Verificare che una fattura sia autentica

È arrivata una fattura da un fornitore che non riconosce, o da uno che riconosce ma che chiede qualcosa di diverso. Questo è l’ordine da seguire e — altrettanto utile — il punto in cui finisce la parte verificabile.

La maggior parte delle fatture fraudolente viene intercettata da uno dei primi due passaggi. Quasi nessuna viene intercettata fissando più intensamente il PDF.

La verifica in dieci punti

Se vuole la versione breve, eccola. I punti da 1 a 3 intercettano quasi tutto; gli altri valgono un minuto ciascuno su una fattura importante, insolita o diversa dalla precedente.

1. Esiste un ordine? Colleghi la fattura a un ordine, a una consegna o a una persona che dica di averlo richiesto. Nessun ordine, nessun pagamento, per quanto bella sia la carta.
2. Le coordinate bancarie sono cambiate dall’ultima volta? Confronti con la fattura precedente, non con l’e-mail che ha davanti.
3. Ha telefonato a un numero che aveva già? Obbligatorio a ogni cambio di conto. Non il numero sulla fattura né quello nella firma.
4. La partita IVA è registrata, e a nome di chi? Un numero registrato dimostra che la registrazione esiste, non che appartenga al mittente.
5. Il nome del registro coincide con quello in fattura? Nomi commerciali e società del gruppo spiegano la maggior parte delle discrepanze; sulle altre conviene chiedere.
6. L’IBAN supera la cifra di controllo ed è emesso dove ci si aspetta? Il controllo intercetta gli errori di battitura quasi sempre e non dice nulla sull’intestatario.
7. Il dominio mittente autentica la propria posta, e quanti anni ha? Un dominio registrato tre settimane fa è tutt’altra cosa rispetto a uno di vent’anni.
8. Il nome somiglia a una voce in una lista sanzionatoria? Una somiglianza è un invito a guardare sul serio, mai una determinazione.
9. Ci sono tutti gli elementi obbligatori e i conti tornano? Numero della fattura, data, nome e indirizzo del fornitore, partita IVA, descrizione, imponibile, aliquota e imposta.
10. Il fornitore è ancora operativo? Un’azienda in liquidazione mantiene una partita IVA e un conto bancario funzionanti, spesso per mesi.

I punti da 4 a 8 sono quelli che un computer fa meglio di una persona, e il verificatore di fatture li esegue tutti e cinque insieme: trascini il PDF e partita IVA, conto bancario e dominio e-mail vengono letti da esso nel suo browser — il file non viene mai caricato — e poi controllati in un solo passaggio.

1. Qualcuno l’ha davvero ordinato?

Prima di verificare se la società esiste, verifichi se esiste l’acquisto. Colleghi la fattura a un ordine, a una consegna o a una persona nella sua organizzazione che possa dire «sì, l’ho chiesto io».

Questo singolo passaggio intercetta la categoria più ampia di fatture false, che non sono affatto sofisticate: richieste dall’aspetto plausibile per materiale d’ufficio, iscrizioni a elenchi, rinnovi di dominio o «registrazioni di conformità», inviate in massa alle imprese nella speranza che una venga pagata senza che nessuno chieda. Contano interamente sul fatto che nessuno verifichi se un ordine sia mai esistito.

Le fatture per elenchi e registrazioni meritano una menzione a parte. Sono spesso formulate tecnicamente come un’offerta e non come una richiesta di pagamento — le clausole in piccolo lo dicono — e progettate per essere scambiate per il rinnovo di qualcosa che lei ha già.

2. È un cambiamento rispetto a prima?

Se ha già pagato questo fornitore, confronti con l’ultima fattura:

• Stesso conto bancario?
• Stesso soggetto giuridico e stessa partita IVA?
• Stesso indirizzo di invio e stesso dominio?
• Importo e condizioni nella norma?

Un cambio di coordinate bancarie è quello che conta di più e ha una guida dedicata: un fornitore chiede di cambiare le coordinate bancarie.

3. Verifichi le dichiarazioni di identità

Queste sono le parti che un computer può verificare, e può eseguirle tutte insieme sulla pagina iniziale. Se avete la fattura davanti in PDF, la verifica fattura ne legge la partita IVA, il conto bancario e il dominio mittente nel vostro browser ed esegue gli stessi controlli, quindi non c’è nulla da ridigitare. Ciascuna risponde a una domanda circoscritta:

• Partita IVA. È attualmente registrata e a chi? Un numero valido dimostra che la registrazione esiste; non dimostra che il mittente ne sia titolare, poiché le partite IVA sono pubbliche. Veda partita IVA valida, nome diverso.
• IBAN. È formato correttamente ed emesso nel paese che ci si aspetterebbe? La cifra di controllo intercetta gli errori di battitura praticamente sempre. Non dice nulla su chi sia l’intestatario del conto: quasi nessuna fonte pubblica può. Veda il paese dell’IBAN differisce da quello IVA.
• Controllo delle sanzioni. Il nome somiglia a una voce dell’elenco consolidato UE? Una somiglianza, non un accertamento. Veda che cosa significa una possibile corrispondenza.
• Dominio di invio. Autentica la propria posta e quanti anni ha? Un dominio registrato tre settimane fa che non pubblica alcuna policy DMARC è tutt’altra cosa rispetto a uno che esiste da un decennio. Veda nessuna policy DMARC.

