Un messaggio apparentemente inviato dall’amministratore delegato chiede un bonifico urgente, riservato e fuori procedura. Il mittente conosce nomi, ruoli, fornitori e operazioni in corso. A volte scrive da un indirizzo quasi identico a quello aziendale; in altri casi utilizza una casella realmente compromessa. È lo schema della CEO fraud, chiamata anche truffa del CEO, truffa del capo o Business Email Compromise (BEC).
La CEO fraud è una forma di ingegneria sociale che induce un dipendente, spesso dell’amministrazione o della finanza, a trasferire denaro, modificare un IBAN o condividere informazioni riservate. Il punto debole non è sempre il sistema informatico: è il processo decisionale, manipolato attraverso autorità, urgenza e segretezza.
L’FBI considera il BEC uno dei crimini online con il maggiore impatto economico. La Banca d’Italia osserva inoltre che queste truffe possono superare i normali controlli perché è la stessa vittima, convinta della legittimità della richiesta, ad autorizzare l’operazione.
Indice dei contenuti
- Cos’è la CEO fraud e perché è diversa dal phishing
- Come funziona un attacco CEO fraud
- Come riconoscere una CEO fraud
- CEO fraud: come difendersi con persone, processi e tecnologia
- Cosa fare davanti a una richiesta sospetta o dopo il bonifico
- Quando coinvolgere specialisti investigativi
- Domande frequenti sulla CEO fraud
Cos’è la CEO fraud e perché è diversa dal phishing
Per difendersi occorre distinguere la CEO fraud dalle minacce affini. Le tecniche possono sovrapporsi, ma cambiano il livello di personalizzazione, il bersaglio e l’obiettivo.
| Minaccia | Come funziona | Obiettivo |
|---|---|---|
| Phishing | Messaggi inviati a molti destinatari | Rubare credenziali o installare malware |
| Spear phishing | Messaggio costruito su una persona specifica | Ottenere accesso, dati o denaro |
| Whaling | Attacco rivolto a dirigenti e figure apicali | Compromettere account o informazioni strategiche |
| CEO fraud | Impersonificazione di CEO, CFO o consulenti autorevoli | Indurre pagamenti o comunicazioni riservate |
| Invoice fraud | Un falso fornitore comunica un nuovo IBAN | Dirottare il pagamento di fatture reali |
Perché la truffa del falso CEO è credibile
L’attaccante può svolgere una fase di ricognizione OSINT, consultando il sito aziendale, LinkedIn, organigrammi, comunicati stampa, trasferte, nuove assunzioni e rapporti con fornitori. Se compromette una casella email, può osservare conversazioni, scadenze, firme e stile comunicativo.
La richiesta viene quindi inserita in un contesto plausibile: un’acquisizione, una verifica fiscale, una consulenza legale o una trattativa internazionale. Sembra eccezionale, ma non impossibile.
Europol evidenzia che questi attacchi sono spesso preceduti da un’attenta analisi dell’organizzazione, delle gerarchie e delle persone autorizzate a effettuare operazioni finanziarie.
Come funziona un attacco CEO fraud
La truffa segue generalmente una sequenza precisa. Conoscerla aiuta a interromperla prima che venga eseguito il trasferimento.
1. Raccolta di informazioni
I criminali identificano chi dispone i pagamenti, chi li approva e chi ha rapporti diretti con i vertici. I bersagli più esposti sono normalmente:
-
contabilità;
-
tesoreria;
-
procurement;
-
amministrazione;
-
risorse umane;
-
assistenti di direzione;
-
filiali lontane dal management centrale.
2. Impersonificazione
L’identità del dirigente può essere imitata attraverso:
-
display name spoofing, utilizzando il nome corretto ma un indirizzo esterno;
-
domini lookalike, modificati di una sola lettera;
-
spoofing del dominio, falsificando il mittente visibile;
-
account takeover, usando una casella autentica compromessa;
-
telefonate, SMS, WhatsApp o sistemi di imitazione vocale.
Nome, firma e dettagli interni non provano quindi l’autenticità della comunicazione. Microsoft conferma che anche utenti preparati possono avere difficoltà a distinguere un messaggio reale da uno proveniente da un mittente falsificato.
