# Fornitore che chiede di cambiare le coordinate bancarie

> L’e-mail sembra normale, il mittente è quello giusto, la fattura corrisponde. È la forma più comune di frode su fattura, e come capirlo in dieci minuti.

Canonical: https://vetthisvendor.com/it/guide/supplier-changed-bank-details
Published: 2026-08-02. Updated: 2026-09-09.
Author: Jose Pollman, VetThisVendor.

Se ha davanti un’e-mail di un fornitore che dice che le sue coordinate bancarie sono
cambiate, si fermi prima di aggiornare qualsiasi cosa. Questa richiesta è la forma più
comune di frode su fattura in Europa, e la versione che funziona non sembra affatto
sospetta.
Se la richiesta è arrivata per email, la [verifica email fornitore](/it/tools/supplier-email-check) legge quel messaggio nel vostro browser e vi dice se viene davvero dal dominio del vostro fornitore.

**L’unica cosa da fare: telefoni a un numero che aveva già.** Non il numero nell’e-mail, non
quello nella firma, non quello sulla nuova fattura. Un numero da una vecchia fattura, dal
suo gestionale o dal loro sito a cui è arrivato da solo. Tutto ciò che segue spiega perché è
proprio quel passaggio a contare.

## Perché l’e-mail sembra del tutto normale

La versione di questa frode che riesce non è uno sconosciuto con un dominio sosia. È
un’**e-mail vera, dalla vera casella del vero fornitore**, perché qualcuno è entrato in
quella casella, di solito con una password proveniente da una violazione estranea o tramite
una pagina di phishing che l’aveva raccolta settimane prima.

Una volta dentro, l’aggressore legge la conversazione. Vede i suoi numeri d’ordine, le sue
condizioni di pagamento, il nome della persona che di solito le scrive, come si firma.
Spesso attende che venga inviata una fattura autentica, poi risponde nella stessa
conversazione con nuove coordinate. A volte imposta una regola sulla casella perché le sue
risposte restino nascoste al fornitore vero: per questo «ho scritto per controllare e mi
hanno confermato» non è una conferma.

Ciò significa che le verifiche abituali vengono superate:

- Il **dominio di invio è autentico**: è il loro dominio, quindi SPF e DKIM passano.
- L’**indirizzo e-mail è corretto**, carattere per carattere.
- La **partita IVA sulla fattura è reale e registrata**, perché è la loro.
- Lo **storico della conversazione è reale**, perché è la conversazione vera.
- Il **nuovo IBAN supera la cifra di controllo**, perché per ricevere il denaro è stato
  aperto un conto funzionante.

Nulla sulla fattura è falsificato. È cambiata solo la destinazione.

## Perché la telefonata non è una formalità

Ogni verifica automatica risponde a una domanda di *identità*: è un’impresa reale, è una
registrazione IVA reale, è un numero di conto ben formato. Nessuna risponde all’unica
domanda che conta qui, che riguarda l’*autorizzazione*: questa impresa le ha davvero chiesto
di mandare il denaro altrove?

Nessuna fonte pubblica può rispondere. L’intestazione di un conto bancario non è pubblica
nell’UE né nel Regno Unito — la Polonia è l’unica eccezione — quindi quasi nessuna
consultazione le dirà a nome di chi sia il conto. Una persona presso il fornitore può farlo
in circa un minuto.

Usi un numero che aveva già: è tutto qui. Un aggressore che controlla la casella controlla
anche il numero di telefono nella firma dell’e-mail che ha inviato.

## Che cosa verificare mentre aspetta di essere richiamato

Nulla di questo sostituisce la telefonata. È utile perché ogni tanto trasforma un
«probabilmente va bene» in una risposta ovvia, e perché costa un minuto.

- **Il paese dell’IBAN corrisponde a dove è registrato il fornitore?** Un fornitore tedesco
  il cui conto è improvvisamente in un altro paese merita di essere nominato durante la
  telefonata. Spesso è innocuo — tesoreria di gruppo, factoring o un prestatore di pagamento
  come Wise o Revolut — ma è un fatto da dire ad alta voce. Veda
  [il paese dell’IBAN differisce da quello IVA](/it/guide/iban-country-mismatch).
- **Il nome nel registro corrisponde a quello in fattura?** Veda
  [partita IVA valida, nome diverso](/it/guide/vat-name-mismatch).
- **Il dominio è esattamente corretto?** Lo legga carattere per carattere, da destra a
  sinistra. `rn` sembra `m`, `l` sembra `I`, e un trattino aggiunto o tolto è invisibile
  quando già si sa che cosa dice la parola.
- **Il dominio applica DMARC?** In caso contrario chiunque può falsificarne la posta, il che
  amplia i modi in cui questa e-mail può esserle arrivata. Veda
  [nessuna policy DMARC](/it/guide/no-dmarc-policy).

Può verificare partita IVA, nuovo IBAN e dominio insieme sulla
[pagina iniziale](/it) in un unico invio.

