Fornitore che chiede di cambiare le coordinate bancarie

Se ha davanti un’e-mail di un fornitore che dice che le sue coordinate bancarie sono cambiate, si fermi prima di aggiornare qualsiasi cosa. Questa richiesta è la forma più comune di frode su fattura in Europa, e la versione che funziona non sembra affatto sospetta. Se la richiesta è arrivata per email, la verifica email fornitore legge quel messaggio nel vostro browser e vi dice se viene davvero dal dominio del vostro fornitore.

L’unica cosa da fare: telefoni a un numero che aveva già. Non il numero nell’e-mail, non quello nella firma, non quello sulla nuova fattura. Un numero da una vecchia fattura, dal suo gestionale o dal loro sito a cui è arrivato da solo. Tutto ciò che segue spiega perché è proprio quel passaggio a contare.

Perché l’e-mail sembra del tutto normale

La versione di questa frode che riesce non è uno sconosciuto con un dominio sosia. È un’e-mail vera, dalla vera casella del vero fornitore, perché qualcuno è entrato in quella casella, di solito con una password proveniente da una violazione estranea o tramite una pagina di phishing che l’aveva raccolta settimane prima.

Una volta dentro, l’aggressore legge la conversazione. Vede i suoi numeri d’ordine, le sue condizioni di pagamento, il nome della persona che di solito le scrive, come si firma. Spesso attende che venga inviata una fattura autentica, poi risponde nella stessa conversazione con nuove coordinate. A volte imposta una regola sulla casella perché le sue risposte restino nascoste al fornitore vero: per questo «ho scritto per controllare e mi hanno confermato» non è una conferma.

Ciò significa che le verifiche abituali vengono superate:

• Il dominio di invio è autentico: è il loro dominio, quindi SPF e DKIM passano.
• L’indirizzo e-mail è corretto, carattere per carattere.
• La partita IVA sulla fattura è reale e registrata, perché è la loro.
• Lo storico della conversazione è reale, perché è la conversazione vera.
• Il nuovo IBAN supera la cifra di controllo, perché per ricevere il denaro è stato aperto un conto funzionante.

Nulla sulla fattura è falsificato. È cambiata solo la destinazione.

Perché la telefonata non è una formalità

Ogni verifica automatica risponde a una domanda di identità: è un’impresa reale, è una registrazione IVA reale, è un numero di conto ben formato. Nessuna risponde all’unica domanda che conta qui, che riguarda l’autorizzazione: questa impresa le ha davvero chiesto di mandare il denaro altrove?

Nessuna fonte pubblica può rispondere. L’intestazione di un conto bancario non è pubblica nell’UE né nel Regno Unito — la Polonia è l’unica eccezione — quindi quasi nessuna consultazione le dirà a nome di chi sia il conto. Una persona presso il fornitore può farlo in circa un minuto.

Usi un numero che aveva già: è tutto qui. Un aggressore che controlla la casella controlla anche il numero di telefono nella firma dell’e-mail che ha inviato.

Che cosa verificare mentre aspetta di essere richiamato

Nulla di questo sostituisce la telefonata. È utile perché ogni tanto trasforma un «probabilmente va bene» in una risposta ovvia, e perché costa un minuto.

• Il paese dell’IBAN corrisponde a dove è registrato il fornitore? Un fornitore tedesco il cui conto è improvvisamente in un altro paese merita di essere nominato durante la telefonata. Spesso è innocuo — tesoreria di gruppo, factoring o un prestatore di pagamento come Wise o Revolut — ma è un fatto da dire ad alta voce. Veda il paese dell’IBAN differisce da quello IVA.
• Il nome nel registro corrisponde a quello in fattura? Veda partita IVA valida, nome diverso.
• Il dominio è esattamente corretto? Lo legga carattere per carattere, da destra a sinistra. rn sembra m, l sembra I, e un trattino aggiunto o tolto è invisibile quando già si sa che cosa dice la parola.
• Il dominio applica DMARC? In caso contrario chiunque può falsificarne la posta, il che amplia i modi in cui questa e-mail può esserle arrivata. Veda nessuna policy DMARC.

Può verificare partita IVA, nuovo IBAN e dominio insieme sulla pagina iniziale in un unico invio.