3. Urgenza e deroga alle procedure
Il falso CEO chiede riservatezza, vieta di coinvolgere altri colleghi e impone tempi stretti. Espressioni come “sono in riunione”, “non posso parlare”, “la società conta su di te” o “l’operazione deve chiudersi oggi” servono a impedire una verifica indipendente.
La pressione psicologica sfrutta il timore di contraddire un superiore e il desiderio del dipendente di dimostrare affidabilità ed efficienza.
4. Trasferimento dei fondi
Il denaro raggiunge conti controllati direttamente dai criminali oppure intestati a un money mule, un soggetto utilizzato per ricevere e trasferire il denaro. I fondi vengono poi spostati rapidamente tra conti e giurisdizioni differenti.
Per questo la tempestività della segnalazione alla banca e alle autorità è decisiva.
Come riconoscere una CEO fraud
Nessun indizio, preso singolarmente, dimostra la presenza di una frode. La comparsa contemporanea di più anomalie deve però bloccare il pagamento e attivare una verifica.
| Segnale | Perché è sospetto |
|---|---|
| Richiesta urgente e inattesa | Riduce il tempo disponibile per ragionare |
| Obbligo di segretezza | Impedisce il confronto con altri responsabili |
| Bonifico fuori procedura | Elude doppia autorizzazione e separazione dei ruoli |
| Nuovo IBAN o conto estero | Può dirottare un pagamento reale |
| Mittente quasi identico | Può trattarsi di un dominio lookalike |
| CEO che usa un indirizzo personale | Sposta il dialogo fuori dai sistemi aziendali |
| Richiesta di gift card, codici o dati fiscali | È una variante frequente del BEC |
| Invito a continuare su WhatsApp o SMS | Sottrae la conversazione ai controlli email |
Un’email autentica può essere fraudolenta?
Sì. Se l’account del dirigente o del fornitore è compromesso, il messaggio può provenire dalla casella reale e inserirsi in una conversazione esistente.
In questo scenario SPF, DKIM e DMARC possono risultare corretti. I criminali possono monitorare uno scambio di email e intervenire proprio quando deve essere pagata una fattura, comunicando coordinate bancarie differenti.
La verifica non deve pertanto limitarsi all’indirizzo del mittente. La richiesta deve essere confermata mediante un canale indipendente e già conosciuto.
CEO fraud: come difendersi con persone, processi e tecnologia
La protezione più efficace è multilivello.
Nessun filtro sostituisce una procedura finanziaria robusta; affidarsi soltanto all’attenzione dei dipendenti espone invece l’organizzazione all’errore umano.
Procedure di pagamento inderogabili
Le misure organizzative prioritarie sono:
-
Doppia autorizzazione per i bonifici oltre una determinata soglia.
-
Verifica telefonica di ogni nuovo IBAN, utilizzando un numero già registrato.
-
Separazione tra chi inserisce, chi approva e chi esegue il pagamento.
-
Divieto di autorizzare operazioni sulla base della sola email.
-
Controllo rafforzato sulle modifiche alle coordinate bancarie.
-
Registrazione formale delle eccezioni e delle relative motivazioni.
La regola deve valere anche per CEO e CFO: un’emergenza reale non dovrebbe annullare i controlli che proteggono l’impresa.
Sicurezza delle email e degli account
Sul piano tecnico è opportuno:
-
proteggere gli account con autenticazione multifattore;
-
monitorare accessi anomali e sessioni sospette;
-
controllare la creazione di regole automatiche di inoltro;
-
configurare correttamente SPF, DKIM e DMARC;
-
attivare sistemi anti-spoofing;
-
proteggere dall’impersonificazione gli account dei dirigenti;
-
monitorare domini simili a quello aziendale.
Questi strumenti riducono il rischio, ma non fermano tutte le varianti, soprattutto quando viene utilizzato un account legittimo compromesso.
Formazione e cultura aziendale
La formazione deve utilizzare esempi vicini ai processi reali, simulazioni periodiche e canali semplici di segnalazione. Il principio da comunicare è chiaro: verificare una richiesta anomala non è insubordinazione.
Un programma di fraud management efficace collega controlli finanziari, cybersecurity, formazione e gestione dell’incidente, evitando che le frodi aziendali siano considerate un problema esclusivo dell’IT.
