--- id: CP-356 slug: controchiamata-numero-noto-cambio-iban lang: it title: Controchiamata prima di cambiare il RIB description: "Un fornitore o un dirigente chiede un nuovo RIB o un bonifico urgente: lo richiami su un numero già noto, poi faccia convalidare la richiesta." canonical_url: https://startbrain.io/cyberpedia/it/articles/controchiamata-numero-noto-cambio-iban/ markdown_url: https://startbrain.io/cyberpedia/it/articles/controchiamata-numero-noto-cambio-iban.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Controchiamata prima di cambiare il RIB», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/controchiamata-numero-noto-cambio-iban/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-080 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/controchiamata-numero-noto-cambio-iban/ fr: https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib/ en: https://startbrain.io/cyberpedia/en/articles/callback-verification-known-number-bank-details-change/ de: https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/ es: https://startbrain.io/cyberpedia/es/articles/contrallamada-numero-conocido-cambio-datos-bancarios/ nl: https://startbrain.io/cyberpedia/nl/articles/terugbellen-bekend-nummer-wijziging-rekeningnummer/ sources: - "n": 1 title: Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1586/002/ accessed: "2026-11-03" - "n": 6 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 7 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" --- # Controchiamata prima di cambiare il RIB Un messaggio chiede di cambiare il RIB di un fornitore, oppure di fare subito un bonifico per conto di un dirigente. Se il mittente è un truffatore, il dipendente che esegue la richiesta paga al suo posto. In entrambi i casi l'autore si spaccia per un terzo di fiducia, lo schema che Cybermalveillance.gouv.fr descrive per il phishing: ingannare la vittima per ottenere dati bancari o personali [1]. La CISA consiglia di non chiamare il numero indicato nel messaggio sospetto e di contattare l'azienda o la persona con un altro mezzo [2]. Questa scheda spiega perché questo gesto funziona e quali trappole lo aggirano. ## In 30 secondi - Dove succede: tramite un falso messaggio, un SMS o una telefonata che imita un terzo di fiducia [1]. - Cosa vuole l'attaccante: ottenere dati bancari o personali fingendosi un terzo di fiducia [1]. - Il riflesso: non clicchi su nulla e non chiami nessun numero indicato nel messaggio, cerchi un altro modo per contattare la persona [2]. - Se è già successo: avvisi subito le persone interessate nell'organizzazione e l'istituto finanziario [3]. ## Domande dirette ### Che cos'è una richiesta fraudolenta di cambio del RIB? È una richiesta che sembra provenire da un fornitore o da un dirigente e che mira a modificare le coordinate bancarie o a far partire un bonifico urgente. Le fonti citate qui non trattano questo caso con il suo nome: descrivono il phishing in generale. Secondo Cybermalveillance.gouv.fr si tratta di un falso messaggio, SMS o telefonata, presentato come proveniente da un terzo di fiducia, per ottenere dati personali o bancari [1]. Lo scopo è usarli in modo fraudolento [1]. ### Perché richiamare su un numero già registrato? Perché i recapiti del messaggio sono quelli scelti dal truffatore. La CISA chiede di non cliccare su alcun link, di non chiamare nessun numero indicato nel messaggio sospetto e di contattare l'azienda o la persona con un altro mezzo [2]. Consiglia di prendere i recapiti da un sito verificato, oppure di contattare la persona attraverso un altro canale per sapere se ha davvero scritto [2]. Un secondo testo della CISA va nella stessa direzione: in caso di dubbio si contatta direttamente l'azienda, senza usare i recapiti di un sito collegato alla richiesta e cercando quelli presenti in documenti precedenti (estratti conto, lettere) [3]. ### Perché la richiesta è sempre urgente? L'urgenza è un segnale d'allarme. Tra i segnali più comuni la CISA indica un linguaggio urgente o carico di emozione, in particolare i messaggi che annunciano gravi conseguenze in assenza di una risposta immediata [2]. MITRE osserva che il phishing finalizzato a raccogliere informazioni passa spesso per più messaggi dall'aspetto urgente [4]. ### Un'email che arriva dall'indirizzo giusto è affidabile? No. MITRE descrive aggressori che compromettono account di posta per usarli poi nel phishing [5]. Un account già noto alla vittima può creare fiducia, e l'aggressore può dirottare scambi