Truffa del CEO e BEC: come funziona e come fermarla

La truffa del CEO (in inglese CEO fraud) è una frode in cui qualcuno si presenta come amministratore delegato o dirigente dell'azienda e chiede a un dipendente un bonifico urgente e riservato, oppure dati sensibili. È una variante del Business Email Compromise (BEC). Non usa malware: usa l'autorità del mittente. Per questo si ferma con una regola di verifica, più che con un filtro.

Chi cerca questa espressione di solito ha appena ricevuto una mail strana dal capo, oppure deve scrivere una procedura per l'amministrazione. Qui trovi entrambe le cose: come funziona la frode, quanto pesa secondo le fonti ufficiali, quali controlli la rendono inefficace e cosa fare se il bonifico è già partito.

Truffa del CEO e BEC: le definizioni ufficiali

Il Report annuale 2025 della Polizia Postale e per la Sicurezza Cibernetica descrive il CEO fraud come una tecnica di social engineering in cui soggetti malintenzionati «si presentano come dirigenti o amministratori dell’azienda, inducendo personale interno ad autorizzare pagamenti urgenti o a fornire dati riservati, sfruttando l’apparente autorevolezza del mittente». Nello stesso rapporto il BEC fraud è la frode che passa dalla compromissione di caselle di posta elettronica.

L'FBI usa una definizione più larga. Nel glossario dell'IC3 2025 Annual Report il BEC è una truffa rivolta a imprese e persone che lavorano con fornitori o eseguono regolarmente bonifici, condotta compromettendo caselle e-mail ma anche numeri di telefono e applicazioni di videoconferenza, con tecniche di ingegneria sociale o di intrusione informatica, per ottenere trasferimenti di fondi non autorizzati.

In pratica: BEC è la famiglia, la truffa del CEO è la sua forma più riconoscibile. Nella mappa dei tipi di phishing il BEC sta tra le varianti costruite sul bersaglio, accanto allo spear phishing e al whaling. Il lato psicologico della manipolazione è trattato nella guida al social engineering; qui restiamo sul meccanismo del pagamento.

Le varianti che arrivano davvero in azienda

Il falso amministratore delegato

Arriva un messaggio dal vertice, magari il venerdì pomeriggio o mentre il dirigente è in viaggio. Chiede un bonifico per un'operazione riservata, un'acquisizione, una consulenza da chiudere in giornata, e raccomanda di non parlarne con nessuno. La riservatezza serve a impedire l'unica cosa che smonterebbe la richiesta: una domanda a un collega.

Il fornitore che cambia IBAN

Una fattura vera, con importi veri, arriva con coordinate bancarie nuove. Il commissariato online della Polizia Postale riporta un caso indagato a Torino, denunciato a Napoli nel 2019: i truffatori si erano inseriti nelle comunicazioni tra due aziende, ne avevano studiato l'organizzazione, avevano individuato chi aveva il potere di spesa e poi avevano comunicato una variazione di IBAN. Il pagamento dirottato era di quasi 300.000 euro, poi smistato su conti di prestanome per occultarne la provenienza.

La casella compromessa

Nella forma più insidiosa il messaggio non arriva da un indirizzo simile a quello vero: arriva da quello vero, perché l'attaccante ne ha le credenziali. Legge le conversazioni, aspetta la fattura giusta, risponde nel thread. Nella Relazione annuale ACN 2025 la compromissione di casella e-mail è una delle minacce più rilevate dal CSIRT Italia: 304 eventi e 101 incidenti su 2.729 eventi classificati nell'anno.

Il falso consulente o avvocato

Il messaggio del finto amministratore introduce un terzo, un legale o un advisor, che prende in mano la conversazione e fornisce le istruzioni di pagamento. L'IC3 riporta casi analoghi nelle compravendite immobiliari, con e-mail che impersonavano la società incaricata di chiudere la vendita o gli avvocati degli acquirenti.

La richiesta di dati invece che di denaro

Non tutte le varianti puntano al bonifico. La Polizia Postale indica tra gli obiettivi anche la trasmissione di informazioni riservate, e l'FBI segnala richieste di dati personali dei dipendenti usate poi per altre frodi.

