Frodi via email in crescita: come difendersi dalla BEC in azienda

Le frodi via email in crescita rappresentano oggi una delle emergenze più concrete per le imprese italiane e internazionali. Al centro di questa ondata criminale c’è la Business Email Compromise (BEC): una truffa sofisticata che sfrutta tecniche avanzate di ingegneria sociale per ingannare i dipendenti tramite messaggi di posta elettronica falsificati, inducendoli a trasferire fondi o a divulgare informazioni sensibili. L’impatto economico globale supera i 2 miliardi di dollari l’anno, con un incremento costante che non accenna a rallentare. Capire come funziona e come difendersi dalla BEC in azienda è diventato un imperativo strategico, non una semplice precauzione.

Che cos’è la Business Email Compromise (BEC) e perché è così pericolosa

La BEC non è un attacco tecnico nel senso tradizionale: non sfrutta vulnerabilità software, ma la fiducia umana. I criminali conducono una meticolosa fase di intelligence sull’organizzazione bersaglio prima di colpire. Analizzano la presenza digitale dell’azienda, i canali social, i comunicati stampa e altre fonti pubbliche per identificare ruoli chiave, gerarchie interne e relazioni con fornitori o partner.

Questo lavoro preparatorio consente di creare messaggi altamente credibili, spesso indirizzati a personale con accesso diretto a risorse finanziarie o a dati riservati. Il risultato è una email che, all’apparenza, potrebbe provenire dall’amministratore delegato, da un fornitore storico o da uno studio legale di fiducia.

Le principali varianti di frode BEC: come riconoscerle

Le truffe via email di tipo BEC si presentano in forme diverse, tutte accomunate dall’obiettivo di aggirare i controlli interni. Le varianti più diffuse sono:

• Impersonificazione del management (CEO Fraud): i truffatori si spacciano per dirigenti apicali — CEO, CFO, direttore generale — per richiedere trasferimenti di denaro urgenti e non pianificati, spesso con la scusa di un’acquisizione riservata o di un pagamento fiscale improrogabile;
• Contraffazione di fatture: vengono inviate fatture false che simulano comunicazioni di fornitori abituali, con coordinate bancarie modificate per dirottare i pagamenti;
• Compromissione degli account (Account Takeover): una volta violati account email legittimi, i malintenzionati inviano richieste fraudolente ai contatti fidati dell’azienda, rendendo l’inganno quasi impossibile da rilevare a prima vista;
• Simulazione di consulenti legali: sfruttando l’autorevolezza di avvocati o notai, i truffatori avanzano richieste apparentemente legittime legate a contenziosi, fusioni o obblighi normativi;
• Frode sulle risorse umane: i criminali si fingono dipendenti e chiedono di modificare le coordinate bancarie per l’accredito dello stipendio.

Un elemento comune a tutte queste varianti è la pressione psicologica: urgenza, riservatezza assoluta, impossibilità di verificare telefonicamente la richiesta. Questi segnali devono sempre accendere un campanello d’allarme.

Frodi via email in crescita: perché le aziende italiane sono nel mirino

Le frodi via email in crescita colpiscono in modo trasversale: PMI, grandi gruppi, enti pubblici e studi professionali. Le aziende italiane sono particolarmente esposte per alcune ragioni strutturali:

👉 Leggi anche: BCE chiede alle banche difese contro l'IA entro il 31 ottobre

• Elevata presenza di PMI con processi di controllo interno meno formalizzati;
• Uso intensivo della posta elettronica come canale principale di comunicazione con fornitori e clienti;
• Adozione ancora parziale di strumenti di autenticazione avanzata;
• Formazione sulla sicurezza informatica spesso insufficiente o episodica.

I gruppi criminali che orchestrano queste campagne operano a livello internazionale, con strutture organizzate che includono esperti di linguistica, analisti OSINT e specialisti in ingegneria sociale. Non si tratta di attacchi improvvisati, ma di operazioni pianificate con settimane o mesi di anticipo.

Come difendersi dalla BEC in azienda: strategie e strumenti

Difendersi dalla BEC richiede un approccio proattivo e multilivello, che combini tecnologia, procedure interne e cultura aziendale. Ecco le misure più efficaci.

1. Formazione continua del personale

La sicurezza informatica parte dalle persone. I dipendenti — in particolare quelli con accesso a sistemi di pagamento o a dati sensibili — devono essere formati per riconoscere i segnali di phishing e di BEC: indirizzi email leggermente alterati, richieste insolite, toni di urgenza ingiustificata, istruzioni a non verificare telefonicamente. La formazione non deve essere un evento annuale, ma un processo continuo, con simulazioni di attacco (phishing test) per misurare il livello di consapevolezza reale.

