La truffa del CEO è una frode in cui un criminale impersona il titolare o un dirigente, via email o con voce clonata, per ottenere un bonifico urgente.
Nelle aziende i pagamenti passano spesso da poche persone: il titolare, l’amministrazione, un delegato sul conto. Su questa organizzazione fa leva la frode. Il criminale non attacca i sistemi, ma la fiducia tra colleghi. Scrive o telefona fingendosi una figura con potere di spesa e chiede un pagamento riservato. Oggi l’intelligenza artificiale riproduce la voce di una persona da brevi registrazioni pubbliche. La richiesta può quindi arrivare anche al telefono o in videochiamata. La protezione non dipende solo dai filtri della posta. Servono regole chiare su chi autorizza un pagamento e su come lo conferma. Il percorso va dal riconoscimento della richiesta sospetta fino alla procedura da seguire se il bonifico è già partito.
Come si svolge una truffa del CEO
L’attacco segue tre fasi: raccolta di informazioni sull’azienda, contatto con chi gestisce i pagamenti e richiesta di un bonifico urgente verso un conto del criminale.
La preparazione parte da fonti aperte, come sito aziendale e profili social dei dirigenti. Da qui il criminale ricava nomi, ruoli e campioni della voce. Il contatto arriva poi a chi ha accesso al conto, con un pretesto credibile. Può essere un’acquisizione riservata, una fattura in scadenza o un fornitore che ha cambiato banca. La frode del CEO è una variante della BEC, una categoria di attacchi legata alla posta aziendale. Le minacce della posta elettronica sono trattate nella guida su email security e phishing. Un filtro avanzato della posta blocca molti messaggi contraffatti prima che arrivino in casella. È una delle funzioni di piattaforme integrate come la Security Suite di Retelit, la società che gestisce Fibermap. Telefonate e videochiamate richiedono invece regole di verifica interne.
BEC (Business Email Compromise): frode che usa una casella email aziendale violata o falsa. Lo scopo è indurre un dipendente a pagare, cambiare le coordinate bancarie o inviare dati riservati.
Le varianti più frequenti sono quattro:
- Email dal falso dirigente: il messaggio arriva da un indirizzo simile a quello reale o da una casella compromessa.
- Falso cambio IBAN: un presunto fornitore comunica nuove coordinate per le fatture in scadenza.
- Telefonata con voce clonata: la voce del titolare, ricostruita con l’IA, conferma un ordine di pagamento.
- Videochiamata deepfake: volto e voce del dirigente sono falsi.
Come fanno i truffatori a clonare la voce di un dirigente?
Usano software di intelligenza artificiale addestrati su registrazioni pubbliche, come interventi a convegni o video aziendali. Da pochi secondi di audio il software genera frasi nuove con il timbro della persona imitata.
Per la Polizia Postale, BEC e frode del CEO sono le truffe finanziarie più comuni contro le imprese. Nel 2025 il deepfake ha reso la frode del CEO più credibile: voce e movenze del dirigente vengono ricreate da fonti aperte (Rapporto Clusit 2026).
I segnali che distinguono una richiesta fraudolenta
Urgenza, riservatezza, canale insolito e richiesta di saltare le procedure abituali sono i segnali ricorrenti. Una richiesta con queste caratteristiche va verificata prima di qualsiasi pagamento.
Il messaggio fraudolento è spesso coerente, perché costruito su informazioni reali. Conta quindi il comportamento richiesto. Secondo ENISA il phishing è all'origine di circa il 60% delle intrusioni iniziali in Europa (Threat Landscape 2025): l'inganno della persona resta la via d'accesso più usata. I campanelli d'allarme da conoscere in amministrazione sono questi:
- Urgenza: il pagamento deve partire entro poche ore.
- Riservatezza: chi scrive chiede di non coinvolgere i colleghi.
- Canale insolito: il dirigente usa un numero sconosciuto o un indirizzo personale.
- Eccezione alla procedura: la richiesta invita a saltare la doppia firma o il controllo abituale.