Quanto pesa, secondo le fonti ufficiali

• Italia. Nel 2025 la Polizia Postale ha trattato 27.085 casi di truffe online e frodi informatiche, con 4.489 persone indagate. Nella ripartizione delle somme sottratte le frodi aziendali (CEO/BEC fraud) valgono il 5%, dietro alle truffe sui falsi investimenti online (68%).
• Stati Uniti e resto del mondo. Nel 2025 l'IC3 ha ricevuto 24.768 segnalazioni di BEC, con perdite dichiarate per oltre 3 miliardi di dollari: seconda voce per perdite tra le frodi online censite, dopo quelle sugli investimenti. Sono denunce presentate all'FBI, quindi in larga parte statunitensi.
• La serie lunga. Un avviso pubblico dell'IC3 del settembre 2024 somma, tra ottobre 2013 e dicembre 2023, 305.033 incidenti e circa 55,5 miliardi di dollari di perdite esposte, con casi segnalati in 186 Paesi.

Come si svolge, passo per passo

1. Ricognizione. Organigramma dal sito, ruoli da LinkedIn, fornitori dai comunicati, viaggi del vertice dai social. La Polizia Postale descrive proprio questa fase: l'acquisizione di dati e informazioni da fonti aperte sul bersaglio.
2. Pretesto. Un'operazione riservata, un fornitore da pagare prima della chiusura, un cambio di banca.
3. Pressione. Urgenza, segretezza, un tono che rende scomodo chiedere conferma a un superiore.
4. Cambio di canale. La mail porta a una telefonata o a una chat, così la richiesta sembra confermata due volte.
5. Pagamento e dispersione. Il denaro arriva su un conto di passaggio e viene spostato in fretta, spesso all'estero.

Perché i filtri di posta non bastano

Un filtro antispam cerca allegati malevoli, link sospetti, mittenti con cattiva reputazione. Una truffa del CEO ben fatta non ha niente di tutto questo: poche righe di testo, nessun allegato, a volte un indirizzo legittimo.

Sul lato del mittente, DMARC rende difficile usare il tuo dominio esatto per scrivere a clienti e fornitori, ed è il primo controllo da mettere in ordine (puoi controllare il tuo dominio con il verificatore DMARC). Non ferma però i domini somiglianti, né un messaggio che parte da una casella reale compromessa.

Poi c'è la voce. Il rapporto 2025 della Polizia Postale scrive che l'intelligenza artificiale sta portando all'evoluzione del CEO fraud: dopo aver raccolto informazioni sul bersaglio, i criminali possono ricrearne la voce o le movenze, e il falso amministratore chiede a dirigenti aziendali uno o più bonifici per un'operazione presentata «come riservata e urgente». L'IC3 registra nel 2025 perdite per oltre 30 milioni di dollari in frodi BEC con uso di AI, e ricorda che non tutte le tattiche BEC la usano. La conseguenza pratica: una telefonata con la voce giusta non è più una conferma.

I segnali da riconoscere

• Richiesta di pagamento fuori dal processo abituale, anche da parte di chi ha l'autorità per farla.
• Urgenza e riservatezza nella stessa frase.
• Coordinate bancarie nuove comunicate via e-mail, soprattutto verso un Paese diverso da quello del fornitore.
• Indirizzo del mittente che differisce di una lettera, o risposta che va a un indirizzo diverso da quello mostrato.
• Invito a spostarsi su un numero di telefono o una chat indicati nel messaggio.
• Il dirigente è irraggiungibile proprio quando la richiesta arriva.

I segnali aiutano, ma un messaggio scritto bene li evita tutti. Il controllo vero è la procedura.

Le regole che rendono la truffa inefficace

Procedure

• Verifica fuori canale. Ogni variazione di IBAN o pagamento fuori standard si conferma con una telefonata a un numero già in anagrafica, mai a quello indicato nel messaggio. È la prima precauzione indicata dalla Polizia Postale, e l'FBI raccomanda di usare canali secondari o l'autenticazione a due fattori per verificare le richieste di modifica dei dati di pagamento.
• Doppia autorizzazione. Sopra una soglia decisa dall'azienda, un bonifico richiede due persone, e la seconda non riceve la richiesta dallo stesso canale.
• Cambio IBAN come processo, non come mail. Modulo firmato, richiamata al referente noto, periodo di attesa prima del primo pagamento sulle coordinate nuove.
• Nessuna eccezione per i vertici. La regola vale anche quando chiede l'amministratore delegato, ed è lui a doverlo dire per primo. Detta dall'alto, la verifica smette di sembrare sfiducia.