## Segnali da prendere sul serio

Nessuno è una prova, e la loro assenza non è rassicurante. Spostano le probabilità:

- **Urgenza legata al cambiamento.** «Prima di fine mese», «il vecchio conto è chiuso da
  oggi», «il pagamento è fallito, lo rifaccia». L’urgenza esiste per impedirle di telefonare.
- **Un cambiamento che arriva con una fattura** anziché come comunicazione a sé da un
  account che già conosce.
- **La richiesta di tenere riservato il cambiamento**, o di far passare la conferma dalla
  stessa conversazione e-mail anziché da un altro canale.
- **Reply-to diverso da From.** Vale uno sguardo alle intestazioni, anche se la sua assenza
  non significa nulla quando la casella stessa è compromessa.
- **L’importo è insolitamente tondo o insolitamente alto** rispetto a quanto questo
  fornitore fattura di norma.
- **Il primo contatto è un cambio bancario.** Un fornitore che non ha mai pagato, la cui
  prima e-mail di sostanza contiene nuove coordinate.

## Se ha già pagato

La rapidità decide l’esito, quindi faccia questo prima di ogni altra cosa.

1. **Chiami subito la sua banca** e chieda di tentare il richiamo dei fondi. A volte il
   denaro può essere fermato entro poche ore; dopo un giorno o due di solito è perso. Usi
   l’espressione «frode da bonifico autorizzato»: è il termine che la indirizza al team
   giusto.
2. **Chiami il fornitore** a un numero noto, così apprende che la sua casella è
   compromessa. È anch’egli vittima, e altri suoi clienti stanno ricevendo oggi la stessa
   e-mail.
3. **Lo denunci.** In Italia alla Polizia Postale; la maggior parte delle forze di polizia
   europee accetta denunce online. Un numero di denuncia è di norma richiesto prima che una
   banca valuti un rimborso.
4. **Conservi tutto**: l’e-mail con le intestazioni complete, la fattura, la conferma di
   pagamento e una nota su con chi ha parlato e quando.

## Che cosa copre e che cosa non copre la Verification of Payee

Dal **9 ottobre 2025** ogni banca dell’area euro deve verificare il nome del beneficiario
rispetto all’IBAN prima che lei confermi un bonifico. Inserisce il conto e la sua banca le
dice se il nome a esso associato coincide con quello che ha digitato. L’obbligo deriva dal
regolamento UE sui pagamenti istantanei e si applica ai bonifici ordinari come a quelli
istantanei.

È il miglior controllo mai esistito contro questa specifica truffa, e cambia lo scopo della
telefonata anziché sostituirla.

**Che cosa intercetta.** Che il conto è intestato a qualcun altro. È la forma abituale di
questa truffa, e la banca ora glielo dirà prima che il denaro parta.

**Che cosa non intercetta, ed è la parte da conoscere:**

- **Una «corrispondenza parziale».** Le banche segnalano anche le quasi-corrispondenze, e una
  quasi-corrispondenza ha esattamente l’aspetto di una legittima differenza di nome
  commerciale — e anche di un nome di conto deliberatamente simile. La schermata non li
  distingue.
- **Un conto prestanome aperto a nome del fornitore.** Se il conto è davvero intestato a quel
  nome, il controllo passa. Verifica il conto, non chi le ha chiesto di pagare.
- **Tutto ciò che è fuori dall’area euro.** Il Regno Unito ha il Confirmation of Payee dal
  2020; buona parte del resto del mondo non ha nulla.
- **Un pagamento per qualsiasi altra via.** Una modifica di addebito diretto, un pagamento con
  carta, un ordine permanente modificato in un portale.

La regola quindi non cambia: **una variazione delle coordinate bancarie si verifica a voce,
su un numero che aveva già.** La Verification of Payee le dice di chi è il conto. Non può
dirle se il suo fornitore le ha chiesto di pagarvi, e la domanda resta quella.

[Che cosa copre la verifica del nome del beneficiario](/it/guide/verification-of-payee) la
sviluppa per intero.

## Perché non accada di nuovo

Il controllo che funziona è una regola, non un’abitudine: **le modifiche delle coordinate
bancarie si verificano a voce su un numero archiviato, ogni volta, da una persona diversa da
quella che ha ricevuto la richiesta.** Messa per iscritto, applicata a tutti, senza
eccezioni per le persone che ci stanno simpatiche.

Conservi i numeri di telefono dei fornitori nel gestionale, non nella posta, così il numero
che chiama non può essere modificato da chi ha mandato l’e-mail. E consideri una modifica
confermata solo via e-mail come per nulla confermata, inclusa una risposta che arrivi
dall’indirizzo corretto.

Per questo esiste una [lista di verifica di una pagina](/it/guide/bank-change-checklist) — chi ha chiamato chi, a quale numero, chi ha approvato — da stampare e conservare insieme al pagamento.