CEO fraud e IBAN swap: guida alla sicurezza dei pagamenti aziendali

È fine mese, l'amministrazione è sommersa di scadenze e arriva un'email apparentemente ordinaria: un fornitore storico che allega la fattura, oppure l'amministratore delegato che chiede un bonifico immediato e riservato per chiudere un affare. Esegui l'operazione, la contabilità torna. Pochi giorni dopo scopri la verità: l'IBAN era falso, i soldi sono spariti e la liquidità aziendale è compromessa.

È lo schema con cui ogni giorno le imprese italiane perdono denaro, e non serve un attacco hacker sofisticato per finirci dentro: basta un momento di fretta. La buona notizia è che queste frodi seguono copioni riconoscibili e si bloccano con poche procedure ben impostate.

Qua trovi la guida completa alla sicurezza dei pagamenti aziendali contro CEO fraud e IBAN swap:

• cosa sono la CEO fraud e l'IBAN swap e come funzionano davvero;
• i segnali d'allarme per riconoscere una richiesta di pagamento falsa;
• le procedure interne per autorizzare i bonifici in sicurezza;
• come la nuova verifica del beneficiario (VoP) ti protegge dal 2025;
• perché l'interfaccia con cui disponi i pagamenti fa la differenza.

Ma soprattutto, sei su Tot, il conto aziendale online pensato per darti chiarezza e controllo su ogni operazione, così puoi muovere il denaro della tua azienda senza esporlo a rischi inutili.

Come riconoscere e bloccare le truffe sui pagamenti aziendali

Per bloccare le truffe sui pagamenti aziendali servono quattro presìdi: adottare una doppia verifica fuori canale (out-of-band) per ogni cambio di coordinate bancarie, formare il team a riconoscere le tecniche di ingegneria sociale, proteggere ogni operazione con l'autenticazione forte (SCA) e usare strumenti di pagamento che mostrino in modo chiaro la corrispondenza tra beneficiario e IBAN prima dell'invio dei fondi.

Nelle prossime sezioni vediamo ognuno di questi punti nel dettaglio, partendo da come funzionano le due frodi più diffuse.

Cos'è la CEO fraud e come funziona l'IBAN swap

Le minacce che colpiscono la cassa aziendale non passano quasi mai dall'attacco ai server bancari. Sfruttano invece la psicologia umana attraverso il cosiddetto social engineering (ingegneria sociale). La macro-categoria prende il nome di BEC (Business Email Compromise), cioè la compromissione delle email aziendali.

Esistono due varianti principali che ogni giorno mettono a rischio le imprese. Vediamole una a una.

CEO fraud: la truffa del capo

Nella CEO fraud i truffatori impersonano una figura apicale dell'azienda: il CEO, il fondatore o un direttore generale. Spesso creano un indirizzo email quasi identico a quello reale, oppure violano direttamente l'account originale.

La leva non è tecnica, è emotiva. Facendo leva su urgenza, timore reverenziale e obbligo di riservatezza, convincono una persona dell'amministrazione a disporre un bonifico urgente, tipicamente verso un conto estero, prima che qualcuno possa fare domande.

IBAN swap: lo scambio delle coordinate

Nell'IBAN swap i criminali si inseriscono silenziosamente nel flusso di comunicazione tra l'azienda e i suoi fornitori. Una volta intercettata un'email con una fattura in PDF, modificano digitalmente il documento sostituendo le coordinate reali con il proprio IBAN, e inoltrano il file alla vittima.

L'azienda paga convinta di saldare un debito legittimo, ma i fondi finiscono direttamente ai truffatori. Il vero fornitore, nel frattempo, resta in attesa di un pagamento che non arriverà mai: spesso la frode emerge solo settimane dopo, con il primo sollecito.

Segnali d'allarme: come riconoscere una richiesta di pagamento falsa

Nessun sistema di sicurezza è efficace se il team non impara a leggere a colpo d'occhio le anomalie nelle comunicazioni quotidiane. Queste truffe lasciano quasi sempre delle tracce. Ecco le più frequenti:

• Urgenza e segretezza insolite: formule come "operazione riservatissima", "esegui subito prima che salti l'accordo" o "non parlarne con i colleghi" sono i primi campanelli d'allarme.
• Indirizzi email camuffati (spoofing): controlla sempre l'estensione del mittente. Un'email da amministrazione@tot-money.com può sembrare legittima a una lettura distratta, ma il dominio reale è tot.money. Un carattere fuori posto è già un motivo per fermarsi.
• Cambi improvvisi di IBAN: se un fornitore con cui lavori da anni ti comunica via email di aver cambiato banca e ti chiede di accreditare i fondi su un nuovo conto, considera la richiesta sospetta per default, fino a prova contraria.
• Incongruenze linguistiche: toni troppo formali o distaccati, lievi errori di sintassi (spesso da traduttori automatici), firme leggermente diverse dal solito. Bastano a giustificare il congelamento immediato dell'operazione.

Procedure interne per autorizzare i bonifici in sicurezza

Prevenire queste truffe richiede procedure di controllo rigide, che non lascino spazio a decisioni prese di fretta o per timore reverenziale. Ecco le quattro regole da mettere nero su bianco.

La regola del doppio controllo (double-check)

Stabilisci come policy inderogabile che qualsiasi modifica dell'IBAN di un fornitore e qualsiasi richiesta straordinaria di pagamento vada verificata fuori canale. Se la richiesta arriva via email, chiama il fornitore usando un numero già presente nel tuo archivio storico, mai quello indicato nella firma dell'email sospetta, e chiedi conferma a voce.

