Truffa IBAN in fattura: come provare l’email e il documento originali
La truffa IBAN in fattura non si gioca il giorno del bonifico. Si gioca sei settimane dopo, quando il fornitore sollecita un pagamento che in contabilità risulta già eseguito e le due parti scoprono di avere in mano due PDF diversi con lo stesso numero di fattura. Nel ciclo passivo il documento viaggia due volte: una attraverso il Sistema di Interscambio, l'altra come allegato di cortesia a un messaggio di posta ordinaria. È dalla seconda copia che l'ufficio amministrativo legge le coordinate bancarie, ed è la seconda copia che nessuno conserva in modo verificabile.
Nel 2024 i bonifici fraudolenti nell'Unione europea e nello Spazio economico europeo hanno raggiunto 2,5 miliardi di euro, e circa l'85% delle perdite è rimasto a carico dell'utente del servizio di pagamento, cioè dell'azienda (EBA e BCE, 2025 Report on Payment Fraud). La banca, nella grande maggioranza dei casi, non copre.
Quando il denaro non torna, la discussione smette di essere una questione di sicurezza informatica e diventa una questione documentale. La conservazione a norma dimostra che la fattura depositata nel sistema non è stata alterata dal versamento in poi, ma non dice quale file sia arrivato in allegato al messaggio di posta né quale IBAN contenesse quando il tesoriere lo ha aperto. La frode vive nello spazio che la conservazione non copre. E chi non riesce a dimostrare quale versione dell'email e dell'allegato sia l'originale rischia di pagare due volte: una al truffatore e una al fornitore.
Come funziona la truffa dell'IBAN sostituito in una fattura autentica
La sostituzione dell'IBAN in una fattura autentica è una frode che non falsifica il documento: lo intercetta. Europol la descrive come lo sfruttamento di fatture genuine in cui le coordinate bancarie del fornitore legittimo sono state alterate, dopo che gli autori hanno ottenuto accesso alla corrispondenza aziendale e ne hanno studiato struttura e procedure interne (Europol, Online Fraud Schemes). Il meccanismo ha tre passaggi. Chi attacca entra in una delle due caselle di posta, quasi sempre quella del fornitore, e resta in ascolto per settimane. Individua i messaggi che contengono le parole pagamento e fattura, e aspetta l'invio di un documento reale. A quel punto modifica la sola stringa dell'IBAN nell'allegato, lasciando invariati numero, importo e intestazione, e rimanda il messaggio al destinatario. Nella casella del cliente arriva una fattura corretta in tutto, tranne che nelle coordinate su cui verrà disposto il bonifico.
La stampa italiana ha battezzato questa frode del pagamento IBAN swap: lo scambio della sola coordinata bancaria dentro una comunicazione per il resto legittima, senza documenti inventati e senza fornitori inesistenti. È la stessa condotta che la Polizia Postale classifica come business email compromise, o BEC fraud, cioè la frode realizzata attraverso la compromissione di caselle di posta elettronica (Polizia di Stato, Report annuale 2025).
L'intercettazione della corrispondenza tra fornitore e cliente
L'accesso alla conversazione avviene in tre modi: la compromissione diretta della casella, di solito quella del fornitore più piccolo, con credenziali ottenute via phishing; il dominio somigliante, registrato con un carattere di differenza; l'inserimento nella catena esistente, un attacco man in the middle in cui chi attacca risponde a un messaggio vero, con lo storico citato sotto e i riferimenti d'ordine giusti. ENISA colloca l'ingegneria sociale all'origine di circa il 60% degli incidenti osservati tra luglio 2024 e giugno 2025 (Il panorama delle minacce ENISA 2025).
L'allegato non viene rifatto, viene ritoccato. Nella truffa IBAN su PDF la stringa delle coordinate viene sostituita mantenendo carattere e posizione, oppure coperta con un riquadro bianco, e il testo di accompagnamento resta plausibile: cambio di istituto, nuova tesoreria di gruppo, conto bloccato per qualche giorno. Su una fattura con IBAN diverso ricevuta come PDF non firmato nulla, dentro il file, dice quale delle due versioni ha emesso il fornitore.
Perché l'anomalia emerge solo al sollecito di pagamento
Il pagamento parte regolarmente. È autorizzato, ha la doppia firma, e in contabilità la fattura risulta saldata. Il fornitore non riceve nulla, ma con dilazioni a 60 o 90 giorni se ne accorge tardi. Il sollecito arriva a scadenza superata, il cliente risponde che ha pagato il giorno X, il fornitore replica che non ha mai visto un euro. Solo allora i due allegati vengono messi a confronto.
