimana di lettura
La parte che sorprende gli imprenditori, quando la si racconta, è che il lavoro vero non è tecnico. Prima di scrivere una sola riga, chi prepara la truffa si costruisce la mappa dell'azienda usando soltanto fonti aperte: il sito con i nomi e i ruoli nella pagina «chi siamo», i profili professionali dei dipendenti su LinkedIn con le mansioni dettagliate, il registro imprese per amministratori e quote, i portali dei bandi e le determine dei comuni per sapere con chi si lavora e per quanto, i comunicati e i post con il nome del nuovo cliente, perfino le foto in cui si vede il badge sulla scrivania o il gestionale aperto sul monitor.
Da lì escono le tre informazioni che servono: chi ha l'autorità di ordinare un pagamento, chi lo esegue materialmente e quali fornitori sono credibili. Il resto è mestiere: si aspetta il momento giusto — una fiera, una settimana di ferie del titolare, la chiusura trimestrale — e si manda un messaggio solo, alla persona giusta, mentre chi potrebbe smentirlo è irraggiungibile.
Non è una vulnerabilità del computer: è una vulnerabilità del processo. Nessun antivirus può bloccare un messaggio che non contiene niente di tecnicamente ostile — né allegati, né link, né codice. Solo un IBAN diverso.
La truffa che costa di più: il fornitore che «ha cambiato banca»
È la frode più redditizia che colpisce le PMI italiane, e funziona così. L'azienda riceve una comunicazione dal fornitore con cui lavora da anni: cambio di istituto bancario, nuove coordinate, la preghiera di aggiornare l'anagrafica per i prossimi pagamenti. Carta intestata giusta, firma giusta, tono giusto. Spesso la mail arriva in coda a uno scambio reale, come risposta a un messaggio che era davvero partito dall'ufficio acquisti — perché la casella del fornitore è stata violata, o perché un dominio quasi identico (una lettera doppia, un .net al posto del .it) regge benissimo la lettura distratta di chi ha già la testa alla fattura successiva.
Il pagamento parte regolare, autorizzato, senza nessuna violazione informatica. Ci si accorge di tutto tra quaranta e sessanta giorni, quando il fornitore vero sollecita un insoluto. A quel punto il denaro è già passato attraverso due o tre conti di appoggio e recuperarlo è molto difficile: il conto di destinazione è intestato a un prestanome o a una società costituita da poche settimane, e quando la banca apre la pratica di richiamo i fondi sono già altrove.
La variante meno costosa ma più frequente è al contrario: la truffa parte dalla tua casella verso i tuoi clienti. Se qualcuno entra nella posta dell'amministrazione, non ha bisogno di rubare dati: gli basta stare a leggere per due settimane, capire come si scrivono le fatture e poi mandarne una vera con l'IBAN sbagliato. Ed è anche il motivo per cui l'autenticazione a due fattori sulla posta non è un vezzo tecnico: è la serratura del conto corrente aziendale.
Il finto titolare e l'urgenza che non si discute
L'altra metà dell'autunno è la frode del capo. Un messaggio breve, confidenziale, arriva alla persona che può disporre un bonifico: sto in riunione dal notaio, serve un pagamento oggi per chiudere un'operazione, non parlarne con nessuno perché è riservata, ti giro io i dati. Mai una minaccia, mai un tono ostile: al contrario, quasi sempre un tono di fiducia — ti chiedo questo perché mi fido di te. È una leva molto più efficace della paura.
Funziona per tre ragioni che non hanno niente a che fare con l'informatica. Perché in una piccola azienda dire di no al titolare costa, e chiedere una conferma può sembrare mancanza di fiducia. Perché la richiesta di riservatezza spegne proprio il gesto che salverebbe tutto, cioè girarsi verso il collega e chiedere «ma tu ne sai qualcosa?». E perché il bersaglio, spesso, è chi è in azienda da poche settimane: non conosce ancora le abitudini del capo, non sa che quelle cose non si chiedono via chat, e vuole rispondere bene alla prima occasione. È per questo che nell'onboarding la mezz'ora di consegna dovrebbe contenere una frase esplicita: qui nessuno ti chiederà mai un pagamento urgente per messaggio, e se succede è falso.
Sull'italiano non contiamo più. Un testo credibile, nel registro giusto, con il lessico del settore, oggi si produce in pochi secondi — è l'altra faccia degli strumenti di AI generativa di cui parlavamo ad agosto: quello che aiuta noi a scrivere una mail ordinata aiuta allo stesso modo chi scrive quella mail. L'errore di grammatica, che per vent'anni è stato il nostro segnale più affidabile, è semplicemente scomparso dal quadro.
Il canale si sposta: SMS, chat e una telefonata
Il terzo cambiamento è il mezzo. Molte aziende hanno filtri decenti sulla posta, e chi attacca lo sa: così la conversazione si sposta dove non c'è nessun filtro e la guardia è più bassa. Un SMS con il nome del corriere e un pacco da sbloccare. Un messaggio su WhatsApp da un numero nuovo con la foto del profilo del titolare e la frase «ho cambiato numero, scrivimi qui». Una telefonata da chi si presenta come tecnico della banca o dell'assistenza informatica e ti guida, con calma e competenza, a installare un programma di controllo remoto o a dettargli un codice.
