Nella truffa del cambio IBAN qualcuno legge la posta tua o del fornitore e, al momento giusto, invia una fattura vera con coordinate bancarie false. Si blocca con una regola: nessun IBAN cambia per email; si richiama il fornitore al numero che avevi già, si chiede conferma a una seconda persona e si annota la verifica prima di pagare.
- Nessun cambio IBAN si accetta solo via email, anche se arriva dall'indirizzo vero.
- Verifica in 3 passi: numero già noto, seconda persona, annotazione.
- La verifica del beneficiario delle banche (dal 9 ottobre 2025) aiuta ma non basta.
- Se hai pagato: banca subito, denuncia, prove conservate, avviso al fornitore.
Come funziona: la casella compromessa e la fattura «giusta»
La truffa del cambio IBAN (in inglese si parla di business email compromise) non ha bisogno di virus. Il copione tipico:
- Qualcuno entra in una casella di posta, la tua o quella del fornitore, spesso con una password rubata mesi prima da un'email di phishing.
- Legge la corrispondenza in silenzio e aspetta il momento giusto: una fattura importante in scadenza.
- Invia un messaggio credibile, a volte dalla casella vera del fornitore, a volte da un indirizzo quasi identico, con il riferimento corretto della fattura e una riga sulle «nuove coordinate bancarie».
- Il bonifico parte verso un conto del truffatore. Ci si accorge del problema settimane dopo, quando il fornitore sollecita il pagamento.
È il caso che costa di più a una piccola impresa: il falso rimborso fa perdere dei dati, il falso cambio IBAN fa perdere l'importo di una fattura vera.
I segnali che restano anche quando l'email è scritta bene
Oggi i testi sono corretti e il tono è quello giusto: l'italiano sgrammaticato non è più un indizio affidabile. Restano invece segnali legati alla situazione:
- la richiesta di cambiare le coordinate arriva per email, a ridosso di una scadenza;
- c'è urgenza («il vecchio conto è bloccato», «paga entro oggi per evitare la sospensione»);
- il nuovo conto è intestato a un nome diverso o si trova in un altro Paese;
- l'indirizzo del mittente ha una lettera diversa o un dominio simile ma non uguale;
- chi scrive chiede di non telefonare o di rispondere solo via email.
La procedura in 3 passi
Una regola semplice, scritta e uguale per tutti, vale più di qualsiasi filtro antispam.
Passo 1 – Si richiama il numero che avevi già, mai quello nella mail
Il numero da chiamare è quello in anagrafica, sul contratto o sulle fatture precedenti. Mai quello in firma al messaggio che chiede il cambio: potrebbe rispondere il truffatore.
Passo 2 – Conferma da una seconda persona del fornitore
Chiedi conferma a qualcuno diverso da chi ha scritto: l'amministrazione, il titolare, il commerciale che conosci. Se la casella del fornitore è compromessa, la persona che «ha scritto» non sa nulla della richiesta.
Passo 3 – Si annota la verifica
Nel gestionale o nel fascicolo del fornitore scrivi: data, chi hai chiamato, a quale numero, chi ha confermato. Se il cambio è vero, il primo pagamento sul nuovo conto può essere di importo ridotto, seguito da una telefonata di conferma dell'accredito.
Il doppio controllo nelle aziende di 3 persone
Nelle realtà piccole spesso chi apre la posta è la stessa persona che dispone i bonifici. Il doppio controllo si può ricreare senza assumere nessuno:
| Situazione | Regola pratica |
|---|---|
| Una sola persona gestisce posta e pagamenti | Ogni cambio IBAN viene confermato a voce dal titolare prima del pagamento |
| Il titolare è spesso fuori | Messaggio sul telefono del titolare con foto della verifica annotata; senza risposta il pagamento aspetta |
| Pagamenti con il commercialista | Il commercialista non accetta coordinate nuove arrivate per email senza conferma scritta del titolare |
| Home banking con due firme | Se la banca lo consente, attiva la doppia autorizzazione sopra una soglia |
Se hai già pagato: cosa fare subito
Il tempo conta più di ogni altra cosa. In ordine:
- Chiama subito la tua banca (numero sul retro della carta o nell'app, non quello di un'email) e chiedi il richiamo del bonifico e il blocco verso il conto beneficiario. Con i bonifici istantanei il denaro arriva in pochi secondi e il recupero è più difficile: chiama comunque.
