L'email di phishing più costosa che la tua azienda riceverà non contiene virus né link strani. Sembra un normale messaggio di un fornitore che conosci: il suo conto bancario è cambiato e ti chiede di pagare la prossima fattura sul nuovo IBAN. Nel rapporto 2025 dell'FBI sui crimini informatici, questo tipo di frode, chiamata compromissione della posta aziendale (BEC), ha generato 24,768 denunce e $3,046,598,558 di perdite, circa $123,000 per denuncia, ovvero circa SAR 461,000. Il rimedio non costa quasi nulla: non cambiare mai i dati bancari di un beneficiario sulla base di un'email. Conferma per telefono, usando un numero presente nei tuoi archivi, ed esigi che una seconda persona approvi la modifica. (Abbiamo trattato il lato dell'approvazione dei pagamenti nel nostro articolo sull'attacco a Binance e i controlli di approvazione dei pagamenti.)
Com'è fatta un'email di phishing nel 2026
Il vecchio consiglio era cercare gli errori di ortografia. Non funziona più. Il rapporto dell'FBI afferma che i generatori di chat possono produrre rapidamente email dal tono ufficiale che imitano l'amministratore delegato o altri dirigenti di un'azienda, e che la clonazione della voce può servire a chiedere un bonifico. Nel 2025 l'FBI ha ricevuto oltre 22,000 denunce che citavano l'intelligenza artificiale, con perdite superiori a $893 milioni, e le aziende hanno dichiarato oltre $30 milioni persi in compromissioni della posta aziendale con uso dell'IA.
Valuta quindi la richiesta, non la scrittura. I segnali d'allarme che restano validi:
- Una modifica dei dati bancari, soprattutto poco prima di un pagamento importante.
- Urgenza e segretezza: «paga oggi», «sono in riunione, non chiamare», «resti tra noi».
- Un indirizzo del mittente quasi corretto: una lettera cambiata nel dominio, oppure una casella gratuita al posto del dominio aziendale.
- Una richiesta che salta la procedura abituale: un dirigente che chiede direttamente al contabile un bonifico fuori dal sistema.
I numeri dietro il problema
L'Internet Crime Complaint Center dell'FBI (IC3) ha ricevuto 1,008,597 denunce nel 2025, con perdite dichiarate di $20.877 miliardi, un aumento del 26% rispetto al 2024. Phishing e spoofing da soli hanno generato 191,561 denunce. Le denunce per compromissione della posta aziendale sono passate da 21,442 nel 2024 a 24,768 nel 2025. Sono denunce presentate negli Stati Uniti, non dati sauditi, ma il metodo è lo stesso ovunque: il criminale non entra nella tua banca, convince il tuo stesso dipendente a inviare il denaro.
Lo stesso rapporto contiene la lezione più utile per qualsiasi team finanziario: la velocità. Quando le vittime hanno denunciato in fretta, il Recovery Asset Team dell'FBI ha lavorato con le banche per congelare i fondi. Su 3,900 incidenti nel 2025 ha congelato $679,013,183, con un tasso di successo del 58%. Il consiglio dell'FBI è chiaro: il tempo è decisivo, contatta subito la tua banca e chiedi il richiamo del bonifico.
6 passi che proteggono la tua azienda
- Una regola di richiamata per ogni modifica dei dati bancari. Ogni richiesta di cambiare il conto di un fornitore, dipendente o partner si conferma per telefono, al numero già presente nei tuoi archivi, mai a quello dell'email. Mettilo per iscritto come regola, così nessuno si sentirà in imbarazzo a chiedere.
- Due persone per ogni nuovo beneficiario. Una persona inserisce il nuovo IBAN, un'altra lo approva, da un dispositivo diverso. Chiedi alla tua banca di attivarlo nel portale per le imprese.