Il telefono personale è un terreno particolarmente scomodo, perché lì l'azienda non ha filtri, non ha visibilità e non ha regole — lo stesso spazio grigio di cui parlavamo a proposito dello shadow IT. E va detta una cosa che a molti suona ancora come fantascienza: la voce non è più una prova. Trenta secondi di audio pubblico — un'intervista, un video aziendale, un messaggio vocale inoltrato — bastano per ottenere una voce sintetica sufficientemente simile a reggere una frase breve al telefono, magari con la scusa di una linea disturbata. Quando la difesa di un'azienda è «ma io la voce del mio capo la riconosco», la difesa non c'è.
La difesa non è l'occhio: è una procedura in quattro righe
Qui sta il punto di tutto l'articolo. Contro gli attacchi di massa l'attenzione funziona; contro un attacco costruito su misura no, perché non ci sono errori da notare. Serve una regola che valga anche quando tutto sembra in ordine — e che, proprio per questo, non richiede di giudicare se un messaggio sia sospetto.
Uno. Nessun cambio di coordinate bancarie diventa operativo per email. Mai, da nessuno, nemmeno dal fornitore storico, nemmeno con il timbro. La comunicazione può arrivare dove vuole; l'aggiornamento in anagrafica no.
Due. La verifica si fa su un canale diverso e con un numero che avevamo già noi. Si telefona al fornitore usando il contatto in anagrafica o sulla vecchia fattura — non il numero scritto nella mail del cambio, che porta al truffatore — e si chiede conferma a una persona nota. È il gesto che blocca l'intera categoria di truffe, e costa due minuti.
Tre. Sopra una soglia decisa in anticipo servono due firme. La cifra la scegliete voi in base al giro d'affari: l'importante è che sia scritta e che valga sempre, perché una regola con eccezioni per l'urgenza è esattamente la regola che l'urgenza serve a scavalcare.
Quattro. Chiedere conferma non è mai mancanza di fiducia. Questa deve dirla il titolare, a voce, davanti a tutti: «se ricevete una mia richiesta di pagamento urgente, chiamatemi. Anche se sono in riunione. Anche se nel messaggio c'è scritto di non farlo». Finché quella frase non è stata detta, il dipendente più diligente resta il più esposto.
Attorno a queste quattro righe si mettono i pezzi tecnici, che aiutano ma non sostituiscono: le regole antispoofing sul dominio in modo che nessuno possa spedire posta a nome vostro, l'avviso automatico che segnala un mittente esterno, il blocco dell'inoltro automatico verso indirizzi fuori azienda — il primo movimento di chi entra in una casella e vuole leggerla in silenzio — e un controllo periodico su chi ha delega sulle caselle dell'amministrazione.
Se il bonifico è già partito
Le prime ore contano più di tutto il resto. Nell'ordine: si telefona subito alla banca chiedendo il richiamo del bonifico (se non è ancora regolato c'è una possibilità concreta, se è di oggi vale comunque la pena provare), si chiede alla banca beneficiaria il blocco dei fondi, si sporge denuncia con tutti i documenti — mail complete delle intestazioni tecniche, non solo il testo copiato — e in parallelo si verifica se dietro al pagamento sbagliato ci sia anche un accesso abusivo a una casella. Quest'ultimo punto cambia la natura dell'incidente: se sono stati letti dati di clienti o dipendenti non è più solo una perdita economica, ed entra in gioco quello che avevamo visto sui primi trenta minuti di un data breach.
Una cosa da non fare: cercare il colpevole in ufficio. Chi ha eseguito il bonifico ha seguito un ordine plausibile in un processo che non prevedeva la verifica. Il difetto è del processo, e le aziende in cui si cerca il colpevole sono le stesse in cui, la volta dopo, nessuno segnala niente per paura — che è la condizione ideale perché la truffa riesca due volte.
In sintesi
Le truffe che arrivano quest'autunno non si riconoscono più leggendo meglio: sono scritte bene, costruite sui dati pubblici della tua azienda, arrivano da conversazioni vere e spesso non contengono niente di tecnicamente dannoso. Per questo la difesa si è spostata: dall'attenzione individuale alla procedura aziendale. Nessun cambio di IBAN via email; verifica su un canale diverso con un numero che avevamo già; doppia firma sopra una soglia scritta; e il permesso esplicito, dato dal titolare, di chiedere conferma sempre.
Sono quattro righe che si scrivono in un pomeriggio e valgono, in media, più di qualunque strumento si possa comprare per difendersi da questa specifica famiglia di attacchi. Ottobre è il mese europeo della sicurezza informatica e ne parleremo diffusamente: cominciamo però dalla cosa che si può decidere oggi, in riunione, senza budget.
Vuoi capire quanto della tua azienda è leggibile dall'esterno e dove il processo dei pagamenti si può rompere? Contattaci: ricostruiamo che cosa di voi è pubblico, mettiamo per iscritto la procedura di verifica delle coordinate bancarie e sistemiamo la parte tecnica sulla posta — antispoofing, avvisi sui mittenti esterni, inoltri automatici e deleghe.
Articoli collegati: Phishing: 7 segnali per riconoscere un'email truffa · Data breach: i primi 30 minuti · MFA senza far impazzire i dipendenti