Segnali da prendere sul serio

Nessuno è una prova, e la loro assenza non è rassicurante. Spostano le probabilità:

• Urgenza legata al cambiamento. «Prima di fine mese», «il vecchio conto è chiuso da oggi», «il pagamento è fallito, lo rifaccia». L’urgenza esiste per impedirle di telefonare.
• Un cambiamento che arriva con una fattura anziché come comunicazione a sé da un account che già conosce.
• La richiesta di tenere riservato il cambiamento, o di far passare la conferma dalla stessa conversazione e-mail anziché da un altro canale.
• Reply-to diverso da From. Vale uno sguardo alle intestazioni, anche se la sua assenza non significa nulla quando la casella stessa è compromessa.
• L’importo è insolitamente tondo o insolitamente alto rispetto a quanto questo fornitore fattura di norma.
• Il primo contatto è un cambio bancario. Un fornitore che non ha mai pagato, la cui prima e-mail di sostanza contiene nuove coordinate.

Se ha già pagato

La rapidità decide l’esito, quindi faccia questo prima di ogni altra cosa.

1. Chiami subito la sua banca e chieda di tentare il richiamo dei fondi. A volte il denaro può essere fermato entro poche ore; dopo un giorno o due di solito è perso. Usi l’espressione «frode da bonifico autorizzato»: è il termine che la indirizza al team giusto.
2. Chiami il fornitore a un numero noto, così apprende che la sua casella è compromessa. È anch’egli vittima, e altri suoi clienti stanno ricevendo oggi la stessa e-mail.
3. Lo denunci. In Italia alla Polizia Postale; la maggior parte delle forze di polizia europee accetta denunce online. Un numero di denuncia è di norma richiesto prima che una banca valuti un rimborso.
4. Conservi tutto: l’e-mail con le intestazioni complete, la fattura, la conferma di pagamento e una nota su con chi ha parlato e quando.

Che cosa copre e che cosa non copre la Verification of Payee

Dal 9 ottobre 2025 ogni banca dell’area euro deve verificare il nome del beneficiario rispetto all’IBAN prima che lei confermi un bonifico. Inserisce il conto e la sua banca le dice se il nome a esso associato coincide con quello che ha digitato. L’obbligo deriva dal regolamento UE sui pagamenti istantanei e si applica ai bonifici ordinari come a quelli istantanei.

È il miglior controllo mai esistito contro questa specifica truffa, e cambia lo scopo della telefonata anziché sostituirla.

Che cosa intercetta. Che il conto è intestato a qualcun altro. È la forma abituale di questa truffa, e la banca ora glielo dirà prima che il denaro parta.

Che cosa non intercetta, ed è la parte da conoscere:

• Una «corrispondenza parziale». Le banche segnalano anche le quasi-corrispondenze, e una quasi-corrispondenza ha esattamente l’aspetto di una legittima differenza di nome commerciale — e anche di un nome di conto deliberatamente simile. La schermata non li distingue.
• Un conto prestanome aperto a nome del fornitore. Se il conto è davvero intestato a quel nome, il controllo passa. Verifica il conto, non chi le ha chiesto di pagare.
• Tutto ciò che è fuori dall’area euro. Il Regno Unito ha il Confirmation of Payee dal 2020; buona parte del resto del mondo non ha nulla.
• Un pagamento per qualsiasi altra via. Una modifica di addebito diretto, un pagamento con carta, un ordine permanente modificato in un portale.

La regola quindi non cambia: una variazione delle coordinate bancarie si verifica a voce, su un numero che aveva già. La Verification of Payee le dice di chi è il conto. Non può dirle se il suo fornitore le ha chiesto di pagarvi, e la domanda resta quella.

Che cosa copre la verifica del nome del beneficiario la sviluppa per intero.

Perché non accada di nuovo

Il controllo che funziona è una regola, non un’abitudine: le modifiche delle coordinate bancarie si verificano a voce su un numero archiviato, ogni volta, da una persona diversa da quella che ha ricevuto la richiesta. Messa per iscritto, applicata a tutti, senza eccezioni per le persone che ci stanno simpatiche.

Conservi i numeri di telefono dei fornitori nel gestionale, non nella posta, così il numero che chiama non può essere modificato da chi ha mandato l’e-mail. E consideri una modifica confermata solo via e-mail come per nulla confermata, inclusa una risposta che arrivi dall’indirizzo corretto.

Per questo esiste una lista di verifica di una pagina — chi ha chiamato chi, a quale numero, chi ha approvato — da stampare e conservare insieme al pagamento.