2. Protocolli di verifica per le richieste finanziarie

Qualsiasi richiesta di pagamento non ordinaria — cambio di coordinate bancarie, bonifico urgente, trasferimento verso nuovi beneficiari — deve essere soggetta a una doppia verifica tramite canale alternativo. In pratica: prima di eseguire, richiamare il mittente al numero ufficiale già in rubrica (mai a quello indicato nell’email sospetta). Questa semplice procedura blocca la grande maggioranza degli attacchi BEC.

3. Soluzioni tecnologiche avanzate

Sul fronte tecnologico, le aziende devono implementare:

• Autenticazione multifattore (MFA) su tutti gli account email aziendali, per impedire la compromissione degli account anche in caso di furto delle credenziali;
• Protocolli di autenticazione email come SPF, DKIM e DMARC, che riducono drasticamente la possibilità di spoofing del dominio aziendale;
• Filtri anti-phishing e anti-spoofing integrati nel sistema di posta, capaci di rilevare anomalie nei mittenti e nei link contenuti nei messaggi;
• Sistemi di rilevamento delle anomalie nei flussi di pagamento, che segnalano automaticamente transazioni fuori dai parametri abituali.

4. Procedure interne e segregazione dei compiti

Nessun dipendente dovrebbe avere la possibilità di autorizzare da solo un pagamento significativo. La segregazione dei compiti — ovvero richiedere l’approvazione di almeno due persone per operazioni finanziarie rilevanti — è una misura organizzativa semplice ma estremamente efficace contro la BEC. Allo stesso modo, è utile definire soglie di importo oltre le quali scattano automaticamente controlli aggiuntivi.

👉 Leggi anche: Fisco, nuove verifiche con incrocio dati: come funziona il ravvedimento preventivo

5. Denunciare e segnalare tempestivamente

In caso di attacco riuscito o tentato, è essenziale denunciare tempestivamente alle autorità competenti: Polizia Postale, Guardia di Finanza e, se il trasferimento è già avvenuto, contattare immediatamente la propria banca per tentare il blocco del bonifico. La rapidità è determinante: nelle prime ore è ancora possibile recuperare i fondi. Segnalare l’accaduto contribuisce inoltre a tracciare i gruppi criminali e a proteggere altre aziende.

Attacchi BEC e protezione dati aziendali: il quadro normativo

La protezione dati aziendali è un obbligo normativo oltre che una necessità operativa. In caso di violazione degli account email che comporti l’accesso a dati personali, le aziende sono tenute a notificare l’incidente al Garante per la protezione dei dati personali entro 72 ore, ai sensi del GDPR. Trascurare questo adempimento espone a sanzioni significative, che si sommano al danno economico diretto della frode.

FAQ: domande frequenti sulla Business Email Compromise

Cos’è la BEC e come si distingue dal phishing tradizionale?

La BEC è una forma evoluta di phishing mirato (spear phishing) che prende di mira specificamente le aziende. A differenza del phishing di massa, la BEC è altamente personalizzata: i criminali studiano l’organizzazione, imitano lo stile comunicativo di dirigenti o fornitori reali e non puntano a rubare password, ma a ottenere trasferimenti di denaro o informazioni riservate.

Come faccio a capire se un’email è una frode BEC?

I segnali più comuni sono: indirizzo email del mittente leggermente diverso da quello ufficiale (es. mario.rossi@aziendasrl.it invece di mario.rossi@aziendasrl.com), tono di urgenza insolito, richiesta di mantenere la massima riservatezza, istruzioni a non contattare telefonicamente il mittente, coordinate bancarie diverse da quelle abituali.

Cosa fare se la mia azienda è già caduta vittima di una frode BEC?

Agire immediatamente: contattare la propria banca per tentare il blocco del bonifico, denunciare l’accaduto alla Polizia Postale, notificare l’incidente al Garante Privacy se sono stati coinvolti dati personali, e avviare un’analisi interna per capire come è avvenuta la violazione e prevenire recidive.

Le PMI sono a rischio quanto le grandi aziende?

Sì, spesso di più. Le PMI tendono ad avere processi di controllo meno strutturati e risorse dedicate alla sicurezza informatica più limitate, il che le rende bersagli attraenti per i criminali. La semplicità delle misure di base — MFA, protocolli di verifica, formazione — le rende però accessibili anche alle realtà più piccole.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.