Un'email che sembra arrivare dall'amministratore delegato chiede all'ufficio contabilità di eseguire con urgenza un bonifico verso un nuovo fornitore. Il tono è autorevole, i dettagli sembrano corretti, la richiesta è credibile. Poche ore dopo il denaro è già su un conto estero, irrecuperabile. Questo scenario, noto come Business Email Compromise (BEC) o truffa del falso CEO, è una delle frodi informatiche più costose per le aziende italiane, PMI comprese, perché non richiede malware sofisticati: si basa sull'inganno e sulla fretta.
Cos'è il Business Email Compromise
Il BEC è una truffa mirata in cui il criminale si finge un dirigente, un fornitore o un partner commerciale per convincere un dipendente a effettuare un pagamento, modificare le coordinate bancarie di un fornitore o inviare dati sensibili. A differenza del phishing di massa, il BEC è costruito su misura: i truffatori studiano l'organigramma aziendale, il linguaggio usato nelle email interne e persino le abitudini di viaggio dei dirigenti, spesso raccolte da LinkedIn o dal sito web dell'azienda.
Le tecniche più usate
- Domain spoofing: l'indirizzo email del mittente viene falsificato per sembrare identico a quello reale dell'azienda o del fornitore.
- Look-alike domain: registrazione di domini quasi identici a quello legittimo (es. azienda-spa.it invece di aziendaspa.it).
- Compromissione reale della casella: in alcuni casi il criminale ha già accesso all'account email vero, ottenuto tramite phishing precedente, e osserva le comunicazioni per settimane prima di intervenire nel momento più opportuno.
- Urgenza e riservatezza: la richiesta viene sempre presentata come urgente e da gestire senza coinvolgere altri colleghi, per impedire controlli.
Perché le PMI italiane sono un obiettivo facile
Molte piccole e medie imprese non dispongono di procedure formali per l'autorizzazione dei pagamenti, e la fiducia interpersonale tra titolare e dipendenti viene sfruttata proprio per bypassare i controlli. Inoltre, spesso manca una configurazione corretta dei protocolli di autenticazione email, il che rende più semplice per un attaccante inviare messaggi che sembrano provenire dal dominio aziendale legittimo.
Le protezioni tecniche indispensabili: SPF, DKIM e DMARC
Per contrastare lo spoofing del dominio, esistono tre protocolli che ogni azienda dovrebbe configurare sul proprio server di posta:
- SPF (Sender Policy Framework): indica quali server sono autorizzati a inviare email per conto del tuo dominio.
- DKIM (DomainKeys Identified Mail): aggiunge una firma digitale alle email che ne garantisce l'integrità e l'origine.
- DMARC (Domain-based Message Authentication): stabilisce cosa fare quando un'email non supera i controlli SPF o DKIM, e permette di ricevere report sui tentativi di spoofing del proprio dominio.
Senza questi protocolli correttamente configurati, chiunque può inviare email fingendo di essere il vostro CEO o un vostro fornitore, e i filtri antispam dei destinatari faranno fatica a bloccarle.
Procedure organizzative anti-BEC
La tecnologia da sola non basta: servono regole operative chiare che rendano più difficile la truffa anche se un'email fraudolenta arriva a destinazione.
- Doppio controllo sui pagamenti: nessun bonifico rilevante dovrebbe essere eseguito sulla base della sola richiesta via email, soprattutto se urgente o inusuale.
- Verifica telefonica: in caso di richieste di modifica delle coordinate bancarie di un fornitore o di pagamenti straordinari, chiamare sempre un numero di telefono già noto e verificato, non quello indicato nell'email sospetta.
- Segregazione dei compiti: chi autorizza il pagamento non dovrebbe essere la stessa persona che lo esegue materialmente.
- Formazione periodica: il personale amministrativo e contabile deve conoscere le tecniche di BEC e sapere riconoscere i segnali d'allarme, come richieste urgenti, cambi improvvisi di IBAN o pressioni a non condividere l'informazione con i colleghi.
- Attenzione ai dettagli del dominio: controllare sempre l'indirizzo email completo del mittente, non solo il nome visualizzato, e prestare attenzione a piccole variazioni nel dominio.
Cosa fare se si è già vittima di un tentativo o di una frode riuscita
Se sospettate un tentativo di BEC, non rispondete all'email e verificate la richiesta tramite un canale alternativo. Se il bonifico è già stato eseguito, contattate immediatamente la vostra banca per tentare il blocco del trasferimento, sporgete denuncia alla Polizia Postale e informate il vostro consulente IT per verificare se ci sono stati accessi non autorizzati alle caselle email aziendali.
Conclusione
Il Business Email Compromise dimostra come, nella sicurezza informatica, la componente umana e organizzativa sia spesso più determinante di quella puramente tecnologica. Configurare correttamente SPF, DKIM e DMARC è un primo passo indispensabile, ma va accompagnato da procedure interne solide e da personale formato a riconoscere i segnali di una truffa. Se vuoi valutare il livello di esposizione della tua azienda a questo tipo di frode e ricevere una consulenza su misura, il team di Cifra Sicurezza è a disposizione per un'analisi approfondita della tua infrastruttura email e dei processi aziendali.