La separazione delle mansioni

Evita che chi inserisce un pagamento sia anche la persona che lo autorizza in via definitiva. Un flusso a doppia firma rende i processi molto più sicuri. Per capire come organizzare collaboratori e commercialista senza condividere le credenziali del conto, sul nostro blog trovi come dare accesso al conto in modo controllato.

Strumenti di pagamento dedicati

Isolare i flussi di cassa è un'ottima strategia di mitigazione del rischio. Assegnare carte virtuali a specifici reparti, progetti o abbonamenti evita di esporre il conto principale a ogni singola operazione. Se una coordinata viene compromessa, il danno resta circoscritto.

Autenticazione forte (SCA)

Assicurati che ogni operazione dispositiva sia protetta da una notifica di autorizzazione sul dispositivo mobile di chi ha la delega. L'autenticazione forte impedisce che un accesso non autorizzato possa movimentare denaro anche se qualcuno entrasse in possesso delle credenziali.

La verifica del beneficiario (VoP): la nuova arma contro l'IBAN swap

Dal 2025 hai un alleato in più, previsto direttamente dalla normativa europea. Si chiama Verification of Payee (VoP), in italiano verifica del beneficiario, ed è pensata proprio per fermare l'IBAN swap.

Introdotta dal Regolamento UE 2024/886 (noto come Instant Payments Regulation), la VoP è obbligatoria dal 9 ottobre 2025 per tutti i prestatori di servizi di pagamento dell'area euro, e si applica sia ai bonifici istantanei sia a quelli ordinari.

Il meccanismo è semplice: prima che tu confermi il pagamento, il sistema confronta in tempo reale il nome del beneficiario che hai inserito con l'intestatario del conto associato a quell'IBAN. Il risultato compare a schermo con uno di questi esiti:

• corrispondenza: i dati coincidono, puoi procedere serenamente;
• corrispondenza parziale: c'è una differenza nel nome, valuta prima di confermare;
• mancata corrispondenza: nome e IBAN non coincidono, è il segnale che qualcosa non va;
• impossibile verificare: la verifica non è andata a buon fine, meglio approfondire.

Tradotto: se un truffatore ha sostituito l'IBAN sulla fattura del tuo fornitore, il nome dell'intestatario non coincide più con quello che ti aspetti, e la mancata corrispondenza te lo segnala prima che i soldi partano. La decisione finale resta comunque tua, quindi la verifica non sostituisce le procedure interne: le rafforza.

L'importanza dell'interfaccia nel controllo del beneficiario

Si sottovaluta spesso il ruolo del software con cui gestiamo l'operatività quotidiana. Gli home banking tradizionali, con interfacce datate, flussi macchinosi e muri di testo, rendono difficile notare un errore di inserimento o un IBAN che non corrisponde. E dove l'occhio fatica, la distrazione trova spazio.

La verifica del destinatario nei sistemi di pagamento moderni

La sicurezza passa dalla chiarezza. A differenza dei sistemi datati, un'interfaccia moderna mette in evidenza i dati chiave della transazione in modo visivo e gerarchico.

Prima di autorizzare un bonifico, Tot separa in modo netto il nome del beneficiario dalle coordinate bancarie, con un layout pulito e privo di elementi di distrazione. Così puoi fare un riscontro immediato con la fattura che hai sotto mano e ridurre al minimo il rischio di inviare denaro al destinatario sbagliato per pura disattenzione. È lo stesso principio della verifica del beneficiario, portato dentro l'esperienza d'uso di ogni giorno: meno passaggi ambigui, più controllo consapevole.

Puoi approfondire come Tot protegge le tue operazioni nella pagina dedicata a incassi e pagamenti.

Metti al sicuro i pagamenti della tua azienda con Tot

La sicurezza dei pagamenti aziendali non è un costo né un rallentamento burocratico: è la base su cui poggia la stabilità del tuo business. Proteggere i fondi significa garantire la continuità di tutta la catena, dai fornitori ai collaboratori.

Tot nasce per essere il punto di riferimento di PMI, professionisti e SRL italiane, con una suite di strumenti che riduce i rischi tipici della gestione manuale delle finanze. Ecco cosa trovi:

• Deleghe sicure senza credenziali condivise: inviti i collaboratori per caricare fatture o predisporre i bonifici, ma l'approvazione esecutiva resta sempre a te, con un flusso autorizzativo trasparente che elimina alla radice il rischio di CEO fraud;
• Controllo totale delle uscite: con la dashboard in tempo reale tieni sempre traccia dei movimenti ed eviti che minacce esterne impattino sul flusso di cassa;
• Operazioni incluse e senza commissioni: bonifici, F24, pagoPA e RiBa sono gestibili direttamente dall'app, con un'interfaccia che ti mostra i dati del beneficiario in modo chiaro;
• Carte da assegnare a reparti e centri di costo: attivi le carte virtuali e fisiche di cui hai bisogno, isolando i flussi e limitando l'esposizione del conto principale;
• Sicurezza a portata di clic: se una carta viene smarrita o sospetti che le coordinate siano state esposte, la blocchi in un secondo dall'app, senza attendere i tempi di un call center;
• Gestione amministrativa integrata: strumenti di gestione amministrativa e contabile per tenere tutto sotto controllo in un'unica app.

Contenuto aggiornato ad agosto 2026. La verifica del beneficiario (VoP) è disciplinata dal Regolamento UE 2024/886. Per valutare le procedure di sicurezza più adatte alla tua attività, consigliamo di confrontarti con il tuo commercialista o con un consulente di riferimento.