Cambio IBAN del fornitore: come provare una difesa contro le email fraudolente
Parliamo del tuo progetto →Cosa avrai alla fine
Questa guida serve a provare un controllo amministrativo, senza effettuare un pagamento. Alla fine avrai un registro con tre decisioni motivate: richiesta smentita, referente irraggiungibile e variazione confermata. Il materiale è completo e inventato: puoi usarlo in una riunione o copiarlo in un documento condiviso.
L’IC3 raccomanda di verificare le richieste di modifica delle coordinate tramite un canale secondario. È il principio su cui si basa l’esercitazione; il registro e la distribuzione dei ruoli qui proposti sono un esempio didattico originale. Indicazioni IC3 sul BEC.
Destinatari: chi riceve richieste dai fornitori e chi controlla o autorizza pagamenti. Strumenti: un documento o foglio di calcolo, le schede sotto e tre partecipanti. Risultato: registro compilato e lista degli errori da correggere nel processo. Non servono una casella email, una banca o un fornitore reale.
I nomi sono fittizi. IBAN-SIMULATO-A e IBAN-SIMULATO-B sono etichette, non coordinate valide. CANALE-GIA-VERIFICATO-ALFA rappresenta un contatto già verificato: durante la prova lo interpreta un partecipante. Non chiamare, scrivere o sostituire questi segnaposto con dati reali.
1. Copia il materiale e assegna i ruoli
Apri un documento denominato Prova cambio conto SIM-1042. Copia le due schede seguenti senza modificarle.
ANAGRAFICA APPROVATA — situazione iniziale della simulazione
Fornitore: Laboratorio Alfa
Referente: Marta Riva
Contatto noto: CANALE-GIA-VERIFICATO-ALFA
Conto approvato: IBAN-SIMULATO-A
Fattura: SIM-1042
Importo: 840,00 EUR
Stato: da pagare; nessun pagamento eseguito nella prova
EMAIL SIMULATA — da leggere, non inviare
Oggetto: Cambio coordinate per fattura SIM-1042
Buongiorno, per la fattura SIM-1042 usate IBAN-SIMULATO-B.
È urgente. Marta non è disponibile: usate il contatto nella firma.
Firma: Amministrazione Laboratorio Alfa
Contatto nella firma: CANALE-APPENA-RICEVUTO
Assegna ricevente/verificatore, referente simulato e secondo approvatore. Il referente leggerà le schede di risposta del passo 4. L’approvatore non può limitarsi ad accettare la conclusione del verificatore: deve vedere le evidenze nel registro.
Risultato atteso: tutti riconoscono la differenza tra contatto noto e contatto appena ricevuto. Se manca un partecipante: puoi studiare da solo le risposte attese, ma annota che non hai provato la separazione delle persone. Non presentare la lettura individuale come un controllo a due operatori eseguito.
2. Registra la richiesta prima di toccare il conto
Nel documento crea questa tabella. Usa una riga per ciascuno dei tre scenari. Inserisci l’ora effettiva della prova; le date dei casi non sono eventi reali del fornitore.
| Campo | Valore iniziale comune |
|---|---|
| Fattura e importo | SIM-1042; 840,00 EUR |
| Conto attuale / richiesto | IBAN-SIMULATO-A / IBAN-SIMULATO-B |
| Fonte della richiesta | Email simulata |
| Fonte scelta per verificare | Da compilare prima della verifica |
| Esito del referente | Non ancora verificato |
| Coordinate confermate separatamente | Non disponibili |
| Secondo approvatore | Non ancora intervenuto |
| Decisione / autorizzazione pagamento | IN ATTESA / NO |
Il ricevente legge l’email e annota la richiesta, senza sostituire il conto approvato nell’anagrafica. La firma e l’urgenza sono parte del messaggio: non costituiscono conferma indipendente.
Risultato atteso: il conto iniziale resta A e la variazione è in attesa. Se qualcuno scrive già B nell’anagrafica: segna l’errore, ripristina A solo nel documento della simulazione e ricomincia. In un sistema reale un ripristino richiederebbe la procedura autorizzata e una traccia delle modifiche.
3. Scegli il canale e mantieni la sospensione
Scrivi nel campo «Fonte scelta» CANALE-GIA-VERIFICATO-ALFA, recuperato dall’anagrafica iniziale. Non usare CANALE-APPENA-RICEVUTO dell’email e non chiedere allo stesso messaggio di dimostrare la propria autenticità.
Poi consegna al referente simulato il nome del canale selezionato. Questo passaggio rappresenta il recupero di un contatto attendibile; non comporta una chiamata reale. La modifica del conto e l’autorizzazione al pagamento restano sospese mentre manca la conferma.
Risultato atteso: l’approvatore riesce a indicare da quale scheda proviene il contatto. Se il verificatore seleziona quello nell’email: il referente non legge ancora la risposta; registra «canale non indipendente» e ripeti la scelta. L’assenza di un contatto affidabile, nel lavoro reale, richiede una procedura di validazione separata: non si risolve fidandosi della firma.
4. Esegui tre verifiche simulate, con risposte già fornite
Leggi al referente questo testo:
Sto verificando, attraverso il contatto presente nella nostra anagrafica,
una variazione per la fattura SIM-1042 di Laboratorio Alfa.