Cosa fare davanti a una richiesta sospetta o dopo il bonifico
La risposta dipende dal momento in cui viene scoperto il tentativo.
In ogni caso, messaggi e tracce digitali non devono essere cancellati.
Se il pagamento non è stato eseguito
-
Non rispondere al mittente.
-
Non utilizzare i recapiti contenuti nel messaggio.
-
Contattare il dirigente o il fornitore tramite un numero già noto.
-
Coinvolgere sicurezza IT, amministrazione e management.
-
Conservare email originale, header, allegati, numeri e chat.
-
Verificare se altri dipendenti hanno ricevuto richieste simili.
-
Controllare accessi, sessioni e regole di posta degli account coinvolti.
Se il bonifico è già partito
Bisogna contattare immediatamente la banca, chiedere il richiamo del bonifico e l’attivazione dell’istituto finanziario ricevente. La velocità può aumentare le possibilità di bloccare i fondi prima che vengano trasferiti altrove.
In parallelo occorre:
-
presentare denuncia e coinvolgere la Polizia Postale;
-
attivare il consulente legale, l’assicurazione cyber e i responsabili interni;
-
proteggere gli account sospetti senza distruggere le prove;
-
ricostruire la timeline dell’accaduto;
-
informare eventuali fornitori o clienti esposti;
-
valutare gli obblighi privacy e le procedure di incident response.
Perché preservare le prove digitali
Screenshot e stampe possono essere utili, ma non sostituiscono l’acquisizione tecnica di email, intestazioni, log, dispositivi e account.
La Digital Forensics può verificare spoofing, accessi abusivi, regole occulte, cancellazione di messaggi e compromissioni degli account, preservando integrità e tracciabilità delle evidenze. Una corretta acquisizione è particolarmente importante quando il materiale deve essere utilizzato in un procedimento giudiziario.
Quando coinvolgere specialisti investigativi
Il supporto specialistico è particolarmente utile quando il pagamento è avvenuto, l’account potrebbe essere compromesso, sono coinvolti più soggetti oppure servono elementi utilizzabili in sede giudiziaria.
L’attività investigativa può affiancare quella tecnica nella ricostruzione di responsabilità, flussi finanziari, identità digitali e collegamenti tra account, domini e soggetti.
Phersei integra investigazioni aziendali e informatiche con competenze di Digital Forensics, orientando la raccolta verso evidenze tecnicamente solide e documentabili.
Domande frequenti sulla CEO fraud
Le domande più comuni riguardano la dimensione dell’azienda, l’efficacia dei controlli e le modalità corrette di verifica.
La CEO fraud colpisce solo le grandi aziende?
No. Le PMI possono essere esposte perché hanno procedure meno formalizzate, ruoli sovrapposti e rapporti diretti basati sulla fiducia. Anche un singolo pagamento fraudolento può incidere in modo rilevante sulla liquidità aziendale.
DMARC e autenticazione a due fattori bastano?
No. DMARC riduce lo spoofing del dominio e l’autenticazione multifattore protegge gli account, ma restano possibili domini simili, compromissioni di fornitori e manipolazioni tramite telefono o messaggistica.
Servono sempre verifica indipendente, separazione delle responsabilità e doppia autorizzazione.
Come verificare una richiesta di pagamento?
Deve essere utilizzato un recapito già presente nella rubrica aziendale, nel contratto o nell’anagrafica del fornitore.
Chiamare il numero indicato nella stessa email sospetta significa chiedere conferma al possibile truffatore.
Conclusione
Difendersi dalla CEO fraud significa impedire che una sola email, telefonata o chat possa autorizzare un trasferimento.
La combinazione più solida comprende procedure finanziarie inderogabili, verifica su un canale indipendente, protezione degli account, formazione mirata e capacità di risposta investigativa.
Quando emerge un sospetto, occorre fermare il pagamento, avvisare la banca, preservare le evidenze e ricostruire l’accaduto. Pochi minuti di verifica possono evitare una perdita; dopo l’incidente, la qualità delle prove può determinare la possibilità di individuare le responsabilità e tutelare concretamente l’azienda.