Nel frattempo sono passate settimane. Il richiamo del bonifico può essere avviato soltanto dalla banca dell'ordinante e, quando il motivo è l'origine fraudolenta dell'operazione, la finestra prevista dal Rulebook SEPA arriva a tredici mesi dall'esecuzione (European Payments Council, SCT Rulebook 2025). Lunga sulla carta. Nella pratica il richiamo riesce solo se i fondi sono ancora sul conto del beneficiario, e di norma vengono frazionati nel giro di ore: l'FBI riporta per il 2025 un tasso di congelamento del 58% sui casi attivati subito (FBI, 2025 Internet Crime Report). Dopo settimane resta la controversia con il fornitore.
Perché la partita non si gioca sulla sicurezza ma sulla prova
Quando l'ammanco emerge, l'esito dipende da una domanda documentale: quale versione della fattura è arrivata all'azienda, e quando. Quasi mai una delle due parti sa rispondere in modo verificabile. Il perimetro tecnico a quel punto conta poco, perché la casella compromessa può essere quella del fornitore, il pagamento è stato disposto correttamente e la banca ha eseguito l'identificativo unico che le è stato indicato. La manipolazione del pagatore, la categoria in cui rientra la truffa dell'IBAN modificato, ha raggiunto nel 2024 il 74% del valore dei bonifici fraudolenti nell'area europea secondo il rapporto congiunto EBA e BCE, in crescita dal 65% dell'anno prima. Sono operazioni autorizzate dal cliente, non intrusioni nei sistemi della banca. La difesa dell'azienda si sposta così su un terreno che nessuno aveva preparato: dimostrare che cosa avesse davanti agli occhi chi ha firmato il pagamento.
Qui pesa un equivoco diffuso in amministrazione. La conservazione a norma delle fatture elettroniche garantisce che il documento versato nel sistema resti integro e leggibile nel tempo, secondo le Linee guida AgID: è una prova a valle, sul documento fiscale entrato nel ciclo. La fattura transitata dal Sistema di Interscambio è un oggetto, il PDF di cortesia allegato all'email è un altro. La truffa IBAN in fattura elettronica vive nel secondo, dove non c'è conservazione e non c'è marca temporale.
Le copie conservate nella casella di posta sono contestabili
Il file estratto dalla propria casella non prova la propria storia. Nella contestazione tipica il fornitore afferma di aver inviato la fattura con l'IBAN di sempre, il cliente esibisce un messaggio apparentemente nello stesso thread che ne contiene un altro. Entrambe le parti hanno un PDF, e nessuna delle due può dimostrare con elementi interni quale sia la versione consegnata. Un messaggio può essere modificato dopo la ricezione, le intestazioni tecniche possono essere ricostruite, la casella può essere stata ripulita da chi era entrato prima ancora che qualcuno sospettasse qualcosa. Quando la controparte disconosce l'email, la copia in cartella diventa un indizio e la ricostruzione passa da un accertamento tecnico successivo che costa tempo e denaro. Il meccanismo processuale è nell'approfondimento su quando la controparte disconosce l'email.
Banca, assicurazione e fornitore hanno interesse a versioni diverse
Nello stesso fascicolo convivono quattro ricostruzioni incompatibili dello stesso scambio di posta. Non è malafede: ciascuna parte difende la propria posizione con gli elementi che ha, e il tema del pagamento al creditore apparente riemerge ogni volta che il fornitore chiede di essere saldato una seconda volta. L'unica parte che ha bisogno di provare il contesto della ricezione è l'azienda pagante, ed è anche l'unica che di solito non ha nulla in mano.
| Parte | Tesi che sostiene | Elemento probatorio che invoca |
|---|---|---|
| Banca dell'ordinante | Il bonifico è stato autorizzato dal cliente e l'identificativo unico è stato eseguito alla lettera | Ordine autorizzato, esito della verifica del beneficiario, accessi al portale dispositivo |
| Compagnia assicurativa | L'evento ricade in un'esclusione, o le procedure dichiarate non sono state rispettate | Procedura sul cambio coordinate, verifica su canale indipendente, tempestività della denuncia |
| Fornitore | Non ha mai inviato quella comunicazione e il credito resta dovuto | Fattura emessa e conservata, propria corrispondenza, firma digitale sul documento emesso |
| Azienda pagante | Ha pagato in buona fede su una comunicazione proveniente dal fornitore | Email ricevuta con le intestazioni, allegato con le coordinate, pagina del portale consultata |
Che valore probatorio hanno email e fatture in una contestazione
Un'email e una fattura PDF non sottoscritte rientrano tra le riproduzioni informatiche dell'art. 2712 del codice civile: fanno piena prova dei fatti rappresentati solo finché la controparte non ne disconosce la conformità. Il disconoscimento non costa nulla, e la Cassazione civile, sezione II, con l'ordinanza n. 1254 del 2025 ha confermato che davanti a una contestazione qualificata è chi produce la riproduzione a doverne dimostrare integrità e autenticità. Il quadro amministrativo è coerente: l'art. 20, comma 1-bis del Codice dell'amministrazione digitale stabilisce che, fuori dai casi di documento firmato o formato secondo le regole AgID, il valore probatorio del documento informatico è liberamente valutabile in giudizio in relazione alle caratteristiche di sicurezza, integrità e immodificabilità, e che data e ora sono opponibili ai terzi solo se apposte secondo le Linee guida (Normattiva, CAD art. 20).
