Fattura falsa e IBAN cambiato: come accorgersene prima di pagare

È l'ultimo giorno del mese, quello dei bonifici. Tra le mail del mattino ce n'è una del fornitore del pesce: stesso logo, stessa firma, la fattura di settembre in allegato. In fondo, una riga in più: "Vi informiamo che abbiamo cambiato banca, da questo mese vi preghiamo di pagare sul nuovo IBAN". Il bonifico parte insieme agli altri trenta. Tre settimane dopo il fornitore vero chiama per sollecitare: non ha ricevuto niente.

È la truffa del cambio di IBAN, chiamata anche BEC (dall'inglese business email compromise), e colpisce aziende di ogni dimensione. Non serve un attacco informatico sofisticato: bastano una casella email violata o imitata e un'amministrazione che, a fine mese, ha fretta. I soldi finiscono su un conto che viene svuotato in poche ore, e recuperarli è difficile.

Come funziona, passo per passo

1. 01La casella viene violata o imitata. Qualcuno ruba la password della mail del fornitore, oppure registra un dominio quasi identico: una lettera in meno, un trattino in più, una "l" al posto di una "i".
2. 02Il truffatore osserva. Con l'accesso alla casella legge per settimane la corrispondenza: sa quando arrivano le fatture, chi le paga e quali importi sono normali.
3. 03Arriva la fattura identica. Stesso numero, stessa data, stesso importo, a volte lo stesso PDF modificato in un solo punto: l'IBAN.
4. 04Entra in scena l'urgenza. "Il vecchio conto è in chiusura", "pagate entro venerdì o sospendiamo le consegne". La fretta toglie la voglia di verificare.
5. 05Il bonifico parte. Il denaro passa di conto in conto in poche ore.

Perché colpisce chi paga in blocco a fine mese

In un hotel o in un ristorante i pagamenti ai fornitori si fanno spesso tutti insieme: una mattina, l'elenco delle scadenze da una parte, l'home banking dall'altra, trenta bonifici da preparare prima di pranzo. È il contesto ideale per questa truffa, per motivi molto concreti:

• L'IBAN si copia dal documento più vicino, cioè la mail appena arrivata, e non dall'anagrafica del fornitore.
• Chi paga non è chi ordina. L'amministrazione spesso non conosce di persona il fornitore, e un cambio di banca sembra una comunicazione come tante.
• L'importo è giusto. La fattura è vera, la consegna c'è stata: nessun totale fuori posto fa scattare un dubbio.
• Nessuno ricontrolla dopo. Partita la distinta, il lavoro è finito: il controllo arriva solo con il sollecito.

Le buone pratiche che fermano la truffa

Le contromisure sono semplici e non costano niente. Il difficile è applicarle sempre, anche il giorno dei trenta bonifici.

1. 01Un IBAN cambiato via email non vale mai da solo. Qualunque richiesta di nuove coordinate si verifica fuori dalla mail, anche quando arriva dall'indirizzo giusto.
2. 02Telefona a un numero che conosci già: quello in anagrafica, sul contratto, del commerciale che senti sempre. Mai quello scritto nella mail che chiede il cambio.
3. 03Doppia firma per i beneficiari nuovi. Chi prepara la distinta non è chi la autorizza, e un IBAN mai usato prima richiede la conferma di una seconda persona.
4. 04Aggiorna l'anagrafica una volta sola, lasciando traccia: chi ha verificato, quando, con chi ha parlato al telefono.
5. 05Diffida dell'urgenza. Nessun fornitore serio sospende le consegne perché un bonifico arriva due giorni dopo, per una verifica.
6. 06Se il bonifico è già partito, chiama subito la banca e chiedi il richiamo: nelle prime ore a volte si riesce a fermarlo. Poi la denuncia.

L'IBAN vero sta nella fattura elettronica

C'è un vantaggio che le aziende italiane hanno e spesso non sfruttano. La fattura elettronica del fornitore passa dal Sistema di Interscambio, arriva nel cassetto fiscale e nei dati di pagamento riporta l'IBAN. Il PDF allegato alla mail, invece, è una copia di cortesia: chiunque abbia accesso alla casella può modificarlo.

Se le due versioni non coincidono, è il momento di fermarsi e telefonare. E se il fornitore ha cambiato banca davvero, il nuovo IBAN comparirà anche nelle sue fatture elettroniche successive.

Come DokyAI la intercetta

DokyAI legge le fatture elettroniche di ogni fornitore, compresi gli IBAN delle rate, e con i conti collegati in sola lettura vede anche i bonifici in uscita. A ogni bonifico confronta l'IBAN del destinatario con quelli scritti nelle fatture di quel fornitore.

• IBAN uguale a quello in fattura: è l'indizio più forte. Con l'importo esatto, la rata viene segnata pagata da sola nello scadenzario.
• IBAN diverso: il bonifico non viene mai riconciliato in automatico, anche se importo e nome tornano. Finisce nella scheda Controlli con i due IBAN affiancati, quello usato e quello in fattura, e il numero della fattura.
• Prima di pagare: nel dettaglio di ogni fattura elettronica c'è l'IBAN di ogni rata, letto dal file originale. È il riferimento da usare per la distinta, al posto del PDF arrivato per email.

Il controllo lavora sui movimenti del conto, quindi segnala il bonifico dopo che è partito, non prima. Ma i movimenti si leggono più volte al giorno: saperlo il giorno stesso, invece che al sollecito tre settimane dopo, lascia il tempo di chiamare la banca e il fornitore.

Lo stesso principio vale per i documenti che arrivano per email fuori dallo SdI, come fatture estere e ricevute. La prima volta che scrive un mittente mai visto, il documento resta da verificare: nessun costo e nessuna scadenza vengono registrati da soli. Una fattura "del fornitore" spedita da un indirizzo nuovo non entra nello scadenzario finché una persona non l'ha guardata.

Un IBAN nuovo arrivato per email non è un'informazione: è una domanda da fare al telefono.

Il modulo Banche e riconciliazione di DokyAI confronta ogni bonifico con gli IBAN scritti nelle fatture elettroniche del fornitore e mette tra i controlli quelli che non tornano. Il modulo Documenti tiene da verificare i documenti dei mittenti nuovi. Due controlli che non si stancano, nemmeno il giorno dei trenta bonifici.