Fattura falsa via email:
cinque segnali

Ci sono due strade frequenti ed è utile conoscerle entrambe. Nella prima, qualcuno è entrato nella casella di posta del Suo fornitore, di solito con una password rubata, e da lì legge le conversazioni reali: sa cosa acquista da lui, quando lo paga e come sono fatte le sue fatture. Con questo gli basta prendere una fattura autentica, cambiare il numero di conto e inviarla dall'indirizzo stesso del fornitore, a volte rispondendo all'interno della stessa conversazione email che avevate già. Nella seconda, la casella compromessa è la Sua, o quella di qualcuno del Suo ufficio, e l'attaccante intercetta la fattura vera prima che Lei la veda. In entrambi i casi il documento è autentico tranne che per un dato, ed è per questo che guardare il logo, il formato o la firma non serve a nulla. Ciò che tradisce la frode non sta nel PDF, sta nella richiesta di cambiare il conto.

Non necessariamente, ed è il punto che genera più confusione. Un indirizzo corretto dimostra solo che il messaggio è partito da quella casella, non che l'abbia scritto la persona che Lei conosce. Se l'account di posta del fornitore è stato compromesso, il messaggio falso partirà esattamente dal suo indirizzo reale, con la sua firma, il suo tono e perfino la catena delle email precedenti sotto. Succede anche il contrario: altre volte l'indirizzo è molto simile ma non è lo stesso, con una lettera cambiata, un trattino in più o un'estensione diversa, e a colpo d'occhio sullo smartphone è difficile accorgersene. Per questo l'indirizzo è un segnale utile quando non torna, ma non è una garanzia quando torna. Per un cambio di coordinate bancarie, l'unica conferma valida è una telefonata a un numero che aveva già da prima, fatta da Lei, senza usare alcun numero presente in quell'email.

È un'intestazione dell'email che indica a quale indirizzo andrà la Sua risposta quando preme «Rispondi». Di solito coincide con il mittente e nessuno ci fa caso, ma può essere configurata per essere diversa. In questa frode viene usata perché il messaggio sembri arrivare dal fornitore e, tuttavia, quando risponde chiedendo se il cambio di banca è corretto, il Suo dubbio arriva all'attaccante, che naturalmente Le dirà di sì. Per verificarlo, nella maggior parte dei programmi di posta basta premere «Rispondi» e guardare quale indirizzo compare nel campo del destinatario prima di scrivere qualsiasi cosa, oppure aprire i dettagli del messaggio. Se l'indirizzo di risposta non è quello del fornitore, non serve indagare oltre: è una frode. E anche se coincide, non risponda a quell'email per verificare il cambio. Una verifica fatta tramite lo stesso canale da cui è arrivata la richiesta non verifica nulla; telefoni.

L'IBAN ha una struttura che si può leggere senza essere esperti. Le prime due lettere indicano il paese in cui è aperto il conto: ES è la Spagna, e un fornitore spagnolo di lunga data che all'improvviso chiede di essere pagato su un conto con altre lettere all'inizio merita una telefonata prima di pagare. Nei conti spagnoli, dopo le due lettere e le due cifre di controllo, seguono quattro cifre che identificano la banca; se l'email dice che sono passati a una certa banca e quel codice corrisponde a un'altra, anche questo non torna. Inoltre, sempre più banche, al momento di preparare il bonifico, mostrano un avviso che indica se il nome del beneficiario coincide con l'intestatario del conto. Se l'avviso dice che non coincide, si fermi. Nessuno di questi controlli sostituisce la telefonata: un attaccante accorto può usare un conto spagnolo. Servono a individuare i casi grossolani, non a dare per buono il resto.

Chiami la Sua banca in quel preciso momento, non domani né dopo aver verificato tutto. Spieghi di aver fatto un bonifico verso un conto fraudolento e chieda di provare a bloccarlo o di richiederne la restituzione alla banca di destinazione. Meno tempo è passato, più possibilità ci sono che il denaro sia ancora su quel conto; con i bonifici istantanei il margine è molto ridotto e non c'è garanzia di recuperarlo, ma senza quella telefonata tempestiva le possibilità calano molto. Poi sporga denuncia alla Policía Nacional o alla Guardia Civil, oppure ai Mossos d'Esquadra se si trova in Catalogna, con l'email, la fattura e la ricevuta del bonifico: di solito la banca la richiede per procedere. Avvisi anche il fornitore per telefono, perché la sua posta è probabilmente compromessa e anche lui ha un problema da risolvere. E se ha bisogno di orientamento sui passi da seguire, il 017 dell'INCIBE risponde a domande di sicurezza informatica in modo gratuito e riservato.

No, al contrario: la conservi così com'è. Quel messaggio è la prova principale per la denuncia e per ciò che Le chiederà la banca, e ciò che conta non è solo il testo visibile, ma le intestazioni tecniche, che mostrano da quali server è stato realmente inviato e a quale indirizzo andavano le risposte. Se lo cancella, o lo inoltra ed elimina l'originale, parte di quelle informazioni va persa. La cosa consigliabile è lasciarlo nella casella, senza rispondere né aprire altri allegati, e se vuole metterlo da parte, spostarlo in una cartella separata. Non serve nemmeno rispondere all'attaccante per rimproverarlo o per cercare di farsi restituire il denaro: conferma solo che il Suo indirizzo è attivo e che qualcuno legge. Conservi anche il PDF della fattura, la ricevuta del bonifico e qualsiasi altra email della stessa conversazione. Con tutto questo insieme, chi esamina il caso può ricostruire cosa è successo e da dove.

È possibile, e va esclusa. Se l'attaccante ha letto la Sua posta, conosce i Suoi fornitori, i Suoi clienti e le Sue scadenze di pagamento, e può ripetere l'inganno verso l'esterno, inviando ai Suoi clienti fatture Sue con un altro conto. I segnali tipici sono regole di posta che nessuno ha creato, ad esempio una che inoltra i messaggi a un indirizzo esterno o che sposta in una cartella nascosta tutto ciò che contiene la parola «fattura», accessi da luoghi insoliti o messaggi inviati che nessuno ricorda di aver scritto. La prima cosa è cambiare la password di quell'account da un computer pulito e attivare la verifica in due passaggi se non era già attiva; la seconda, controllare quelle regole e le sessioni aperte. Se la Sua azienda dipende dalla posta per fatturare, la faccia controllare a fondo da qualcuno con accesso di amministratore. È uno dei controlli che svolgiamo nell'ambito dell'assistenza informatica per le aziende.

Con una procedura breve e scritta, che non dipenda dal fatto che qualcuno «abbia occhio». Primo: nessun cambio di conto bancario di un fornitore si accetta via email; si chiama il contatto di sempre, al numero già presente nella scheda del fornitore, e si annota chi l'ha confermato e quando. Secondo: l'inserimento o la modifica di un IBAN li approvano due persone, una che lo inserisce e un'altra che lo verifica, in modo che una sola email ben fatta non basti a spostare denaro. Terzo: qualsiasi urgenza su un pagamento verso un conto nuovo è un motivo per andare più piano, non più veloci. E quarto: la posta aziendale con verifica in due passaggi su tutti gli account, che è ciò che impedisce che l'inganno parta dalla vostra stessa casella. Non è tecnologia costosa, è un'abitudine. Costa un paio di minuti per ogni cambio e blocca la frode esattamente nel punto in cui funziona.