La fattura era attesa. Il fornitore esisteva davvero. La conversazione email era quella corretta. Era cambiato soltanto l’IBAN. È proprio questo a rendere le frodi Business Email Compromise (BEC) molto più pericolose del classico phishing pieno di errori.
Nota di trasparenza: il caso seguente è una ricostruzione narrativa basata su tecniche e dinamiche realmente osservate negli incidenti BEC. Azienda, persone, importi e dettagli sono esemplificativi e non rappresentano un cliente reale di EP Consulting.
Lunedì, 9:17: una richiesta assolutamente normale
Immaginiamo una PMI manifatturiera emiliana di circa 35 dipendenti. L’amministrazione riceve dal referente abituale di un fornitore una mail relativa a una fattura da 38.240 euro. Il tono è quello di sempre, la firma è corretta e il messaggio compare all’interno di una conversazione già esistente.
C’è però una variazione: il fornitore comunica di aver cambiato banca e chiede di utilizzare il nuovo IBAN riportato nel PDF allegato. Nessun tono allarmistico, nessun bonifico da fare “entro dieci minuti”. Proprio per questo il messaggio non suscita particolare diffidenza.
Martedì, 11:32: il bonifico parte
La contabilità registra il nuovo IBAN e dispone il pagamento. Due giorni dopo arriva la telefonata del vero fornitore: la fattura risulta ancora insoluta. Nessuno ha cambiato conto corrente.
A questo punto il problema non è più capire se la mail fosse sospetta: bisogna capire quanto profondamente l’attaccante sia entrato nella conversazione e agire immediatamente sul pagamento.
Il primo indizio: non era un semplice indirizzo imitato
In uno scenario di questo tipo l’analisi partirebbe dalle intestazioni dei messaggi, dai log di autenticazione Microsoft 365 e dalle regole della casella. Una possibilità realistica è che l’account del fornitore, o quello dell’azienda, sia stato compromesso settimane prima.
L’attaccante non ha bisogno di scrivere subito. Può osservare conversazioni, scadenze, nominativi e modalità con cui vengono scambiate le fatture. Quando individua una transazione abbastanza importante, interviene nel momento giusto.
L’FBI descrive proprio il BEC come una frode in cui criminali possono compromettere o imitare account affidabili e sfruttare informazioni ottenute tramite spear phishing per conoscere account, calendari e dati aziendali. Il report IC3 2025 continua inoltre a registrare perdite molto rilevanti associate al fenomeno.
Una regola nascosta che cancella le risposte
Durante l’analisi potremmo trovare una regola di posta apparentemente insignificante: tutti i messaggi contenenti determinate parole, oppure provenienti dal dominio del fornitore, vengono spostati automaticamente in una cartella poco visibile o eliminati.
È una tecnica efficace perché consente al criminale di controllare la conversazione. Se il vero fornitore scrive “non abbiamo cambiato IBAN”, l’utente potrebbe non vedere mai quella risposta.
Cosa fare nelle prime decine di minuti
Se il bonifico è già partito, la priorità non è reinstallare PC. È contattare immediatamente la banca, chiedere il richiamo del trasferimento e segnalare la frode. L’FBI raccomanda espressamente alle vittime BEC di contattare subito il proprio istituto finanziario.
Parallelamente, sul fronte IT, un intervento corretto comprenderebbe:
- revoca delle sessioni attive dell’account coinvolto;
- reset delle credenziali e verifica MFA;
- controllo di regole Inbox, forwarding e deleghe;
- analisi degli accessi anomali e dei dispositivi;
- verifica delle applicazioni OAuth autorizzate;
- conservazione dei log e dei messaggi originali;
- controllo di eventuali altre conversazioni finanziarie osservate dall’attaccante.
Il vero errore non è aver creduto alla mail
È facile concludere che “l’impiegato doveva accorgersene”. In realtà una BEC ben costruita può non avere quasi nessuno dei segnali tipici del phishing. La difesa più efficace è quindi anche procedurale.
La regola che avrebbe fermato il bonifico
Ogni modifica di coordinate bancarie dovrebbe essere verificata tramite un secondo canale già noto: ad esempio telefonando al referente utilizzando il numero presente nell’anagrafica aziendale, non quello scritto nella mail che comunica il nuovo IBAN.
Una telefonata di due minuti avrebbe potuto evitare una perdita da decine di migliaia di euro.
Checklist anti-BEC per una PMI
- Attivare MFA sugli account di posta, soprattutto amministrazione e direzione.
- Controllare periodicamente forwarding, deleghe e regole automatiche.
- Conservare log sufficienti per ricostruire gli accessi.
- Verificare fuori banda ogni variazione di IBAN.
- Prevedere doppia autorizzazione per bonifici sopra una soglia definita.
- Formare amministrazione e acquisti sulle frodi BEC, non soltanto sul phishing generico.
- Stabilire prima dell’incidente chi contatta banca, IT, direzione e autorità competenti.
Perché raccontare questo scenario
Il BEC dimostra che la cybersecurity non riguarda soltanto antivirus e firewall. Un account email, una procedura amministrativa debole e una conversazione credibile possono essere sufficienti per produrre un danno economico concreto.
EP Consulting può aiutare le PMI a verificare configurazioni Microsoft 365, autenticazione, procedure di pagamento e capacità di risposta agli incidenti. Sul blog abbiamo approfondito anche il tema del phishing e delle campagne fraudolente.
FAQ
Una BEC contiene sempre malware?
No. Una delle caratteristiche più insidiose è che può basarsi esclusivamente sull’uso fraudolento della posta e sull’ingegneria sociale.
L’MFA elimina completamente il rischio?
No, ma riduce fortemente molti scenari di compromissione delle credenziali. Deve essere accompagnata da controllo delle sessioni, procedure amministrative e monitoraggio.
Se il bonifico è già partito è inutile intervenire?
No. Bisogna contattare immediatamente la banca: la velocità può essere determinante per tentare di bloccare o richiamare il trasferimento.
Fonti: FBI, Business Email Compromise; FBI Internet Crime Complaint Center, 2025 Internet Crime Report.