A L’Aquila ha sede la sezione operativa della Polizia Postale che si occupa di sicurezza cibernetica per l’Abruzzo, la stessa che negli anni è intervenuta su tentativi di raggiro costruiti con SMS e telefonate contraffatte. Il fenomeno che oggi pesa di più sul tessuto produttivo, però, non passa dal telefono. Passa dalla posta elettronica ed è tanto più insidioso quanto più assomiglia al lavoro di tutti i giorni: nel bilancio 2025 della Polizia Postale il comparto economico-finanziario vale da solo 27.085 casi trattati sui 51.560 complessivi, mentre il portale del Commissariato di P.S. Online ha raccolto oltre 94mila segnalazioni.
Una fattura autentica con due cifre cambiate
Gli investigatori la chiamano business email compromise; nel linguaggio degli uffici amministrativi è più semplicemente la truffa della fattura modificata. Qualcuno riesce a leggere la corrispondenza fra un’impresa e un suo cliente, aspetta che circoli una richiesta di pagamento e la rimette in circolo con le coordinate bancarie sostituite. Il documento è identico all’originale, il tono della mail pure, spesso lo è anche la firma in calce. Il cliente paga convinto di saldare regolarmente e il fornitore, che il bonifico non lo vede arrivare, se ne accorge giorni dopo.
È quanto accaduto a una ditta edile che, terminati alcuni lavori di ristrutturazione, aveva inviato la fattura al proprio cliente: il pagamento risultava già effettuato da giorni, ma su un conto che non era il suo, e i tremila euro erano stati prelevati subito dopo l’accredito. Casi come questo si assomigliano tutti e mostrano che la differenza non la fa la dimensione dell’azienda, ma l’ordine con cui è tenuta la corrispondenza: c’è chi lavora con una casella gratuita aperta anni fa e usata da tre persone diverse, chi ha registrato il dominio dell’attività e su quello ha attivato anche i servizi di email hosting su cui viaggiano preventivi e fatture, e chi ha un consulente informatico che controlla accessi e password. Tre modi di stare sullo stesso rischio, con margini di reazione molto diversi.
La seconda situazione è la più diffusa fra le partite IVA del territorio, e non è una questione di immagine: la casella legata al dominio dell’attività si porta dietro strumenti che una casella generalista non ha. Provider italiani come Vhosting, per esempio, affiancano agli indirizzi su dominio i filtri antispam e antivirus, il backup periodico dei messaggi e un pannello dal quale si controllano gli accessi recenti e le regole di inoltro automatico. È un dettaglio tecnico che nella frode della fattura conta più di quanto sembri: la prima traccia che i truffatori lasciano è quasi sempre un inoltro attivato di nascosto, che gira copia della corrispondenza a un indirizzo esterno.
Perché le imprese più piccole sono le più esposte
Non è una questione di ingenuità, ma di struttura. In una micro-impresa l’amministrazione è spesso una persona sola, che risponde alle mail fra un cantiere e l’altro, non ha una procedura scritta a cui attenersi e ha la scadenza del pagamento addosso. I truffatori lavorano esattamente su questo: registrano domini quasi identici a quelli veri, con una lettera aggiunta o invertita che a una lettura veloce non si nota, e costruiscono messaggi che riprendono formule già usate nello scambio. Anche gli enti pubblici finiscono nel repertorio: l’Agenzia delle Entrate ha segnalato una campagna di false fatture elettroniche recapitate via PEC, con richiami a presunte irregolarità fiscali e allegati infetti.
Le contromisure che le forze dell’ordine ripetono da tempo non costano nulla e valgono per qualsiasi attività:
- una comunicazione di cambio IBAN va sempre verificata al telefono, chiamando il numero già presente in rubrica e mai quello indicato nel messaggio;
- l’indirizzo del mittente va letto per intero, non solo il nome visualizzato, che è facilmente falsificabile;
- i toni di urgenza e le richieste di riservatezza sono un segnale, non un dettaglio;
- la casella di posta va protetta con l’autenticazione a due fattori, perché è da lì che comincia tutto;
- chi autorizza i pagamenti dovrebbe avere una regola fissa e nessuna deroga, nemmeno per importi piccoli.
Quando il bonifico è già partito
Il tempo è la variabile decisiva. La prima telefonata va alla banca, per tentare il blocco o il richiamo della somma: più ore passano, meno margine resta. Poi la denuncia alla Polizia Postale, con tutto il materiale conservato, mail complete di intestazioni, screenshot dell’home banking, fatture e cronologia delle comunicazioni. Va avvisata anche la controparte reale, cliente o fornitore che sia, e su un canale diverso dalla mail: il suo sistema potrebbe essere quello compromesso.
Sul fronte bancario qualcosa si sta muovendo, con il controllo di corrispondenza fra IBAN e intestatario introdotto dalle regole europee sui bonifici istantanei, ma conviene sapere come funziona: avvisa, non blocca. La decisione finale resta di chi sta pagando, e resta anche la responsabilità. Nei prossimi mesi l’esposizione delle imprese aquilane è destinata a crescere più che altrove: l’anno da Capitale italiana della cultura sta moltiplicando incarichi, forniture, collaborazioni occasionali e corrispondenza con soggetti mai incontrati prima, e ogni indirizzo nuovo che entra in circolazione è un’occasione in più perché qualcuno provi a infilarsi in mezzo. La difesa, per una piccola impresa, non passerà da un investimento straordinario. Passerà da un’abitudine: la telefonata di trenta secondi prima di digitare un IBAN.
