Truffa fattura email: riconoscere IBAN falso

Una procedura sicura prima di aprire o pagare

La regola centrale è semplice: non verificare la richiesta soltanto dentro il messaggio che la contiene. Interrompi il percorso e usa una fonte indipendente.

1. 1Fermati: non aprire subito l’allegato e non autorizzare il bonifico.
2. 2Controlla mittente, dominio, oggetto, richiesta e dati della fattura.
3. 3Contatta il fornitore con un numero o indirizzo già archiviato.
4. 4Confronta l’IBAN con contratto, anagrafica o fatture già pagate.
5. 5Registra l’esito, poi segnala la frode o procedi al pagamento abituale.

1. Fermati

Metti in pausa il pagamento. Non rispondere per chiedere “conferma” allo stesso indirizzo: se la casella è compromessa, potresti ricevere una risposta altrettanto falsa.

Salva il messaggio originale e annota chi lo ha ricevuto, quando è arrivato e quale modifica richiede. Non inoltrare l’allegato a molte persone se non è necessario.

2. Ispeziona la richiesta

Guarda l’indirizzo completo del mittente e verifica se la conversazione contiene messaggi insoliti. Controlla la fattura senza assumere che il PDF sia corretto.

Confronta importo, numero della fattura, ordine, scadenza e coordinate bancarie con i dati che l’azienda possiede già. Se l’allegato sembra sospetto, non aprirlo soltanto per “vedere cosa contiene”.

3. Verifica il fornitore fuori dall’email

Usa un canale indipendente, per esempio:

• un numero di telefono riportato nel contratto;
• il contatto presente nell’anagrafica approvata;
• il portale fornitori già usato dall’azienda;
• una telefonata al referente conosciuto;
• un nuovo messaggio scritto a un indirizzo salvato prima della richiesta.

Non usare il numero indicato nella fattura sospetta. Non cliccare il link contenuto nell’email per raggiungere il sito del fornitore.

Durante la verifica, chiedi in modo chiaro: “Avete cambiato le coordinate bancarie per i pagamenti? Qual è l’IBAN corretto per questa fattura?”. Evita di suggerire subito il nuovo IBAN: lascia che sia il fornitore a comunicare il dato.

4. Confronta l’IBAN con una fonte attendibile

Il confronto migliore usa almeno due riferimenti già validati. Per esempio, l’IBAN comunicato telefonicamente dal fornitore deve coincidere con quello registrato nel contratto o con una conferma precedente.

Se i dati non coincidono, non pagare. Chiedi una conferma formale secondo la procedura interna e coinvolgi chi approva i pagamenti.

Ricorda che la banca può verificare alcune informazioni secondo i propri strumenti e procedure, ma non può sostituire il controllo dell’identità del fornitore. La responsabilità della verifica nasce prima dell’invio del bonifico.

5. Registra l’esito e procedi solo dopo

Annota la data della telefonata, il nome del referente e il canale usato. Conserva la conferma insieme alla fattura e all’ordine.

Una piccola azienda può adottare una regola semplice: ogni variazione dell’IBAN richiede una seconda persona per l’approvazione. Non serve creare un processo complicato. Serve rendere impossibile che una sola email cambi da sola l’anagrafica e autorizzi il pagamento.

Cosa fare se la richiesta sembra sospetta

Se non hai ancora pagato, non rispondere al messaggio sospetto. Segnalalo alla persona che gestisce la sicurezza o l’amministrazione, archivia l’originale e informa il fornitore attraverso un contatto indipendente.

Se hai aperto un allegato, interrompi le attività non necessarie sul dispositivo. Non inserire password e non concedere autorizzazioni richieste dal documento. Se il file ha avviato un programma o mostra un comportamento anomalo, contatta il supporto IT.

Se il bonifico è già partito, chiama immediatamente la banca usando il numero ufficiale. Chiedi se è possibile bloccare o richiamare l’operazione e segui le istruzioni ricevute. Conserva email, allegati, intestazioni disponibili, fatture, coordinate e orari delle chiamate.

Avvisa anche il fornitore impersonato. Potrebbe dover proteggere la propria casella e informare altri clienti. Valuta con la banca, il consulente e le autorità competenti quali segnalazioni presentare, inclusa la Polizia Postale quando appropriato.

L’obiettivo non è stabilire da soli ogni responsabilità. È ridurre il tempo tra la scoperta e l’intervento.

Esempio: un IBAN cambiato per il fornitore abituale

La società immaginaria Officina Riva Srl, con sede a Bologna, riceve una fattura da Servizi Nordest Srl per la manutenzione degli impianti. Il messaggio arriva nella stessa conversazione usata per i mesi precedenti. L’importo, il logo e la descrizione sembrano corretti.

Nel testo, però, compare una frase nuova: “Per un aggiornamento amministrativo, da questa fattura utilizzare il seguente IBAN”. La scadenza è vicina e il mittente chiede di completare il pagamento entro la giornata.

