Nuova truffa IBAN modificato: ecco perché è cosi pericolosa

Da qualche tempo, accanto alle truffe informatiche più diffuse - dal furto dei dati bancari alla sottrazione della propria identità - ce n'è una più subdola, che può costare caro ad aziende e privati: si tratta della cosiddetta truffa dell'IBAN modificato.

Come funziona la truffa dell'IBAN modificato?

La truffa dell'IBAN modificato ha un meccanismo di funzionamento tanto semplice quanto sofisticato. In sostanza, gli hacker spiano le comunicazioni di privati o aziende e intercettano quelle in cui si parla di fatture da saldare, di preventivi o di compravendite.

Gli hacker si infilano in queste comunicazioni senza farsi notare e, attraverso software installati sui dispositivi della vittima, intervengono per modificare i documenti che riportano l'IBAN del beneficiario, inserendo il proprio conto corrente, oppure, fingendosi il fornitore, mandano un'email che invita a fare il pagamento su uno specifico conto corrente.

Dato il meccanismo di funzionamento, in gergo tecnico si parla di attacco BEC (Business Email Compromise) o Man in the Email.

La truffa spesso richiede tempo per concretizzarsi e inizia sempre da un attacco che permette ai cyber criminali di intrufolarsi all'interno di una casella email. Tra le tecniche utilizzate ci sono:

• il phishing;
• l'utilizzo di spyware;
• attacchi di tipo brute force;
• il password spraying.

Una volta ottenuto l'accesso all'email, i truffatori possono andare a modificare direttamente i documenti di pagamento, senza che la vittima se ne accorga, oppure possono fingersi la persona beneficiaria e comunicare un nuovo IBAN.

Al momento del pagamento, la vittima trasferisce i soldi sull'IBAN comunicato via email o indicato nel documento modificato dagli hacker, pensando di stare inviando il denaro all'effettivo beneficiario. In realtà, il pagamento verrà fatto a un conto corrente terzo, che non ha nulla a che vedere con il proprio fornitore.

Gli hacker esperti fanno di solito affidamento su una fitta rete di conti esteri, su cui i soldi vengono distribuiti una volta completato il pagamento. In questo modo, risulta difficile ricostruire il flusso del denaro e, se ci si accorge della truffa solo a distanza di giorni o di settimane, è ormai troppo tardi per revocare l'operazione.

Cosa si può fare per difendersi dalla truffa dell'IBAN modificato?

In molti casi, ci si accorge della truffa quando ormai è troppo tardi. Adottando misure preventive e verificando l'attendibilità delle comunicazioni in arrivo, si può comunque intervenire per aumentare la sicurezza ed evitare di cadere nella trappola dei pagamenti fraudolenti.

Le strategie migliori per difendersi dalla truffa dell'IBAN modificato sono:

• fare attività di formazione del personale e migliorare l'educazione finanziaria delle persone che gestiscono le operazioni di compravendita e di pagamento;
• installare e aggiornare regolarmente firewall e sistemi antispyware;
• utilizzare password sicure, cambiarle regolarmente e attivare sistemi di autenticazione a due fattori;
• definire delle rigorose procedure da seguire in caso di modifica dell'IBAN. Si può chiedere, ad esempio, che le comunicazioni di questo tipo vengano fatte tramite PEC e che ci sia un'ulteriore conferma fatta telefonicamente o tramite videoconferenza.

Gli attacchi hacker del tipo Man in the Email spesso hanno successo a causa di un comportamento imprudente da parte del personale dell'azienda. Basta cliccare su un link malevolo o usare una password debole per aprire le porte della casella email aziendale ai malintenzionati.

Mantenere sempre alta l'attenzione e informarsi su come funzionano le truffe informatiche è la prima arma per difendersi e per evitare di perdere denaro.

Per non cadere nella truffa dell'IBAN modificato è anche molto utile fare sempre un'attenta verifica delle informazioni prima di inviare un pagamento. Se si deve pagare una fattura a un fornitore che già si conosce, ci si può mettere in contatto con un referente interno per avere conferma che l'IBAN sia stato effettivamente modificato. Se invece è la prima fattura che si paga, può essere utile controllare il codice BIC/SWIFT: se fa riferimento a un conto corrente estero ma il fornitore è italiano, vale la pena fare un ulteriore controllo e chiedere conferma che non ci siano errori.