Una guida per individuare le truffe di impersonificazione di dirigenti di alto livello prima che il finto CEO riceva un vero bonifico.
Ricevi un'email o una telefonata. Il nome sullo schermo è quello del tuo CEO o CFO. Il tono è serio. C'è un accordo riservato in corso, un'acquisizione, una questione normativa, qualcosa di importante. E hanno bisogno che tu agisca in fretta, in silenzio e senza dirlo a nessuno.
Si percepisce un senso di urgenza. Si percepisce una sensazione reale. Ed è proprio questo il punto.
Le truffe in cui i truffatori si spacciano per dirigenti di alto livello sono una delle forme più comuni di frode finanziaria che prendono di mira le aziende. I truffatori dedicano del tempo a studiare la vostra azienda, imparando nomi, organigrammi e stili di comunicazione prima ancora di contattarvi. Quando finalmente vi contattano, sembrano persone che conoscete e di cui vi fidate. Ma non lo sono. Sono degli impostori.
La buona notizia è che, una volta che si sa cosa cercare, queste truffe sono sorprendentemente facili da individuare.
I truffatori seguono uno schema prevedibile. Conoscerlo ti dà un vantaggio su di loro.
Iniziano con l'imitazioneGli hacker studiano a fondo il vostro team dirigenziale e si spacciano per amministratori delegati, direttori finanziari o dirigenti di alto livello. Vi contattano tramite chiamate da cellulare, app di messaggistica o account di posta elettronica che imitano fedelmente quelli legittimi. In alcuni casi, utilizzano persino identità rubate di veri dirigenti o fanno riferimento a consulenti legali esterni per rendere la richiesta più credibile.
Ora viene la storia. Quasi sempre viene presentata come un progetto altamente confidenziale.Fusioni, acquisizioni, investimenti o ristrutturazioni urgenti sono temi ricorrenti. Sentirete frasi come "questo è coperto da un accordo di riservatezza", "è coinvolto l'ufficio legale" o "solo tu puoi saperlo". Questi non sono segnali legittimi di un vero dirigente. Sono studiati per isolarvi e impedirvi di verificare la richiesta.
Inoltre, ti allontaneranno dai canali ufficiali.Invece di utilizzare la posta elettronica aziendale o i sistemi approvati, spostano la conversazione su account di posta elettronica privati, app di messaggistica o telefonate. Questo permette loro di eludere i controlli di sicurezza e non lascia tracce.
Aspettati pressioneEspressioni come "urgente", "necessario oggi" o "deve essere completato entro la fine della giornata" vengono utilizzate per forzare un'azione rapida. I veri dirigenti non ti chiedono di aggirare le procedure sotto pressione. I truffatori contano sul farti reagire rapidamente, impedendoti di usare il buon senso.
Negli attacchi più sofisticati, i truffatori organizzano interi incontriOrganizzano finte videochiamate con partecipanti che sembrano essere veri dirigenti, avvocati o personale finanziario. Alcuni usano persino deepfake Utilizzare tecnologie o foto del profilo prese da LinkedIn per rendere l'interazione più autentica. Se qualcosa non vi convince, fidatevi del vostro istinto e provate a comunicare su altri canali.
Infine, spesso forniscono la documentazione a supporto della richiesta.Ciò potrebbe includere contratti falsi, approvazioni del consiglio di amministrazione, lettere di offerta o di autorizzazione contraffatte. Questi documenti sembrano convincenti a prima vista, ma spesso contengono errori sottili, formattazione incoerente, dati del mittente sospetti o semplicemente circostanze insolite.
Quando qualcosa non va, fai una pausa (P) prima di agire, valuta (A) la situazione e segnala (R) eventuali problemi al tuo responsabile, alla dirigenza o al reparto IT. PAR è un acronimo semplice e utile da ricordare per chiunque e in qualsiasi momento.
Quando valuti la situazione, prendi il telefono e chiama direttamente la persona utilizzando un numero che hai già in archivio. Non utilizzare alcuna informazione di contatto presente nel messaggio sospetto. Una breve chiamata a un numero verificato richiede due minuti e potrebbe far risparmiare alla tua azienda migliaia di dollari.
Segnala le tue preoccupazioni a un collega o al tuo team IT. I truffatori contano sul fatto che in quel momento ti sentirai solo. Coinvolgere un'altra persona nella conversazione cambia immediatamente la dinamica. I veri dirigenti non si oppongono a un secondo parere su una richiesta insolita. Una buona cultura aziendale premia tali verifiche, anziché metterle in discussione o stigmatizzare chi le effettua.
Se una richiesta ti chiede di saltare il normale processo di approvazione, questo è il segnale più chiaro di tutti. Bonifici bancari, nuovi pagamenti ai fornitori e modifiche ai conti bancari sono tutti soggetti a controlli per un motivo. I truffatori spesso affermano che ci saranno gravi conseguenze se rallenti o segnali il problema. Vogliono farti credere che l'urgenza sia reale e che la posta in gioco sia personale. Nessuna vera emergenza giustifica l'aggiramento del processo di approvazione e nessun dirigente serio ti chiederà di nascondere una transazione finanziaria al tuo team.
Il momento migliore per parlarne con il tuo team è prima che accada. Evita di creare un complicato documento di 30 pagine che nessuno legge. È necessaria una semplice intesa condivisa: le richieste finanziarie insolite devono sempre essere verificate telefonicamente, indipendentemente da chi le effettua.
Formate il vostro personale affinché sia in grado di riconoscere i segnali d'allarme: indirizzi email personali o account esterni utilizzati per richieste urgenti, richieste di riservatezza e pressioni per agire immediatamente.
I truffatori contano sulla velocità e sul silenzio. Tu li batti con una telefonata di due minuti e una cultura in cui la verifica è sempre benvenuta, incoraggiata e persino richiesta.
Condividi questo articolo con i membri del tuo team che si occupano di pagamenti, trasferimenti o richieste ai fornitori. Dedica cinque minuti a una breve conversazione su come comportarsi se qualcuno riceve un messaggio simile a quelli descritti sopra. Concordate insieme una regola semplice: qualsiasi richiesta finanziaria urgente da parte di un dirigente deve essere verificata telefonicamente prima di essere elaborata. Documentate questa procedura in un semplice documento di policy o di procedura finanziaria, ma mantenetelo conciso.
Questa semplice abitudine è un passo efficace che la vostra organizzazione può intraprendere oggi stesso, e la cosa migliore è che non richiede alcun budget aggiuntivo!
Scopri e condividi le ultime tendenze, i suggerimenti e le best practice in materia di sicurezza informatica, oltre alle nuove minacce a cui prestare attenzione.
I token OAuth non scadono quando i dipendenti se ne vanno, le password cambiano o le app diventano instabili. Il tuo programma di sicurezza ha bisogno di...
Leggi di più
La maggior parte delle violazioni non inizia con un hacker in felpa che decifra un codice alle 3 del mattino. Iniziano con il tuo nome utente e un...
Leggi di più
Aggiornamenti dell'articolo: Al 6 maggio 2026, tutti i principali laboratori di intelligenza artificiale statunitensi, tra cui Google DeepMind, Microsoft, xAI,...
Leggi di piùOttieni una visione più attenta dei rischi per l'uomo, con un approccio positivo che supera i tradizionali test di phishing.