L’addetta ai pagamenti non risponde alla conversazione. Segue invece questi passaggi:

1. apre l’anagrafica di Servizi Nordest, senza aprire l’allegato inatteso;
2. confronta il nuovo IBAN con quello registrato nel contratto;
3. nota che il paese e la banca sono diversi da quelli usati finora;
4. chiama il numero del referente salvato nel gestionale;
5. chiede se il conto per la fattura è cambiato;
6. riceve la conferma che Servizi Nordest non ha inviato nessuna variazione;
7. sospende la fattura e informa il responsabile.

Il controllo rivela che la casella del fornitore era stata utilizzata da un soggetto non autorizzato. Officina Riva non paga il conto indicato nell’email e chiede al fornitore di inviare la fattura attraverso il canale concordato.

La parte importante non è aver riconosciuto un errore grafico. La fattura sembrava credibile. La protezione è arrivata dal confronto tra una richiesta nuova e un dato già verificato, seguito da una telefonata a un recapito indipendente.

Errori comuni che rendono più facile la frode

Fidarsi della conversazione esistente

Una catena lunga dà un senso di continuità, ma può essere stata manipolata o usata da una casella compromessa. Tratta ogni modifica ai dati di pagamento come una nuova richiesta da verificare.

Usare il contatto contenuto nell’email

Se il messaggio è falso, anche il numero di telefono o l’indirizzo alternativo possono essere controllati dal truffatore. Usa dati recuperati da un contratto, dal gestionale o da una comunicazione precedente non collegata alla richiesta.

Considerare la PEC una prova sufficiente

La PEC è uno strumento quotidiano per le aziende italiane e certifica l’invio e la consegna secondo le sue regole. Non certifica che l’IBAN scritto in una fattura sia corretto o che il contenuto non richieda un controllo interno.

Cambiare l’anagrafica senza una seconda approvazione

Aggiornare subito il conto del fornitore può rendere la frode più difficile da individuare. Separa la verifica dalla modifica: una persona controlla, un’altra approva o registra il cambiamento.

Aprire l’allegato prima di controllare la richiesta

Il documento può contenere codice dannoso o un link ingannevole. Prima guarda il contesto, verifica il mittente e chiedi conferma. Poi usa gli strumenti di sicurezza disponibili.

Pagare perché l’importo è piccolo

Un importo contenuto non rende sicuro un IBAN. Una procedura coerente deve valere per ogni cambiamento delle coordinate, indipendentemente dalla cifra.

Cancellare il messaggio dopo averlo segnalato

Conserva le informazioni necessarie per la banca, il fornitore, il supporto IT o una denuncia. Segnala il messaggio senza diffonderlo inutilmente e senza modificare l’originale.

Come trasformare il controllo in una regola aziendale

Scrivi una procedura breve e visibile a chi gestisce le fatture. Può includere quattro regole:

• nessun IBAN viene cambiato sulla base di una sola email;
• ogni variazione è confermata con un contatto già noto;
• il pagamento viene sospeso se i dati non coincidono;
• le richieste sospette vengono registrate e condivise con il responsabile.

Conserva una copia dei contratti, delle coordinate bancarie verificate e delle fatture pagate. Limita l’accesso alla modifica dell’anagrafica fornitori e attiva l’autenticazione a più fattori dove disponibile.

Puoi anche creare una cartella per le richieste da verificare e una per quelle confermate. Organizzare la posta elettronica con due cartelle aiuta a separare le attività senza perdere il contesto.

Per chi lavora con molte caselle, un client con posta unificata e cartelle di lavoro può rendere più visibile una richiesta in attesa. Non sostituisce la telefonata al fornitore, ma aiuta a non confondere messaggi da controllare con fatture già approvate. Per le aziende che usano anche caselle PEC, è utile definire in anticipo chi controlla ricevute e allegati; qui trovi una checklist sugli errori PEC professionali.

FAQ

Un’email del fornitore conosciuto può essere falsa?

Sì. La casella del fornitore può essere compromessa oppure il mittente può essere imitato. Verifica sempre le variazioni di IBAN attraverso un canale indipendente.

Come controllo un IBAN prima di pagare?

Confrontalo con quello presente in un contratto, nell’anagrafica approvata o in una fattura già verificata. Se il dato è cambiato, chiedi conferma chiamando un numero già archiviato, non quello contenuto nel messaggio sospetto.

Devo aprire la fattura per capire se è falsa?

No. Prima controlla il contesto, il mittente e la richiesta. Se l’allegato è inatteso, usa una scansione di sicurezza e aprilo solo dopo aver verificato il fornitore.

Cosa faccio se ho già eseguito il bonifico?

Contatta subito la banca attraverso un recapito ufficiale e chiedi quali azioni sono ancora possibili. Conserva tutte le prove, informa il fornitore e valuta con banca e autorità competenti le segnalazioni da presentare.

La PEC rende sicura una fattura?

No. La PEC aiuta a certificare trasmissione e consegna, ma non conferma che il documento sia autentico o che l’IBAN sia corretto. Anche una fattura arrivata via PEC deve seguire la procedura interna di verifica.