La fattura sembra quella di sempre. Logo, indirizzo, numero, importo sono corretti. Solo l'IBAN è diverso. A volte c'è una frase: «Vi preghiamo di notare le nostre nuove coordinate bancarie.» Chi paga adesso rischia di versare il denaro a dei truffatori, e il vero fornitore continua ad aspettare.
Questo articolo descrive come funziona questa truffa in Svizzera, da cosa si riconosce e quali regole semplici proteggono la vostra azienda.
Come funziona la truffa delle coordinate bancarie modificate
L'Ufficio federale della cibersicurezza (UFCS, già NCSC) descrive il metodo sotto il nome di Business E-Mail Compromise: gli aggressori ottengono l'accesso a una casella e-mail aziendale, di solito quella del fornitore. Lì trovano fatture vere e contatti clienti veri. Poi rispediscono fatture già emesse con un IBAN modificato, oppure annunciano che i prossimi pagamenti dovranno andare su un altro conto.
L'e-mail arriva dal mittente reale o da un indirizzo che differisce per una sola lettera. Il documento è l'originale con una sola modifica. Cercare errori di ortografia o una grafica scadente non serve.
Una variante è la truffa del CEO: un presunto messaggio della direzione esige un bonifico urgente e riservato. Secondo l'UFCS, questa truffa resta uno dei metodi più segnalati dalle PMI (retrospettiva settimanale UFCS, gennaio 2026).
Segnali d'allarme sulla fattura e nell'e-mail
- Nuovo IBAN presso un fornitore che pagate da tempo.
- Indicazione di un cambio di conto nel testo dell'e-mail o con un timbro sulla fattura.
- IBAN di un altro paese o di un'altra banca rispetto a prima, con lo stesso fornitore svizzero.
- Urgenza: «entro stasera», «altrimenti blocco delle consegne».
- Richiesta di riservatezza o di saltare l'approvazione abituale.
- Indirizzo del mittente diverso o indirizzo di risposta che non corrisponde al dominio del fornitore.
- Sezione pagamento della QR-fattura che non corrisponde all'intestazione: il beneficiario contenuto nello Swiss QR Code non è il fornitore. Sulla QR-fattura i dati del codice sono stampati anche in chiaro. Confrontate entrambi.
Un IBAN formalmente valido non dice nulla sul beneficiario. Gli IBAN svizzeri hanno 21 caratteri e una cifra di controllo; i truffatori usano conti reali, quindi la cifra di controllo è sempre corretta.
La regola principale: richiamare attraverso un canale noto
Per le richieste di pagamento e le modifiche ai dati anagrafici, l'UFCS raccomanda la verifica attraverso un secondo canale: chiamate il fornitore al numero che già conoscete, non a quello indicato nell'e-mail o sulla nuova fattura. Chiedete in modo preciso: «Avete cambiato banca? Qual è il nuovo IBAN?» Fatevi leggere l'IBAN e confrontatelo.
Rispondere per e-mail allo stesso messaggio non è una verifica. Se la casella del fornitore è compromessa, rispondono gli aggressori.
L'UFCS consiglia alle PMI di introdurre barriere tecniche e organizzative:
- Principio dei quattro occhi per i pagamenti e per ogni modifica dei dati anagrafici del fornitore, ad esempio un nuovo IBAN.
- Nessuna eccezione, nemmeno per istruzioni «dall'alto». La truffa del CEO vive proprio del fatto che un collaboratore infrange la regola perché il capo lo chiederebbe.
- Separare la gestione dei dati anagrafici dal pagamento. Chi modifica un IBAN non deve poter eseguire il pagamento nello stesso momento.
- Tenere uno storico. Una lista degli IBAN noti per fornitore rende visibili le differenze.
Cosa fare se il pagamento è già partito
- Chiamare subito la banca. Secondo l'UFCS, il pagamento a volte può ancora essere fermato. Ogni ora conta.
- Informare il fornitore, perché faccia controllare la sua casella e-mail e avvisi gli altri clienti.
- Sporgere denuncia alla polizia cantonale e segnalare il caso all'UFCS.
- Cambiare le password e far verificare la propria informatica se non è chiaro se anche il proprio account sia coinvolto.
L'obbligo di pagare il vero fornitore in genere rimane. La prevenzione costa quindi meno di qualsiasi tentativo di recupero.
Checklist prima del pagamento
- L'IBAN corrisponde alle fatture precedenti dello stesso fornitore?
- Se no: richiamata al numero noto effettuata e documentata?
- Beneficiario nella sezione pagamento QR uguale all'intestazione?
- Pagamento e modifica dei dati approvati da due persone?
- Nessun pagamento sotto pressione di tempo o con richiesta di riservatezza?
Riconoscere automaticamente un cambio di IBAN
Per ogni fattura caricata, Klyrenta confronta l'IBAN con le fatture precedenti dello stesso fornitore nel vostro conto. Se c'è una differenza, appare un avviso con l'indicazione di chiamare il fornitore a un numero noto. Si aggiungono il controllo della cifra di controllo IBAN, del formato IDI, dei doppioni, delle aliquote IVA e degli importi. Ogni fattura riceve OK, Avviso o Errore con motivazione; i risultati si esportano in Excel.
Klyrenta non paga nulla e non contabilizza nulla. La decisione resta vostra. I dati sono ospitati in Svizzera presso Infomaniak, i file cancellati dopo 90 giorni.
10 fatture gratuite. Maggiori informazioni sul controllo fatture per PMI. Vedi anche: Riconoscere le fatture doppie.
Verificato sulle fonti ufficiali citate nel testo.