- Sporgi denuncia alla Polizia Postale o a un ufficio di polizia; sul portale della Polizia Postale trovi i riferimenti. Porta la copia della disposizione di bonifico.
- Conserva le prove: le email originali con le intestazioni complete (non solo gli screenshot), la contabile, i numeri chiamati.
- Avvisa il fornitore per telefono: la sua casella potrebbe essere compromessa e altri clienti potrebbero ricevere la stessa richiesta.
- Controlla la tua posta: cambia la password, attiva l'autenticazione a più fattori, verifica che non ci siano regole di inoltro automatico create a tua insaputa.
Se nasce una contestazione con la banca sulla gestione dell'operazione, esiste l'Arbitro Bancario Finanziario, a cui ci si rivolge dopo aver presentato reclamo alla banca.
Prevenire dal lato tuo: autenticazione a più fattori e regole di inoltro
La casella violata può essere la tua: in quel caso sono i tuoi clienti a ricevere il falso IBAN a tuo nome. Le difese di base sono note e poco costose: autenticazione a più fattori su tutte le caselle, password diverse per ogni servizio, controllo periodico delle regole di inoltro e delle app collegate alla posta. Le trovi spiegate nelle guide Helpwebnet su come mettere in sicurezza le email aziendali e su come attivare l'MFA in azienda.
Il testo da mandare a fornitori e clienti
Una comunicazione inviata una volta, e ripetuta in fondo alle fatture, toglie al truffatore il fattore sorpresa.
«Gentile cliente/fornitore, per la sicurezza dei pagamenti vi informiamo che [Nome azienda] non comunica mai variazioni delle coordinate bancarie solo via email. Ogni eventuale variazione vi sarà confermata per telefono dal nostro numero [numero fisso già noto] e da una seconda persona dell'amministrazione. Se ricevete richieste diverse, anche apparentemente dal nostro indirizzo, non eseguite il pagamento e chiamateci. Allo stesso modo, noi non modificheremo le vostre coordinate senza una verifica telefonica.»
Altri casi da conoscere: la truffa della voce clonata, dove la richiesta di bonifico arriva al telefono, e le false email dell'Agenzia delle Entrate, spesso il modo con cui vengono rubate le password. Per il contesto delle campagne di settembre c'è anche l'articolo tre avvisi di phishing in sei giorni.
Domande frequenti
La banca controlla che l'IBAN corrisponda al nome del beneficiario?
Dal 9 ottobre 2025 banche e Poste devono offrire la verifica del beneficiario sui bonifici ordinari e istantanei in euro: segnala se nome e IBAN non coincidono. È un aiuto, non una garanzia: la procedura interna resta necessaria.
Se l'email arriva dall'indirizzo vero del fornitore?
Può succedere se la sua casella è stata violata. Per questo la verifica si fa al telefono, su un numero già noto, e non rispondendo alla mail.
Chi paga se il bonifico finisce al truffatore?
Dipende dal caso: se il bonifico è stato autorizzato da te, recuperare i fondi è difficile. Agire subito con banca e denuncia aumenta le possibilità.
Basta un antivirus?
No: queste email di solito non contengono virus, ma una richiesta credibile. Serve una regola di verifica.
La procedura in una pagina da appendere vicino al PC
Nel kit trovi la procedura anti-truffa su bonifici e cambi IBAN, pronta da stampare: 1,99 €, con gli aggiornamenti.
Prendi il kit a 1,99 €Fonti: Banca d'Italia, verifica del beneficiario (VoP) · Banca d'Italia, L'Economia per tutti: nuove regole sui bonifici · Polizia Postale e delle Comunicazioni · CERT-AGID, campagne malevole in Italia · Arbitro Bancario Finanziario · Altroconsumo, truffa IBAN swap
