Immagina questa scena: sono le 17:45 di un venerdì, stai già pensando al weekend, e sul telefono arriva un messaggio dal tuo amministratore delegato. “Ciao, ho bisogno di un favore urgente, sono in riunione e non posso chiamare. Devi fare un bonifico a un fornitore entro oggi, ti mando i dati tra poco.” Il tono è giusto, il nome è giusto, persino la foto del profilo è quella di sempre. Tu sei nel reparto amministrativo, sai che certe urgenze capitano, e quel bonifico… parte.
Ecco, se ti è venuta la pelle d’oca, bene: hai appena incontrato (virtualmente) il CEO Fraud, conosciuto anche come BEC, acronimo di Business Email Compromise. E no, non è fantascienza: è una delle truffe informatiche più redditizie al mondo, con danni stimati in miliardi di euro ogni anno.
Ma come fanno a sembrare così credibili?
Qui sta il bello (si fa per dire) di questa truffa: non serve bucare server, installare malware complicati o scrivere codice sofisticato. Serve solo tanta, tanta ricerca. I truffatori studiano l’azienda bersaglio con pazienza certosina:
- Guardano LinkedIn per capire chi è il capo, chi lavora in amministrazione, chi gestisce i pagamenti.
- Leggono comunicati stampa, articoli di giornale, bilanci pubblici per conoscere fornitori reali e importi plausibili.
- Osservano lo stile di scrittura del dirigente sui social o in interviste, per imitarne il tono.
- A volte compromettono davvero una casella email aziendale, leggendo per settimane le conversazioni prima di intervenire.
Il risultato? Un messaggio che non sembra una truffa generica, ma qualcosa di cucito su misura per te e per la tua azienda. E con l’arrivo dell’intelligenza artificiale generativa, anche l’italiano perfetto o il tono “aziendalese” giusto non sono più un ostacolo per chi vuole fregarti.
Le varianti più comuni (sì, ce ne sono diverse)
Il CEO Fraud non ha una sola forma. Eccone alcune che girano spesso:
Il bonifico urgente
La classica richiesta last minute, sempre con una scusa plausibile: una trattativa segreta, un’acquisizione in corso, un pagamento a un fornitore estero che non può aspettare.
Il cambio di coordinate bancarie
Un fornitore “vero” scrive (ma non è lui) per avvisare che ha cambiato banca e di aggiornare l’IBAN per i prossimi pagamenti. Semplice, elegante, devastante.
La richiesta di dati sensibili
Non sempre si parla di soldi: a volte il finto capo chiede buste paga, dati fiscali dei dipendenti, documenti riservati “per una verifica interna”.
Perché funziona (anche con persone intelligenti)
Qui il discorso si lega a qualcosa che conosciamo bene: la psicologia conta più della tecnologia. Queste truffe sfruttano leve emotive precise:
- L’autorità: se te lo chiede il capo, è difficile dire di no o fare troppe domande.
- L’urgenza: non c’è tempo per pensare, bisogna agire subito.
- La riservatezza: “non parlarne con nessuno, è una questione delicata” taglia fuori ogni possibile controllo incrociato con i colleghi.
Messe insieme, queste tre cose creano una pressione fortissima, soprattutto su chi lavora in contesti dove dire “no” al capo non è nella cultura aziendale.
Come difendersi (senza diventare paranoici)
La buona notizia è che contro il CEO Fraud non servono strumenti costosissimi, ma procedure semplici e un po’ di sano scetticismo condiviso in azienda.
Verifica sempre su un canale diverso
Se ricevi una richiesta urgente via email o chat, chiama la persona con un numero che conosci già (non quello scritto nel messaggio sospetto). Una telefonata di trenta secondi può salvarti da un disastro.
Regola del doppio controllo
Per bonifici sopra una certa soglia, imponi sempre l’approvazione di due persone diverse. Nessuna urgenza giustifica saltare questo passaggio.
Diffida delle pressioni sulla segretezza
Un vero dirigente non ti chiederà quasi mai di tenere nascosta un’operazione finanziaria ai colleghi del reparto. Se succede, è già un campanello d’allarme enorme.
Controlla sempre l’indirizzo email reale
Non il nome visualizzato, ma l’indirizzo completo. Spesso basta un carattere diverso (una “m” al posto di “rn”, un dominio quasi identico) per smascherare il trucco.
Forma le persone, non solo i sistemi
Investire in firewall e antivirus è giusto, ma qui il bersaglio è l’essere umano. Fare simulazioni periodiche e raccontare casi reali in azienda aiuta molto più di un corso noioso una volta all’anno.
Il messaggio da portarsi a casa
Il CEO Fraud ci ricorda una cosa semplice ma fondamentale: nella sicurezza informatica, a volte il punto debole non è un server mal configurato, ma la fiducia che abbiamo nelle gerarchie e nella fretta con cui viviamo il lavoro. Rallentare qualche secondo, fare una telefonata in più, chiedere conferma senza paura di sembrare scortesi: sono gesti piccoli che possono evitare perdite enormi.
Quindi la prossima volta che ricevi un messaggio “urgentissimo” dal capo, fuori orario, con una richiesta strana… prenditi un respiro. Potrebbe essere lui. Ma potrebbe anche essere qualcuno che, da qualche parte nel mondo, ha studiato la tua azienda meglio di quanto pensi.