Frode del CEO: il bonifico urgente chiesto dal capo che non è il capo

Dai 120 milioni sottratti a Facebook e Google ai 18,6 milioni di Tecnimont: come funziona la business email compromise e perché la regola dei due la ferma.

Solidasocial-engineeringtruffephishinginganno

India, fine 2018. Il responsabile della filiale indiana di Tecnimont, società di ingegneria del gruppo milanese Maire Tecnimont, riceve un'email dall'amministratore delegato del gruppo. Il tono è riservato: c'è un'acquisizione in corso, "altamente confidenziale". Seguono altre email, poi alcune conference call tra Italia e India. In linea ci sono i vertici dell'azienda e un importante avvocato svizzero. Spiegano un dettaglio tecnico: per motivi regolatori Milano non può pagare direttamente, quindi i fondi devono partire dall'India, verso conti a Hong Kong.

Il manager esegue. Tre bonifici: 5,6 milioni di dollari, poi 9,4, poi 3,6. In tutto 18,6 milioni. La quarta tranche è pronta quando il presidente vero arriva in India per una visita di fine anno. Nessuno, a Milano, sapeva niente. [1]

Un dirigente esperto, nessun virus spettacolare. Che cosa ha reso quelle telefonate così convincenti?

In breve

La business email compromise (BEC) è la frode in cui un criminale si spaccia per un capo, un collega o un fornitore per ottenere un pagamento o dati riservati. La "truffa del CEO" è la sua versione più nota: il finto amministratore delegato chiede un bonifico urgente e segreto. Una delle varianti più costose, però, è anche la più noiosa: la fattura del fornitore con le coordinate bancarie cambiate.

🟢 Solida: è da anni una delle prime categorie di perdite nei rapporti dell'FBI, e i casi giudiziari sono ampiamente documentati.

Come funziona l'attacco

Dal lato di chi lavora in amministrazione, i copioni sono soprattutto tre.

Il finto capo. Arriva un'email, o un messaggio su WhatsApp, dal direttore o dall'amministratore delegato. È in viaggio, in riunione, irraggiungibile al telefono. C'è un'operazione riservata (un'acquisizione, una multa da pagare, un fornitore da tenere buono) e serve un bonifico oggi. Spesso compare un secondo personaggio, l'avvocato o il consulente, che dà istruzioni dettagliate e aggiunge credibilità. La richiesta finale: non parlarne con nessuno.

Il finto fornitore. Un fornitore vero, con cui lavori da anni, scrive che ha cambiato banca. A volte l'email arriva davvero dalla sua casella, perché è stata violata; a volte da un indirizzo quasi identico. Le fatture successive vengono pagate sul nuovo IBAN, per settimane o mesi, finché il fornitore vero chiede perché non è stato pagato.

La richiesta piccola. Il "capo" chiede di comprare carte regalo per un evento a sorpresa e di mandargli una foto dei codici. Importi bassi, nessuna approvazione necessaria, molte vittime.

L'IA generativa rende tutto più fluido: email senza errori nello stile del dirigente e, nei casi più elaborati, voce clonata o videochiamate con volti sintetici. Ne parliamo in Deepfake e voce clonata.

Le leve nel cervello

Autorità. Il finto CEO non convince con le prove, convince con il ruolo. Disobbedire al capo, in un momento delicato, sembra rischioso per la carriera. L'esperimento di Hofling sulle infermiere che eseguivano l'ordine telefonico di un finto medico mostra quanto un titolo possa scavalcare una regola scritta. Lo raccontiamo in Bias di autorità.
Segretezza che isola. "È riservato, non parlarne" ha un effetto doppio: lusinga (sei stato scelto) e toglie alla vittima il controllo dei colleghi, cioè la difesa più efficace.
Urgenza. Le operazioni arrivano a fine giornata, il venerdì, prima delle festività. L'urgenza non serve a convincere: serve a non far controllare. Vedi Effetto scarsità.
Impegno e costi sommersi. Dopo il primo bonifico, fermarsi significherebbe ammettere di aver già sbagliato. Nel caso Tecnimont le tranche sono state tre. Vedi Costi sommersi.
Routine. Nella frode del fornitore non c'è nessuna emozione: c'è un'abitudine. Pagare fatture è un compito automatico, e il cervello automatico non controlla un IBAN che "dovrebbe" essere quello di sempre.
Default della verità. Secondo Timothy Levine partiamo dal presupposto che chi ci parla dica il vero, e cambiamo idea solo davanti a un segnale forte. [13] Gli attaccanti lavorano per eliminare ogni segnale: indirizzi simili, tono giusto, dettagli veri.