- Coordinate nuove: l'IBAN è diverso da quello in anagrafica o intestato a un soggetto estero.
Secondo i dati di Banca d'Italia, le frodi in cui la vittima viene indotta a pagare sono cresciute del 49% in valore. Un bonifico ordinario fraudolento vale in media 5.864 euro (Rapporto Clusit 2026).
Una voce clonata si riconosce ascoltandola?
Non in modo affidabile, soprattutto in una telefonata breve. La difesa efficace non è l'orecchio, ma una verifica su un canale diverso da quello della richiesta.
Anche i dati condivisi con l'IA generativa possono esporre l'azienda. Le regole per il personale sono nella guida su cosa non inserire in ChatGPT in azienda.
Verifica bonifici aziendali: le regole da adottare
La difesa si basa su regole scritte: doppia autorizzazione, conferma su un canale indipendente, controllo del beneficiario in banca e protezione degli account usati per pagare.
Le regole valgono per tutti, titolare compreso. Una procedura scritta permette al collaboratore di rifiutare una richiesta anomala senza timore di contraddire un superiore. Le misure principali sono queste:
- Doppia autorizzazione: oltre una soglia definita dall'azienda, ogni bonifico richiede l'approvazione di due persone distinte.
- Conferma su un canale indipendente: chi riceve la richiesta richiama il dirigente o il fornitore al numero già in anagrafica, mai a quello indicato nel messaggio.
- Domanda di controllo: per le richieste a voce o in video, titolare e amministrazione concordano una domanda nota solo a loro.
- Verifica del beneficiario: la banca confronta nome e IBAN prima dell'invio. Con un esito di mancata corrispondenza, il pagamento non viene confermato prima di un controllo.
- Protezione degli account: posta e home banking usano l'autenticazione a più fattori, per impedire l'accesso con credenziali rubate.
Dal 9 ottobre 2025 la verifica del beneficiario è obbligatoria per i bonifici ordinari e istantanei: il sistema controlla in tempo reale la corrispondenza tra IBAN e nome del destinatario (Banca d'Italia).
La verifica minima cambia in base al tipo di richiesta:
| Richiesta | Verifica minima |
|---|---|
| Modifica dell'IBAN di un fornitore | Richiamare il fornitore al numero presente in anagrafica e verificare la corrispondenza tra IBAN e beneficiario. |
| Bonifico urgente chiesto dal titolare | Verificare la richiesta direttamente con il titolare tramite un canale indipendente e richiedere una seconda approvazione. |
| Ordine ricevuto telefonicamente o in videochiamata | Porre una domanda di controllo e richiedere una conferma scritta attraverso un canale aziendale ufficiale. |
Cosa fare se il bonifico è già partito?
La prima azione è contattare subito la banca e chiedere il richiamo del bonifico. Il recupero è più probabile se le somme non sono ancora passate su altri conti.
Vanno poi conservate le prove, cambiate le password coinvolte e presentata denuncia alla Polizia Postale. Le misure di base sono descritte nella guida alla sicurezza informatica per le PMI. I servizi di sicurezza ammessi agli incentivi sono illustrati nell'approfondimento sul voucher cloud e cybersecurity.
Contro questa frode una regola di verifica condivisa vale più del riconoscimento della voce: nessun pagamento parte senza una conferma su un canale indipendente.
Sei protetto dalla truffa del CEO?
Valuta il livello di sicurezza dei tuoi bonifici aziendali
Domande frequenti sulla truffa del CEO
Il phishing punta a rubare credenziali con messaggi inviati a molti destinatari. La frode del CEO è mirata: colpisce una persona con potere di spesa e chiede direttamente un pagamento.
Il rimborso non è automatico, perché il pagamento risulta autorizzato da chi lo ha disposto. Il recupero dipende dalla rapidità della segnalazione alla banca.
Sì. L'articolo 612-quater del codice penale, introdotto nel 2025, punisce la diffusione illecita di contenuti creati o alterati con l'IA. La truffa resta perseguibile.
