Lo scenario
La CNIL descrive il falso ordine di bonifico, detto «frode del presidente», in più fasi. Il truffatore raccoglie informazioni sull’azienda: organigramma, clienti, fornitori. Prepara un falso nome di dominio simile a quello dell’azienda o di un fornitore, oppure usurpa l’identità di un dipendente. Poi scrive, o telefona, spacciandosi per un dirigente o un fornitore, con una richiesta presentata come urgente e approvata ai vertici.
Le varianti si somigliano:
- un bonifico imprevisto, urgente e riservato, richiesto da un falso dirigente o da un falso responsabile del gruppo;
- un fornitore che annuncia un cambio di IBAN per le prossime fatture;
- una falsa fattura, con l’importo e il formato giusti;
- un falso controllo di un’amministrazione pubblica, che serve poi a scrivere ai clienti dell’azienda indicando un nuovo conto bancario, scenario descritto dal ministero dell’Economia francese.
La leva è sempre umana: l’urgenza, il segreto, l’autorità. Il ministero dell’Economia francese consiglia di non agire in fretta, anche di fronte a un interlocutore insistente, e di raddoppiare la vigilanza durante le ferie, quando gli uffici contabili lavorano a organico ridotto.
Esempio, a titolo illustrativo. Un venerdì a fine pomeriggio, la contabile di una PMI riceve un messaggio dell’«amministratore delegato»: un’acquisizione riservata, un avvocato che chiamerà, un bonifico da fare entro lunedì. Il messaggio non contiene né allegati né link. Il nome visualizzato è esatto, l’indirizzo no. Nulla, tecnicamente, è «infetto».
Quattro forme di usurpazione, non una
| Forma | A che cosa somiglia | SPF, DKIM, DMARC | Che cosa può individuarla |
|---|
| Nome visualizzato usurpato | «Claire Martin, AD» che scrive da una casella di posta gratuita | Validi per il vero dominio del mittente; DMARC non tratta il nome visualizzato | Confronto tra il nome visualizzato, l’indirizzo e i nomi dei quadri del dominio |
| Dominio sosia | Una lettera raddoppiata, un trattino, un’altra estensione | Possono essere perfetti per il dominio sosia | Somiglianza con il suo dominio o con quello di un fornitore, età del dominio, reputazione |
| Il suo dominio esatto, inviato da altrove | L’indirizzo visualizzato è quello vero | DMARC fallisce; ferma il messaggio se la policy del dominio lo richiede | Verifica DMARC all’arrivo |
| Account realmente compromesso | Il messaggio proviene dalla vera casella del dirigente o del fornitore | Tutto è valido | Cambiamento di comportamento, contenuto (nuovo IBAN) e soprattutto la procedura di verifica |
Lo dice la specifica stessa di DMARC: non tratta né i domini visivamente simili né l’abuso del nome visualizzato. Tre casi su quattro sfuggono quindi all’autenticazione del dominio. I dettagli sono in SPF, DKIM e DMARC, e il caso dell’account rubato in spam, phishing, malware e account compromesso.
Che cosa ferma la tecnica
- Il dominio esatto usurpato, quando il dominio pubblica una policy DMARC di quarantena o di rifiuto.
- Il dominio sosia, tramite il confronto con il suo dominio, con quelli dei suoi fornitori e con i marchi noti, e tramite l’età del dominio: un dominio creato la settimana scorsa che imita il suo è un segnale forte.
- Il nome visualizzato ingannevole, quando il filtro sa chi sono i quadri dell’azienda e confronta il nome visualizzato con l’indirizzo reale.
- Gli scenari noti: richiesta di bonifico urgente, cambio di coordinate bancarie, falsa fattura, invito a richiamare un numero. Un filtro può riconoscere questi schemi nel testo, anche senza allegati né link.
- L’anomalia: un fornitore abituale che all’improvviso scrive da un altro paese, a un altro orario, con una richiesta che non ha mai fatto.
Un punto spesso dimenticato: un filtro non sa, per impostazione predefinita, chi è il suo dirigente né chi sono i suoi fornitori. Fornirgli questo contesto, i nomi dei quadri e i fornitori abituali, è ciò che gli permette di riconoscere un falso dirigente.
Che cosa la tecnica non decide
Un filtro riduce il numero di messaggi falsi che arrivano. Non convalida un pagamento. Un account realmente compromesso, una richiesta plausibile, un dominio sosia non presente negli elenchi: un messaggio può passare. L’ultima barriera è una procedura.
Riflessi da scrivere nella procedura
- Ogni cambio di coordinate bancarie si conferma tramite un canale già noto: una chiamata al numero del fornitore che compare nei suoi archivi, mai a quello indicato nel messaggio. La CNIL raccomanda di contattare per telefono o di persona i referenti conosciuti.