Controlli tecnici

• Autenticazione a più fattori su tutte le caselle, a partire da amministrazione, tesoreria e vertici.
• Controllo periodico delle regole di inoltro e di ricezione delle caselle: la Polizia Postale consiglia di verificare che non siano state cambiate. Una regola di inoltro nascosta è il modo più semplice, per chi ha preso una casella, di leggerne la posta senza entrarci ogni volta.
• DMARC in applicazione sul proprio dominio e sorveglianza dei domini somiglianti registrati da terzi.
• Etichetta visibile sui messaggi che arrivano dall'esterno con il nome di un dirigente interno.

Formazione mirata

Chi paga le fatture è il bersaglio, quindi la formazione va costruita su amministrazione, acquisti e segreterie di direzione, con esercitazioni sul caso del cambio IBAN e non solo sul link da non cliccare. Come impostarla è spiegato nella guida alla security awareness.

Se il bonifico è già partito: le prime ore

1. Chiama subito la banca e chiedi il richiamo del bonifico. L'FBI è esplicita: il tempo è decisivo, e ogni istituto ha politiche diverse, quindi conviene sapere prima che assistenza offre il proprio. Il dato dell'IC3 lo conferma dal lato statunitense: nel 2025 il suo Recovery Asset Team ha avviato 3.900 procedure di blocco su tutte le frodi, congelando circa 679 milioni di dollari su 1,16 miliardi di tentativi.
2. Denuncia alla Polizia Postale, con tutti gli estremi della transazione e le e-mail originali. Il Commissariato di P.S. Online raccoglie anche le segnalazioni: nel 2025 ne ha gestite oltre 94 mila.
3. Non cancellare niente. Conserva i messaggi con le intestazioni complete e i log di accesso della casella.
4. Controlla la casella coinvolta: accessi da luoghi o dispositivi insoliti, regole di inoltro nuove, deleghe. Se è stata compromessa, cambia le credenziali, chiudi le sessioni attive e avvisa i fornitori, che potrebbero ricevere fatture false a tuo nome.
5. Valuta gli obblighi di notifica. Se l'azienda rientra nella NIS2 e l'incidente è significativo, scattano i termini verso il CSIRT Italia, descritti nella guida alla notifica degli incidenti NIS2.

Dove entra il monitoraggio continuo

La truffa del CEO costruita su un dominio somigliante si ferma con le procedure. Quella costruita su una casella compromessa lascia invece tracce tecniche prima del bonifico: un accesso da un Paese in cui nessuno lavora, una regola di inoltro creata di notte, una sessione aperta su un dispositivo sconosciuto. Sono segnali che un SOC con rilevazione e risposta attive ventiquattro ore su ventiquattro vede mentre l'attaccante sta ancora leggendo la posta, e che invece emergono tardi se nessuno guarda i log. Il quadro sugli altri attacchi via e-mail sta nella guida al phishing in azienda.

In sintesi

La truffa del CEO è la forma più riconoscibile del Business Email Compromise: un falso dirigente, o un falso fornitore, ottiene un bonifico usando autorità e urgenza invece del malware. In Italia la Polizia Postale la conta tra le frodi aziendali e segnala l'uso di voci ricreate con l'AI; l'FBI stima le perdite dichiarate del 2025 in oltre 3 miliardi di dollari. Si rende inefficace con tre cose: la verifica fuori canale su ogni pagamento anomalo, valida anche per i vertici; l'MFA e il controllo delle regole di inoltro sulle caselle; la capacità di accorgersi in tempo di una casella compromessa.

Se vuoi capire se oggi qualcuno si accorgerebbe di un accesso anomalo alla casella della tua amministrazione prima del prossimo bonifico, guarda come lavora la nostra cybersecurity gestita con SOC 24/7.