Frode del CEO e Business Email Compromise, spiegate
Alcune delle truffe più costose non prevedono né virus né intrusioni informatiche. Si basano su un trucco semplice: convincere un dipendente che una richiesta urgente arriva da un capo o da un fornitore di fiducia. È la cosiddetta frode del CEO o, più in generale, Business Email Compromise (BEC).
Che cosa sono la frode del CEO e il BEC?
Il Business Email Compromise è una truffa in cui un criminale si finge qualcuno di cui la vostra azienda si fida — un dirigente, un fornitore, un avvocato o un collega — per indurre un dipendente a trasferire denaro o a condividere informazioni riservate.
La frode del CEO ne è la versione più nota. Il truffatore si spaccia per l’amministratore delegato o per un altro dirigente e chiede a una persona dello staff — spesso in amministrazione o nelle risorse umane — di eseguire un pagamento urgente o di inviare dati riservati.
A differenza del phishing di massa, questi attacchi sono mirati e personali. Di solito non c’è né link né allegato pericoloso: proprio per questo superano i filtri antispam e colgono le persone alla sprovvista.
Come si svolge di solito la truffa
I criminali fanno spesso i compiti prima, leggendo informazioni pubbliche dal vostro sito, dai social e dai comunicati stampa per risultare credibili. Un attacco tipico si presenta così:
- Arriva un’e-mail che sembra provenire dall’amministratore delegato, con il suo nome e il suo stile.
- Trasmette urgenza e riservatezza: «Sono in riunione, serve che sia gestito in fretta e con discrezione».
- La richiesta è di trasferire fondi, cambiare le coordinate bancarie di un fornitore o inviare documenti come i dati delle buste paga.
- I messaggi successivi esercitano una pressione gentile, perché il dipendente non si fermi a verificare.
Il desiderio di compiacere un dirigente, unito a una scadenza stretta, è ciò che rende questa truffa così efficace.
Varianti frequenti
- Fattura falsa: si falsifica l’e-mail di un fornitore per chiedere il pagamento su un nuovo conto.
- Dirottamento dello stipendio: un messaggio finge di essere un dipendente che vuole aggiornare le coordinate su cui riceve la retribuzione.
- Truffa dei buoni regalo: un «capo» chiede di acquistare buoni regalo e di inviarne i codici.
Segnali d’allarme
Si intercetta la maggior parte di questi attacchi fermandosi su pochi dettagli:
- Un cambio di tono, formulazioni insolite o un indirizzo e-mail leggermente diverso.
- Una richiesta che scavalca le procedure abituali: «solo per stavolta, salta l’approvazione».
- Pressione ad agire in fretta e in silenzio, scoraggiando la verifica con altri.
- Qualsiasi modifica di coordinate bancarie o dati di pagamento, soprattutto all’ultimo minuto.
- Un indirizzo di risposta che non corrisponde del tutto al mittente.
Abitudini semplici che la fermano
La tecnologia aiuta, ma le buone abitudini sono la difesa più solida:
- Verificate su un altro canale. Per ogni pagamento o modifica di coordinate bancarie, confermate per telefono o di persona con un numero già noto — mai rispondendo all’e-mail.
- Doppia approvazione. Richiedete la firma di una seconda persona per i pagamenti oltre un certo importo.
- Rallentate sull’urgenza. «Urgente e riservato» è un motivo per controllare, non per correre.
- Confermate i cambi di coordinate con il fornitore tramite un contatto consolidato.
- Rendete sicuro chiedere. I dipendenti devono potersi sentire liberi di mettere in dubbio una richiesta, anche se sembra venire dall’alto.
Se qualcosa non torna
Fidatevi dell’istinto. È del tutto legittimo sospendere un pagamento e verificare prima di agire. In caso di sospetto avvisate subito amministrazione e IT — e se il denaro è già partito, allertate immediatamente la banca: una reazione rapida a volte permette di recuperare le somme.
Come aiuta GottaPhish
La frode del CEO e il BEC contano su urgenza e impersonificazione per spingere i dipendenti ad autorizzare pagamenti prima di verificare — ed è esattamente lì che intervengono GottaPhish e il nostro team di esperti. Le nostre simulazioni realistiche ricreano le tattiche di urgenza e impersonificazione che i criminali usano davvero, così le persone imparano a fermarsi e verificare prima di agire, con formazione pratica e cruscotti che mostrano dove l’organizzazione è più esposta. Il nostro team di supporto ed esperti lavora al vostro fianco per disegnare scenari credibili, impostare le campagne e interpretare i risultati, trasformando un punto cieco costoso in una squadra sicura e preparata.