- Doppia approvazione oltre una certa soglia, da parte di due persone, di cui una esterna allo scambio di messaggi.
- Urgenza e segretezza sono segnali d’allarme, non motivi per andare più veloce. Un vero dirigente accetta di essere richiamato.
- Elenco aggiornato dei contatti di fornitori e clienti, come raccomanda la CNIL, per sapere a chi telefonare.
- Vigilanza rafforzata nei periodi di ferie, di chiusura dei conti o di cambiamento organizzativo.
- Registrazione dei nomi di dominio simili al suo, e autenticazione a due fattori sulla posta elettronica, due misure citate dalla CNIL.
Chi deve conoscere queste regole
Non solo l’ufficio contabilità. Gli assistenti di direzione, i buyer, le persone che gestiscono le anagrafiche fornitori e quelle che sostituiscono un assente sono bersagli naturali dello scenario, perché hanno accesso ai pagamenti o alle coordinate bancarie. La CNIL raccomanda di sensibilizzare i dipendenti a verificare i nomi di dominio e a diffidare delle richieste insolite. Una regola scritta, breve, nota a tutti e ricordata regolarmente, vale più di un’istruzione orale: permette a un dipendente di dire «no» a un falso dirigente senza temere di essere sconfessato.
Se un bonifico fraudolento è già partito: chiamare subito la banca per tentare di annullarlo, conservare i messaggi, sporgere denuncia. Avvisare anche i clienti o i fornitori il cui nome è stato utilizzato.
Domande frequenti
DMARC basta contro la frode del CEO?
No. Ferma l’usurpazione esatta del suo dominio, non il dominio sosia né il nome visualizzato. Veda SPF, DKIM e DMARC.
Un messaggio senza allegati né link può essere pericoloso?
Sì. La frode sul bonifico ha bisogno solo di un testo credibile e di una persona che esegue.
Il messaggio proviene dal vero indirizzo del fornitore: è sicuro?
Non necessariamente: il suo account potrebbe essere stato rubato. Veda account compromesso. La verifica telefonica risolve il dubbio.
Un messaggio di frode è stato messo in quarantena: bisogna rilasciarlo per verificare?
No. Verifichi con il contatto conosciuto, senza rilasciarlo. Veda Quarantena, falsi positivi e segnalazioni.
Dove si colloca Klytic
Klytic MTA ripartisce questa protezione tra le sue due offerte. Funziona davanti a qualsiasi servizio di posta, senza Klytic Mail.
| Protezione | Essential | Advanced |
|---|
| Verifica SPF, DKIM, DMARC, anche per i messaggi inoltrati | Sì | Sì |
| Usurpazione di marchio, domini sosia, usurpazione del nome visualizzato | Sì | Sì |
| Comportamenti insoliti di un mittente | Sì | Sì |
| Frode del CEO | No | Sì |
| False fatture, falsi bonifici, cripto, rimborsi, finanziamenti, chiamate telefoniche | No | Sì |
| Avviso SMS quando scrive un mittente importante | Opzione | Opzione |
Il contesto di frode del dominio (nomi dei quadri, fornitori abituali) viene impostato dall’amministratore del dominio: veda Chi regola il filtro in Klytic MTA.
Che cosa Klytic MTA non fa: non convalida alcun pagamento e non sostituisce la sua procedura di bonifico. Non vede una telefonata diretta, solo i messaggi che invitano a chiamare.
Questa pagina descrive misure generali. Non sostituisce i consigli della sua banca né quelli delle autorità in caso di frode accertata.
Fonti
Consultate a ottobre 2026.
- CNIL, «Le faux ordre de virement international ou fraude au président» (Il falso ordine di bonifico internazionale o frode del presidente): svolgimento dell’attacco (ricognizione, dominio simile, richiesta urgente), misure di prevenzione (richiamare i contatti conosciuti, procedure di approvazione, registrazione dei domini simili, autenticazione a due fattori). cnil.fr
- Ministère de l’Économie (ministero dell’Economia francese), «Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président» (Proteggersi dalla truffa dei falsi ordini di bonifico o truffa del presidente): bonifico presentato come urgente e riservato, usurpazione di un’amministrazione per annunciare un cambio di IBAN, non agire in fretta, vigilanza durante le ferie. economie.gouv.fr
- RFC 7489, DMARC: esclusi dal perimetro del meccanismo i nomi di dominio visivamente simili e l’abuso del nome visualizzato. rfc-editor.org
- Klytic, pagina Klytic MTA: ripartizione della frode finanziaria tra le offerte Essential e Advanced, opzioni, modalità di implementazione, attivazione tramite il record MX. klytic.com