già in corso [5]. L'indirizzo visualizzato non prova quindi che l'autore sia il vero titolare. ### Che fare se il pagamento è già partito? Avvisare senza aspettare. La CISA raccomanda di segnalare alla persona giusta dell'organizzazione, compresi gli amministratori di rete, qualsiasi informazione sensibile rivelata, e di contattare subito l'istituto finanziario se dei conti possono essere compromessi [3]. Cybermalveillance.gouv.fr aggiunge di conservare le prove, in particolare il messaggio ricevuto, e di sporgere denuncia in caso di addebiti fraudolenti [1]. ## Come funziona La controchiamata si basa su un principio semplice: il truffatore controlla il messaggio, non la pratica. Il numero registrato prima della richiesta non è stato fornito dall'autore del messaggio. La CISA raccomanda del resto di non usare i recapiti di una pagina collegata alla richiesta, ma di cercare quelli di documenti precedenti [3]. L'identità di un mittente può essere imitata: MITRE cita la falsificazione dell'identità del mittente, che può ingannare sia il destinatario sia gli strumenti di sicurezza automatici [4]. La CISA aggiunge che gli indirizzi imitano spesso quelli di un'azienda reale, modificando od omettendo qualche carattere [3]. ## Cosa fare I passaggi qui sotto si basano sulle indicazioni di verifica delle fonti citate qui. La convalida da parte di una seconda persona non vi compare: è una regola di procedura interna, che spetta all'azienda stabilire. - Non risponda al messaggio e non clicchi su alcun link né allegato della richiesta [2]. - Cerchi i recapiti del richiedente in documenti precedenti, non su un sito collegato alla richiesta [3]. - Contatti direttamente l'azienda o la persona per verificare la richiesta [3], prima di qualsiasi modifica del RIB o di qualsiasi bonifico. - Faccia convalidare la richiesta da una seconda persona designata prima di eseguire l'operazione. - Se non riesce a raggiungere il richiedente, non paghi e non modifichi nulla. Segnali la richiesta internamente. - Conservi il messaggio ricevuto: Cybermalveillance.gouv.fr insiste sulla conservazione delle prove [1]. ## Le trappole ### L'urgenza e la riservatezza Una richiesta che mette fretta o che vieta di parlarne impedisce la controchiamata e la seconda convalida. La CISA mette l'urgenza tra i segnali da riconoscere [2]. Le fonti citate qui non descrivono la richiesta di riservatezza: va trattata come un motivo in più per verificare. ### L'email falsificata o violata Un indirizzo quasi identico a quello vero è un segnale classico: la CISA porta l'esempio di un indirizzo come amazan.com [2]. Ma un indirizzo esatto non basta, perché un account violato può servire a scrivere ai contatti del suo titolare [5]. Le fonti citate qui non danno motivo di fidarsi della sola email. ### La regola di inoltro nascosta Un aggressore che ha preso il controllo di un account può sorvegliare la casella senza farsi vedere. MITRE descrive le regole di inoltro delle email, che servono a seguire l'attività della vittima e a rubare informazioni [6]. Queste regole possono mantenere l'accesso ai messaggi anche dopo un reset delle credenziali e possono essere nascoste in alcuni strumenti [6]. Uno scambio che sembra normale può quindi essere sorvegliato, o addirittura dirottato. ### La richiesta che arriva dall'interno Un messaggio di un collega o di un dirigente non è per forza sicuro. MITRE descrive il phishing interno, in cui account compromessi prendono di mira altri membri dell'organizzazione, e cita un gruppo che ha colpito dirigenti, risorse umane e informatica [7]. La contabilità non vi è nominata, ma il principio è lo stesso: appartenere all'azienda non sostituisce la verifica. ### La falsa fattura Le fonti citate qui non descrivono la falsa fattura in quanto tale. Un testo della CISA mette in guardia contro gli allegati non richiesti [3]. La CISA cita le richieste di informazioni personali e finanziarie [2]. Una fattura accompagnata da nuove coordinate bancarie rientra in questo avviso: la controchiamata si applica allo stesso modo. ## Fonti 1. Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance», 10 gennaio 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultato il 3 novembre 2026) 2. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026) 3. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1586/002/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/controchiamata-numero-noto-cambio-iban/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.