Casi reali

1. Ubiquiti, 2015: 46,7 milioni di dollari. L'azienda americana di apparati di rete ha comunicato agli investitori di aver subito una frode basata su "impersonificazione di dipendenti e richieste fraudolente" rivolte al reparto finanza. I fondi, detenuti da una controllata di Hong Kong, sono finiti su conti esteri. Al momento della notizia ne erano stati recuperati 8,1 milioni. [2]

2. Facebook e Google, 2013-2015: oltre 120 milioni di dollari. Il lituano Evaldas Rimasevicius ha registrato domini e caselle email simili a quelli di Quanta, un vero produttore taiwanese che lavorava con entrambe le aziende, e ha inviato fatture false ai dipendenti. Si è dichiarato colpevole di frode telematica e nel dicembre 2019 è stato condannato a cinque anni di carcere a New York. [3] La leva: la routine dei pagamenti a un fornitore reale. La lezione: nessuna azienda è troppo grande o troppo tecnologica.

3. Toyota Boshoku, 2019: circa 4 miliardi di yen. Il 14 agosto 2019 la controllata europea del fornitore di componenti del gruppo Toyota ha eseguito pagamenti su "istruzioni fraudolente di una terza parte". Perdita stimata: circa 37 milioni di dollari. [4]

4. Arup, 2024: la videochiamata. A Hong Kong un impiegato della società di ingegneria britannica ha autorizzato 15 bonifici per 200 milioni di dollari di Hong Kong, circa 25,6 milioni di dollari americani, dopo una videochiamata con il direttore finanziario e alcuni colleghi. Erano tutti ricostruzioni sintetiche. Arup ha confermato a CNN l'uso di voci e immagini false. [5]

5. Italia, 2025: il falso ministro Crosetto. Diversi imprenditori italiani hanno ricevuto telefonate dalla voce clonata del ministro della Difesa: servivano soldi per liberare giornalisti rapiti, con un rimborso "garantito da Banca d'Italia". Massimo Moratti ha eseguito due bonifici per quasi un milione di euro. [6] Secondo Reuters, ripresa da CO/AI, l'intera somma è stata poi congelata su un conto in Olanda. [7] A far saltare lo schema è stato un imprenditore che ha chiamato il ministro vero. [6]

I numeri

FBI IC3, rapporto 2025: 24.768 denunce di BEC negli Stati Uniti (erano 21.442 nel 2024) e circa 3,05 miliardi di dollari di perdite, la seconda categoria per danni dopo le frodi sugli investimenti. Le aziende hanno segnalato oltre 30 milioni di dollari di perdite BEC con un legame accertato con l'IA. [8] [9]
AFP (Association for Financial Professionals): secondo l'indagine sui dati 2025 ripresa dalla stampa svizzera, il 74% delle organizzazioni ha subito tentativi di frode del CEO o BEC, riusciti o no, contro il 63% dell'anno prima. [10]
Italia: secondo l'analisi della FABI sui dati della Polizia Postale, nel 2025 le frodi digitali e informatiche hanno sottratto 269 milioni di euro, in crescita del 17,4% in un anno. Il dato riguarda tutte le frodi online, non solo la frode del CEO. [10]
Banca d'Italia, secondo semestre 2025: il 72% del valore delle frodi sui bonifici nasce dalla manipolazione di chi paga. [14]