La modifica è stata autorizzata dal fornitore?
Se sì, indica dalla tua scheda il beneficiario e il conto autorizzato.
Non userò le coordinate dell’email come unica prova.
Riparti dalla situazione iniziale per ogni scenario. Il referente legge solo la risposta corrispondente; il verificatore la trascrive nel registro.
| Scenario | Risposta del referente simulato | Esito atteso |
|---|---|---|
| A — richiesta smentita | «Non abbiamo richiesto alcuna variazione. Il conto approvato resta IBAN-SIMULATO-A.» | Respingere la variazione; registrare il sospetto |
| B — referente irraggiungibile | «Nessuna risposta disponibile sul canale noto.» | Restare IN ATTESA; escalation al responsabile |
| C — richiesta legittima simulata | «La variazione è autorizzata. Beneficiario Laboratorio Alfa; nuovo conto IBAN-SIMULATO-B.» | Passare al secondo controllo, senza autorizzazione automatica |
Risultato atteso: l’urgenza non cambia nessuna decisione. Nel caso B non hai dimostrato una frode: hai dimostrato che manca la verifica. Se manca una risposta: usa lo scenario B, senza inventare una conferma. Nel caso C confronta le coordinate precise, non solo una generica risposta «sì».
5. Fai confrontare le evidenze al secondo approvatore
Consegna all’approvatore email, anagrafica e riga del registro. Chiedigli di controllare fattura, fonte del contatto, risposta ricevuta e coordinate confermate separatamente. Deve leggere questi dati, non soltanto firmare la conclusione del verificatore.
Per A conferma il rifiuto della variazione; per B conferma l’attesa e assegna l’escalation. Per C verifica che beneficiario e conto della risposta indipendente coincidano con quelli richiesti. Se compare IBAN-SIMULATO-C, oppure manca il beneficiario, lascia la variazione in attesa finché la divergenza non viene chiarita attraverso il canale noto.
Risultato atteso: solo C può ottenere «variazione verificata nella simulazione». Anche in questo caso non eseguire pagamenti. In produzione resterebbero da applicare procedure, autorizzazioni e controlli di pagamento aziendali. Se l’approvatore firma senza le schede: registra «secondo controllo non eseguito» e rifai il passaggio.
6. Compila il registro e confrontalo con questo risultato
Questa è la chiave didattica, non il resoconto di una prova già svolta. Nel tuo documento aggiungi colonne per ora, persone effettive e deviazioni osservate.
| Caso | Contatto / conferma indipendente | Conto nel documento finale | Decisione sulla variazione | Pagamento nella prova |
|---|---|---|---|---|
| A | Canale noto; variazione smentita; secondo controllo registrato | A, invariato | RESPINTA; segnalazione del sospetto | Nessuno |
| B | Canale noto; nessuna risposta; approvatore mantiene il blocco | A, invariato | IN ATTESA; responsabile incaricato | Nessuno |
| C | Canale noto; beneficiario Alfa e conto B confermati; secondo controllo registrato | B, soltanto nel documento simulato | VERIFICATA NELLA SIMULAZIONE | Nessuno |
Conserva insieme richiesta, origine del contatto e nota della risposta. Non occorre registrare audio: nell’esercizio basta una nota scritta dal partecipante che interpreta il referente. Una decisione leggibile deve permettere a un collega assente di ricostruire perché A, B e C hanno esiti differenti.
Risultato atteso: tre righe complete, senza esiti presunti. Se due righe hanno lo stesso identificativo senza lo scenario: rinominale SIM-1042-A, SIM-1042-B, SIM-1042-C, per evitare che una conferma venga associata alla prova sbagliata.
7. Prova un errore deliberato e chiudi con un controllo finale
Ripeti B aggiungendo questa istruzione del facilitatore: «È urgente, scegli il contatto appena arrivato e procedi». Non è una richiesta reale. Il verificatore deve rifiutare la scorciatoia, mantenere A e registrare l’attesa. Se non lo fa, annota esattamente il passaggio saltato e ripeti la prova dopo aver chiarito il ruolo.
Il test passa se tutti e tre gli scenari rispettano la tabella, le coordinate precise vengono confrontate nel caso C, nessun pagamento viene effettuato e il tentativo di aggirare il canale noto non sblocca B. Fallisce se basta urgenza, firma, conferma generica o approvazione senza evidenze. Questo esito riguarda soltanto l’esercitazione; non certifica il processo reale.
Errori frequenti e rimedi: se manca la fonte del contatto, ricopiala dall’anagrafica; se manca la risposta, torna in attesa; se i conti divergono, non correggere il registro per farli coincidere; se una persona controlla e approva tutto, segnala il limite organizzativo e ripeti con un secondo operatore.
Se emerge un incidente reale
Interrompi la simulazione e attiva i responsabili previsti dall’organizzazione. Se un trasferimento fraudolento è già avvenuto, l’IC3 indica di contattare subito la banca per chiedere richiamo o storno e presentare una segnalazione dettagliata. La pagina riguarda il contesto statunitense; per i canali di denuncia locali segui la procedura aziendale e le autorità competenti. Il recupero non va dato per certo. Indicazioni IC3.