Il tema è sviluppato negli approfondimenti su il valore probatorio di un'email portata in giudizio e su le riproduzioni informatiche nel codice civile. Qui basta la conseguenza operativa: nella disputa sull'IBAN alterato la stampa del messaggio non decide niente, perché al fornitore basta negare di averlo mandato.
Che cosa serve per dimostrare quale versione del documento è l'originale
Dimostrare quale versione di una fattura sia l'originale richiede quattro elementi, e devono esistere prima della contestazione. Il primo è l'integrità: un'impronta crittografica (hash) calcolata sul file, che rende evidente qualunque modifica successiva. Il secondo è la data certa: una marca temporale qualificata lega quel contenuto a un istante opponibile ai terzi, cosa che l'orario mostrato dal programma di posta non fa. Il terzo è la provenienza, ricavabile dalle intestazioni tecniche del messaggio, che raccontano il percorso reale della comunicazione e non solo il nome visualizzato del mittente. Il quarto è il contesto: che cosa fosse visibile al momento della ricezione, portale del fornitore incluso. Sono gli stessi requisiti che la ISO/IEC 27037 fissa per l'acquisizione della prova digitale. Nessuno dei quattro si recupera a posteriori. Un accertamento tecnico disposto mesi dopo, la classica perizia sul bonifico, lavora su ciò che è rimasto in una casella che nel frattempo è stata bonificata, ripristinata o migrata. Questi quattro elementi lavorano invece su ciò che è stato.
Un punto che quasi nessuno chiarisce: la firma digitale apposta dal fornitore sulla fattura emessa protegge il documento in uscita e ne attesta la provenienza, ma non dice nulla su quale email il cliente abbia ricevuto, né su quale allegato avesse sotto gli occhi al momento del pagamento. Il documento firmato e il documento pagato possono essere due file diversi. Nella truffa dell'IBAN lo sono quasi sempre.
| Fonte | Integrità | Data e ora opponibili | Provenienza | Contesto della ricezione |
|---|---|---|---|---|
| Copia salvata nella casella di posta | No | No | Contestabile | No |
| PEC inviata al fornitore dopo il fatto | Sì, sul messaggio spedito | Sì, sull'invio | Sì, sul mittente | No |
| Conservazione a norma della fattura elettronica | Sì, dal versamento in poi | Sì, sul documento conservato | No | No |
| Firma digitale del fornitore sulla fattura emessa | Sì, sul file firmato | Solo con marca temporale associata | Sì, sull'emittente | No |
| Certificazione dell'email e dell'allegato alla ricezione | Sì | Sì | Sì, con le intestazioni acquisite | Sì |
Le aziende usano TrueScreen per acquisire con valore probatorio la comunicazione che ha originato il pagamento, così che in caso di contestazione esista una versione opponibile e non ricostruita a posteriori.
Che cosa significa certificare alla fonte l'email e la fattura di un pagamento
TrueScreen, la piattaforma per l'autenticità dei dati, certifica l'email ricevuta e il suo allegato nel momento in cui arrivano, applicando un'impronta crittografica (hash) e una marca temporale qualificata alla versione che l'azienda ha effettivamente ricevuto. Certificare alla fonte vuol dire fissare il documento quando entra, non ricostruirlo quando la contestazione è già aperta. L'oggetto della certificazione non è solo il PDF: sono l'email con le sue intestazioni tecniche, l'allegato con le coordinate bancarie e, quando la fattura viene scaricata da un'area riservata, la pagina così come è stata vista quel giorno. La marca temporale qualificata è erogata da un QTSP integrato nella piattaforma: TrueScreen non rilascia certificati qualificati, applica il sigillo di un prestatore terzo ai contenuti acquisiti con metodologia forense. Data, ora e integrità della versione ricevuta smettono di essere una dichiarazione dell'azienda e diventano un elemento verificabile.
