La CEO fraud è una truffa informatica e finanziaria che colpisce aziende, studi professionali, enti e organizzazioni.

Il meccanismo è semplice ma molto efficace: un criminale si finge il CEO, un dirigente, un responsabile amministrativo o una figura interna autorevole e chiede a un dipendente di effettuare un pagamento urgente.

La richiesta può arrivare via email, SMS, WhatsApp, Teams, telefono o altri canali aziendali.

Spesso il messaggio sembra credibile, usa un tono deciso e fa leva su urgenza, segretezza e autorità.

Come funziona la CEO fraud

Il truffatore cerca di convincere la vittima che la richiesta arrivi da una persona autorizzata.

Può fingersi:

  • CEO;
  • amministratore delegato;
  • direttore finanziario;
  • responsabile acquisti;
  • collega interno;
  • fornitore abituale;
  • consulente esterno.

Il messaggio contiene spesso una richiesta di pagamento urgente, un cambio IBAN, una fattura da saldare, un’operazione riservata o una procedura da eseguire senza coinvolgere altre persone.

Frasi come “fallo subito”, “è riservato”, “non parlarne con nessuno” o “mi raccomando, massima discrezione” sono segnali molto importanti.

Business Email Compromise

La CEO fraud rientra spesso nella categoria del Business Email Compromise, o BEC.

In alcuni casi l’account email aziendale viene realmente compromesso. In altri, invece, il truffatore usa un dominio molto simile a quello originale o un indirizzo email falso che, a una lettura veloce, sembra autentico.

Esempi tipici:

  • dominio quasi identico a quello aziendale;
  • nome visualizzato corretto ma indirizzo email diverso;
  • account personale usato al posto dell’email aziendale;
  • messaggi inoltrati da caselle compromesse;
  • firme email copiate da comunicazioni reali.

Per questo non basta guardare il nome del mittente: bisogna controllare anche dominio, indirizzo e contesto della richiesta.

Le tecniche più usate

La truffa si basa soprattutto sul social engineering.

Il criminale non punta solo sulla tecnologia, ma sulla pressione psicologica.

Le tecniche più comuni sono:

  • identità falsa;
  • urgenza;
  • autorità;
  • segretezza;
  • richiesta fuori procedura;
  • cambio improvviso di IBAN;
  • tono minaccioso o molto pressante;
  • richiesta di saltare controlli interni.

Il dipendente viene messo nella condizione di pensare: “Se è il capo a chiederlo, devo farlo subito”.

È proprio questo il punto debole che la truffa sfrutta.

Segnali di allarme

Ci sono diversi elementi che devono far sospettare una CEO fraud:

  • richiesta di bonifico urgente;
  • richiesta fuori procedura;
  • tono insolito o troppo pressante;
  • email da dominio simile ma non identico;
  • cambio IBAN improvviso;
  • richiesta di riservatezza;
  • invito a non coinvolgere altri colleghi;
  • importi elevati o destinatari nuovi;
  • pagamento verso conto estero o sconosciuto;
  • richiesta ricevuta fuori orario;
  • messaggio con errori, stile diverso o linguaggio insolito.

Anche un messaggio scritto bene può essere falso. La verifica deve sempre seguire una procedura.

Come difendersi

La regola principale è non autorizzare pagamenti fuori procedura.

Ogni richiesta di bonifico, cambio IBAN o pagamento urgente deve essere verificata tramite un secondo canale.

Se ricevi una richiesta dal CEO via email, non rispondere direttamente alla stessa email per confermare. Chiama la persona usando un numero già noto o contattala tramite un canale ufficiale.

Le aziende dovrebbero adottare procedure di approvazione a più livelli, soprattutto per pagamenti importanti o modifiche ai dati bancari dei fornitori.

Buone pratiche aziendali

Per ridurre il rischio di CEO fraud è utile adottare alcune misure:

  • doppia approvazione per bonifici rilevanti;
  • verifica telefonica per cambi IBAN;
  • procedure scritte per pagamenti urgenti;
  • formazione del personale amministrativo;
  • controllo dei domini email simili;
  • autenticazione a due fattori sugli account aziendali;
  • protezioni SPF, DKIM e DMARC sul dominio email;
  • monitoraggio degli accessi sospetti;
  • limiti operativi per bonifici e pagamenti;
  • canale interno per segnalare richieste sospette.

La tecnologia aiuta, ma la procedura è fondamentale.

Cosa fare se il bonifico è stato effettuato

Se un pagamento sospetto è già stato eseguito, bisogna agire subito:

  • contattare immediatamente la banca;
  • chiedere il blocco o il richiamo del bonifico;
  • avvisare il responsabile interno;
  • conservare email, messaggi, header e allegati;
  • verificare se account aziendali sono stati compromessi;
  • cambiare password e revocare sessioni sospette;
  • attivare o verificare la MFA;
  • segnalare l’incidente alle autorità competenti;
  • informare il reparto IT o il consulente di sicurezza.

La rapidità può fare la differenza nel recupero dei fondi.

Conclusione

La CEO fraud non funziona perché il messaggio è perfetto, ma perché sfrutta autorità, urgenza e fiducia.

Un vero capo non dovrebbe chiedere bonifici urgenti fuori procedura.

Quando una richiesta riguarda denaro, IBAN o dati aziendali, fermati e verifica.

Meglio perdere cinque minuti per controllare che perdere migliaia di euro per una truffa.