Cosa raccontano le vittime

"Vorresti solo sparire in un angolo." Un ingegnere di Vancouver ha raccontato a CBC di aver ricevuto all'alba un'email con il nome del suo CEO: "Please text me". Via SMS il finto capo lo ha guidato a comprare carte regalo Apple, prima 400 dollari, poi altri 500, e a mandare le foto dei codici. Ha recuperato una parte grazie ad Apple. La cosa che ricorda di più è la vergogna, e il consiglio a chi ci passa: parlarne invece di tenersi tutto dentro. [11]
"Ha la mia foto, ma non sono io." Nel 2024 il CEO di WPP Mark Read ha scritto ai dipendenti dopo un tentativo fallito: un account WhatsApp con la sua foto, una riunione Teams con voce clonata e spezzoni dei suoi video su YouTube, per chiedere soldi e informazioni a un dirigente del gruppo. La frase della sua email è diventata un piccolo manuale: "Just because the account has my photo doesn't mean it's me". [12]

Testimonianze, non statistiche: chi ci casca è spesso una persona coscienziosa che voleva aiutare il capo.

Il mito da smontare

"Succede solo alle piccole aziende sprovvedute." 🔴 Mito.

Facebook e Google hanno pagato fatture false per due anni. [3] Toyota Boshoku, Ubiquiti, Arup e una controllata di Maire Tecnimont avevano procedure, revisori e reparti IT. [1] [2] [4] [5] La frode del CEO non sfrutta una falla tecnica: sfrutta il punto in cui una persona fidata ha il potere di far partire un pagamento da sola. Più l'azienda è grande e distribuita, più ci sono persone che non conoscono di persona il capo che "scrive".

Segnali d'allarme

🚩 Segretezza: "non dirlo a nessuno", "operazione riservata".
🚩 Urgenza e scadenza a fine giornata, il venerdì o prima di un festivo.
🚩 Il capo è irraggiungibile a voce, ma raggiungibile via email o WhatsApp da un numero nuovo.
🚩 Una procedura saltata "per eccezione".
🚩 Un fornitore comunica nuove coordinate bancarie via email.
🚩 Compare un terzo personaggio (avvocato, consulente, autorità) che dà istruzioni.
🚩 Richiesta di carte regalo o di pagamenti verso paesi insoliti per quel fornitore.

Come difendersi

La regola dei due. Nessun pagamento fuori procedura, e nessuna modifica di IBAN, parte con l'approvazione di una sola persona, chiunque lo chieda. Il secondo approvatore non è burocrazia: è il collega che la segretezza voleva eliminare.

Il callback. Ogni richiesta di bonifico urgente o di cambio coordinate si verifica richiamando un numero già in anagrafica, non quello scritto nell'email o nella firma. Se il "CEO" scrive da un numero nuovo, si richiama il numero vecchio. Nel caso Crosetto, è stata proprio una telefonata al ministro vero a far emergere la truffa. [6]

Altre misure.

Un periodo di raffreddamento per i nuovi IBAN dei fornitori, con conferma su un canale diverso.
Parole o domande di verifica tra dirigenti e amministrazione, come quella che ha salvato Ferrari nel 2024 (lo raccontiamo nell'articolo sui deepfake).
Etichetta "esterno" sulle email che arrivano da fuori, e protezione del dominio aziendale contro le imitazioni (SPF, DKIM, DMARC).
Meno informazioni pubbliche su chi approva i pagamenti, viaggi dei dirigenti e fornitori principali.
Il diritto alla lentezza, scritto nero su bianco dal vertice: chi si ferma a verificare non sarà mai rimproverato, anche se la richiesta era vera. È la frase che toglie all'attaccante la sua leva migliore.

Se è già successo

Chiama subito la banca e chiedi il richiamo del bonifico e il blocco dei fondi presso la banca del beneficiario. Nel caso Moratti la somma è stata congelata. [7]
Denuncia alla Polizia Postale (anche su commissariatodips.it), allegando email con intestazioni complete, numeri e ricevute.
Avvisa il fornitore vero e i clienti: se una casella è stata violata, altri riceveranno le stesse richieste.
Nessuna caccia al colpevole. Analizzate la procedura, non la persona.

Tutti i passaggi in Cosa fare se ci sei cascato.