- Autenticazione a più fattori sulla posta. Il modello di Standard di Protezione della Posta dell'Autorità Nazionale per la Sicurezza Informatica saudita (NCA) richiede l'MFA per l'accesso alla webmail e alle app di posta su smartphone, e per gli amministratori della posta. La maggior parte delle compromissioni della posta aziendale inizia con una password di posta rubata.
- SPF, DKIM e DMARC sul tuo dominio. Lo stesso modello della NCA richiede questi tre record, così gli altri server possono rifiutare le email che fingono di provenire dal tuo dominio. Proteggono clienti e fornitori da email false a tuo nome.
- Filtri e avviso di mittente esterno. Il modello della NCA richiede di bloccare i messaggi in arrivo con link dannosi o tentativi di phishing e di mettere in quarantena quelli a rischio medio. Aggiungi un avviso visibile su ogni email proveniente dall'esterno dell'azienda.
- Un piano di risposta di una pagina. Se il denaro è uscito: chiama subito la banca e chiedi il richiamo, cambia la password della posta, controlla nella casella le regole di inoltro che non hai creato e avvisa il fornitore di cui è stato usato il nome.
Cosa insegnare al personale in 15 minuti
Non serve un corso lungo. Insegna tre abitudini: controllare l'indirizzo completo del mittente, non eseguire mai una richiesta di pagamento arrivata solo via email e segnalare un messaggio sospetto invece di cancellarlo. Poi invia un'email di prova innocua una volta a trimestre e discuti i risultati senza dare colpe. Un team che segnala in fretta vale più di un team convinto di non cliccare mai.
Il punto di vista di Origami
Per noi il phishing è un problema di processo prima che di tecnologia. I filtri della posta lasceranno sempre passare qualche messaggio, e l'IA rende le email false più convincenti ogni mese. Ciò che non cambia è la regola dentro i tuoi sistemi: una modifica dei dati bancari deve essere impossibile senza verifica e senza una seconda approvazione. Quando sviluppiamo sistemi su misura per contabilità, acquisti o pagamenti, inseriamo questa regola nel sistema stesso, con un registro di ogni modifica ai dati dei beneficiari, perché non dipenda dalla memoria di qualcuno. Se vuoi una revisione della configurazione della posta e delle approvazioni dei pagamenti, contattaci o scopri i nostri servizi.
Fonti
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: totale di denunce e perdite, dati su compromissione della posta aziendale e phishing, denunce legate all'IA e risultati del congelamento dei fondi del Recovery Asset Team.
- Autorità Nazionale per la Sicurezza Informatica (NCA) — Email Protection Standard template: requisiti su MFA, SPF, DKIM, DMARC e blocco dei messaggi di phishing.
Domande frequenti
Come capisco se un'email che chiede di cambiare il conto bancario di un fornitore è una frode?
Spesso non lo si capisce dall'email stessa, perché l'IA ormai scrive messaggi convincenti. Considera sospetta ogni modifica dei dati bancari finché non l'hai confermata per telefono, al numero del fornitore già presente nei tuoi archivi, non a quello indicato nell'email.
Abbiamo bonificato denaro a un truffatore. Cosa facciamo per prima cosa?
Chiama subito la tua banca e chiedi il richiamo del bonifico: la rapidità conta più di tutto. Poi cambia la password della posta, controlla nella casella le regole di inoltro che non hai creato e avvisa il fornitore di cui è stato usato il nome.
SPF, DKIM e DMARC bastano a fermare il phishing?
No. Impediscono ad altri di inviare email che fingono di provenire dal tuo dominio, e così proteggono clienti e fornitori. Non fermano un dominio simile né la casella violata di un fornitore, quindi servono ancora la regola della richiamata e l'approvazione a due persone.
Formare il personale serve ancora se l'IA scrive email perfette?
Sì, ma cambia i contenuti. Invece di cercare errori di ortografia, insegna al personale a valutare la richiesta: ogni modifica dei dati bancari, urgenza, segretezza o pagamento fuori dalla procedura normale va verificato e segnalato.