4. Legga il documento stesso

Vale uno sguardo, ma è una prova debole in entrambe le direzioni: una contraffazione competente azzecca tutto questo, e piccole imprese legittime ne sbagliano parecchio.

• Elementi obbligatori. Una fattura con IVA nell’UE o nel Regno Unito deve riportare numero, data, denominazione, indirizzo e partita IVA del fornitore, una descrizione, l’imponibile, l’aliquota e l’imposta. Se su una fattura consistente ne mancano diversi, è motivo per chiedere.
• L’aritmetica. L’IVA corrisponde davvero all’aliquota dichiarata applicata all’imponibile?
• La coerenza. Il prefisso paese della partita IVA corrisponde all’indirizzo? La valuta corrisponde al paese? Il numero di fattura è plausibile rispetto ai precedenti?
• Il blocco delle coordinate bancarie. Cerchi segni che sia stato modificato separatamente dal resto: carattere, allineamento o spaziatura diversi.

5. Alzi il telefono

Per qualsiasi cosa rilevante e per ogni cambio di coordinate bancarie, chiami il fornitore a un numero che aveva già: da una fattura precedente, dal suo gestionale o dal loro sito a cui è arrivato da solo. Mai il numero sulla fattura o nell’e-mail.

È il passaggio che intercetta la frode che supera ogni altro test: un fornitore reale, una partita IVA reale, un dominio reale, una fattura reale e il conto bancario di qualcun altro.

Tre fatture e ciò che le ha tradite

Tutte e tre sono composizioni di schemi che si presentano davvero, con dati inventati. Conta la forma di ciascuna e quale passaggio qui sopra la intercetta.

1. Il rinnovo che non è mai stato un abbonamento

«Rinnovo dell’inserimento in elenco — 987 EUR, pagabili entro 7 giorni». Indirizzata all’azienda con la ragione sociale e l’indirizzo corretti. Con un numero di riferimento dall’aria autentica. In caratteri più piccoli in fondo: questa è un’offerta, non una fattura.

Cos’era vero: il mittente esisteva ed era registrato ai fini IVA. Nome e indirizzo erano corretti perché entrambi sono pubblici. Nulla era falsificato.

Cosa l’ha tradita: il punto 1. Non c’era alcun ordine. Ogni verifica dell’identità la supera, perché nell’identità del mittente non c’è nulla di sbagliato: sbagliato è il presupposto che un documento arrivato in contabilità corrisponda a qualcosa che qualcuno ha comprato.

2. Il fornitore autentico con il conto di un altro

Una fattura vera di un fornitore con cui si lavora da due anni, nello stesso thread e-mail delle quattro precedenti, stesso numero d’ordine, stesso impaginato, stessa firma. Un campo differisce dalla fattura precedente: l’IBAN. La lettera di accompagnamento si scusa per la variazione e cita una revisione contabile.

Cos’era vero: quasi tutto. La casella di posta era stata compromessa settimane prima. Il dominio era autentico, quindi SPF e DKIM passavano. La partita IVA era autentica. L’IBAN era ben formato e apparteneva a un conto reale, aperto di recente.

Cosa l’ha tradita: i punti 2 e 3, e nient’altro avrebbe potuto. È il caso attorno al quale è costruito tutto questo sito — si veda un fornitore chiede di cambiare le coordinate bancarie.

3. L’azienda che aveva cessato l’attività

Una normale fattura di consulenza, da un’azienda la cui partita IVA si risolve senza problemi su VIES, il cui nome coincide esattamente con il registro e il cui IBAN è dello stesso paese.

Cos’era vero: tutte le verifiche passavano, perché tutte chiedevano della registrazione. L’azienda era entrata in liquidazione quattro mesi prima. La partita IVA era ancora attiva — cancellazione e insolvenza sono procedure distinte con tempistiche distinte — e il conto ancora aperto, ora sotto il controllo di una procedura concorsuale.

Cosa l’ha tradita: il punto 10, cioè il registro delle imprese nazionale anziché VIES. VIES risponde se un numero è registrato e nulla più; il registro risponde in che stato si trova l’azienda. Si veda che cosa significa per il suo pagamento un’azienda in liquidazione.

Che cosa nulla di tutto ciò può dirle

Vale la pena essere chiari sul confine, perché gli strumenti che lo confondono sono il motivo per cui si finisce per fidarsi troppo di un segno di spunta verde:

• A chi appartiene un conto bancario. Non è pubblico nell’UE né nel Regno Unito. La Polonia è l’unica eccezione, e questa verifica la usa.
• Se i beni o i servizi siano stati consegnati. Rispondono solo i suoi archivi.
• Se la società sia solvibile o intenda consegnare. Una società registrata con dati impeccabili può comunque essere una cattiva controparte.
• Se la persona che le scrive sia chi dichiara di essere. L’autenticazione e-mail dimostra che un messaggio proviene da un dominio. Non può dimostrare chi fosse alla tastiera, ed è esattamente per questo che una casella compromessa la sconfigge.

È anche per questo che lo strumento di questo sito restituisce un risultato indipendente per ciascuna verifica e mai un unico verdetto «sicuro da pagare». Ogni verifica risponde onestamente alla propria domanda circoscritta. Unirle in un solo numero lascerebbe intendere una garanzia che nessuna di esse, insieme o separatamente, può dare.