Mettiti alla prova

Martedì, ore 16:40. Arriva questa email da un fornitore con cui lavorate da sei anni. Il nome del mittente è giusto, la firma anche.

Buongiorno, vi informiamo che a seguito della fusione con il nostro nuovo gruppo bancario le coordinate per i pagamenti sono cambiate. Vi preghiamo di utilizzare il nuovo IBAN in allegato già per la fattura in scadenza venerdì, per evitare ritardi nelle prossime consegne. Cordiali saluti, Ufficio amministrazione

Attacco o richiesta vera?

Soluzione. Può essere vera: i fornitori cambiano banca. Ma è esattamente il copione della frode del fornitore, e il messaggio da solo non permette di distinguere. Non c'è nulla da indovinare: si applica la procedura. Si chiama il fornitore al numero già in anagrafica (non a quello in firma), un secondo collega approva la modifica e il nuovo IBAN si usa solo dopo la conferma. Se la richiesta è vera, il fornitore apprezzerà la prudenza.

Per approfondire

Fonti

CPO Magazine, "Cyber fraud by Chinese hackers makes headlines in India", 21 gennaio 2019. https://www.cpomagazine.com/2019/01/21/cyber-fraud-by-chinese-hackers-makes-headlines-in-india/
Fortune, "Ubiquiti Networks email scam", 10 agosto 2015. https://www.fortune.com/2015/08/10/ubiquiti-networks-email-scam-40-million
The Register, articolo sulla condanna di Evaldas Rimasevicius, 20 dicembre 2019. https://www.theregister.com/2019/12/20/facebook_google_hacker_five_years/
BleepingComputer, "Over $37 Million Lost by Toyota Boshoku Subsidiary in BEC Scam", 6 settembre 2019. https://www.bleepingcomputer.com/news/security/over-37-million-lost-by-toyota-boshoku-subsidiary-in-bec-scam/
CNN, articolo sul caso Arup, 16 maggio 2024. https://edition.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk
QuiFinanza, "Truffa del falso Crosetto, denuncia del ministro: 'Questione di sicurezza nazionale'", 10 febbraio 2025. https://quifinanza.it/attualita/crosetto-truffa-denuncia/880889/
CO/AI (da Reuters), "Convincing AI voice scam targeting CEOs leads to cash freeze by Italian police", 12 febbraio 2025. https://getcoai.com/news/convincing-ai-voice-scam-targeting-ceos-leads-to-cash-freeze-by-italian-police-fraudsters-get-the-boot
McDonald Hopkins, "The sobering truth of the FBI's 2025 Internet Crime Complaint Center Report", 2026. https://www.mcdonaldhopkins.com/insights/news/the-sobering-truth-of-the-fbis-2025-internet-crime-complaint-center-report
FBI Internet Crime Complaint Center, 2025 Internet Crime Report, aprile 2026; sintesi MacMyths. https://macmyths.com/cybercrime-losses-jumped-26-to-20-9-billion-in-2025-fbi-says-but-scams-drove-most-of-the-increase/
VZ VermögensZentrum, "Le 'Ceo Fraud' fenomeno in forte crescita anche grazie all'IA", 25 settembre 2026. https://www.vermoegenszentrum.ch/it/borse-e-mercati/news/le-ceo-fraud-fenomeno-forte-crescita-anche-grazie-allia
CBC News, "'You just want to crawl into a corner and disappear': How this tech worker was duped by a gift card scam". https://amp.cbc.ca/lite/story/1.5400368
Marketing Beat, "WPP CEO's identity usurped by deepfake scammers", 13 maggio 2024 (riprende The Guardian). https://www.marketing-beat.co.uk/2024/05/13/mark-read-deepfake-wpp-ai/
Levine, T. R. (2020). Duped: Truth-Default Theory and the Social Science of Lying and Deception. University of Alabama Press.
MF Milano Finanza, "Bankitalia, bonifici istantanei: frodi in calo grazie alle nuove regole Ue", 21 luglio 2026. https://www.milanofinanza.it/news/bankitalia-bonifici-istantanei-frodi-in-calo-grazie-alle-nuove-regole-ue-202607211354129172