Il primo oggetto da fissare è il messaggio: apporre una marca temporale qualificata all'email e all'allegato rende opponibile la data della ricezione. Insieme al contenuto viene tracciato il percorso, cioè la catena di custodia di un messaggio di posta, perché il consulente tecnico chiede anche da dove arrivasse. Quando le fatture si scaricano da un'area riservata serve poi acquisire come prova la pagina del portale fornitori: quelle pagine cambiano, e dopo un mese la schermata letta dal tesoriere non è più riproducibile.
Nel concreto succede così. Il responsabile del ciclo passivo riceve da un fornitore storico una comunicazione di variazione delle coordinate bancarie e, prima di inoltrare la modifica anagrafica al gestionale, certifica l'email con le sue intestazioni e l'allegato PDF. La verifica telefonica al numero recuperato dal contratto firmato, non da quello indicato nel messaggio, rivela che il fornitore non ha mandato nulla. La certificazione, già acquisita, diventa l'allegato tecnico della denuncia e della segnalazione all'assicuratore, con data certa anteriore alla scoperta della frode. Lo stesso principio regge la certificazione delle email con valore legale su tutta la posta in ingresso.
Il fornitore estero e la richiesta urgente in chiusura estiva
Due situazioni ricorrenti mostrano dove il presidio salta. Nella prima un fornitore estero comunica il passaggio a una nuova banca e a un IBAN di un altro Paese. Dal 9 ottobre 2025 tutti i prestatori di servizi di pagamento dell'area euro devono offrire gratuitamente la verifica del beneficiario, cioè il controllo di corrispondenza tra il nome indicato e l'intestazione dell'IBAN di destinazione (Commissione europea). Il controllo intercetta il caso banale, ma se il conto è intestato a una denominazione somigliante restituisce una corrispondenza parziale e la decisione torna all'operatore. Da quel momento esiste un istante documentato in cui l'azienda ha ricevuto un avviso e ha scelto: se IBAN e beneficiario non coincidono e il pagamento parte lo stesso, la posizione peggiora, a meno di poter mostrare su quale comunicazione ci si è basati.
Nella seconda la richiesta arriva a metà agosto. Il responsabile amministrativo è in ferie, la pratica è in mano a una sostituta, il messaggio ha il tono giusto e cita un ordine reale. La variante nota come truffa del CEO o truffa del CFO aggiunge una telefonata di conferma, e quella telefonata oggi può usare la voce clonata di un dirigente. Europol nell'IOCTA 2026 segnala che l'AI generativa ha aumentato il realismo del business email compromise, e l'FBI ha registrato nel 2025 oltre 30 milioni di dollari di perdite BEC con una componente di AI accertata. Il consiglio di diffidare dell'italiano approssimativo non serve più.
Come impostare un presidio sulle comunicazioni finanziarie ricorrenti
Un presidio efficace consiste nel fissare in modo verificabile i pochi eventi che, se contestati, diventano il fascicolo. Nessuna norma impone oggi all'azienda una verifica IBAN documentata su ogni fattura, ma la procedura dichiarata all'assicuratore e la ricostruzione richiesta dalla banca presuppongono entrambe che di quella verifica resti traccia.
| Momento del ciclo passivo | Che cosa si fissa | Perché serve dopo |
|---|---|---|
| Richiesta di variazione delle coordinate bancarie | Email ricevuta con intestazioni e allegato | È il documento su cui si decide il pagamento |
| Verifica telefonica su canale indipendente | Esito datato, allegato alla pratica del fornitore | Dimostra il rispetto della procedura dichiarata in polizza |
| Fattura scaricata da un'area riservata | Acquisizione della pagina come è stata vista | Il portale cambia e la schermata non è riproducibile |
| Prima disposizione verso un IBAN nuovo | Ordine ed esito della verifica del beneficiario | Documenta la decisione presa a fronte dell'avviso |
Un presidio di questo tipo si costruisce certificando in modo ricorrente le comunicazioni finanziarie con TrueScreen, non solo quando il sospetto è già emerso. Sui volumi di un gruppo industriale la selezione manuale non regge, ed è il motivo per cui ha senso certificare in automatico la posta in ingresso sulle caselle del ciclo passivo e della tesoreria. Il costo di questa scelta è noto e ricorrente. Il costo di non averla fatta si scopre una volta sola, e coincide con l'importo della fattura.
