Controchiamata prima di cambiare il RIB
Un fornitore o un dirigente chiede un nuovo RIB o un bonifico urgente: lo richiami su un numero già noto, poi faccia convalidare la richiesta.
In 30 secondi
- Dove succede
- Tramite un falso messaggio, un SMS o una telefonata che imita un terzo di fiducia1.
- Cosa vuole l'attaccante
- Ottenere dati bancari o personali fingendosi un terzo di fiducia1.
- Il riflesso
- Non clicchi su nulla e non chiami nessun numero indicato nel messaggio, cerchi un altro modo per contattare la persona2.
- Se è già successo
- Avvisi subito le persone interessate nell'organizzazione e l'istituto finanziario3.
Di cosa si tratta
Un messaggio chiede di cambiare il RIB di un fornitore, oppure di fare subito un bonifico per conto di un dirigente. Se il mittente è un truffatore, il dipendente che esegue la richiesta paga al suo posto. In entrambi i casi l'autore si spaccia per un terzo di fiducia, lo schema che Cybermalveillance.gouv.fr descrive per il phishing: ingannare la vittima per ottenere dati bancari o personali1.
La CISA consiglia di non chiamare il numero indicato nel messaggio sospetto e di contattare l'azienda o la persona con un altro mezzo2. Questa scheda spiega perché questo gesto funziona e quali trappole lo aggirano.
Domande dirette
Che cos'è una richiesta fraudolenta di cambio del RIB?
È una richiesta che sembra provenire da un fornitore o da un dirigente e che mira a modificare le coordinate bancarie o a far partire un bonifico urgente. Le fonti citate qui non trattano questo caso con il suo nome: descrivono il phishing in generale. Secondo Cybermalveillance.gouv.fr si tratta di un falso messaggio, SMS o telefonata, presentato come proveniente da un terzo di fiducia, per ottenere dati personali o bancari1. Lo scopo è usarli in modo fraudolento1.
Perché richiamare su un numero già registrato?
Perché i recapiti del messaggio sono quelli scelti dal truffatore. La CISA chiede di non cliccare su alcun link, di non chiamare nessun numero indicato nel messaggio sospetto e di contattare l'azienda o la persona con un altro mezzo2. Consiglia di prendere i recapiti da un sito verificato, oppure di contattare la persona attraverso un altro canale per sapere se ha davvero scritto2.
Un secondo testo della CISA va nella stessa direzione: in caso di dubbio si contatta direttamente l'azienda, senza usare i recapiti di un sito collegato alla richiesta e cercando quelli presenti in documenti precedenti (estratti conto, lettere)3.
Perché la richiesta è sempre urgente?
L'urgenza è un segnale d'allarme. Tra i segnali più comuni la CISA indica un linguaggio urgente o carico di emozione, in particolare i messaggi che annunciano gravi conseguenze in assenza di una risposta immediata2. MITRE osserva che il phishing finalizzato a raccogliere informazioni passa spesso per più messaggi dall'aspetto urgente4.
Un'email che arriva dall'indirizzo giusto è affidabile?
No. MITRE descrive aggressori che compromettono account di posta per usarli poi nel phishing5. Un account già noto alla vittima può creare fiducia, e l'aggressore può dirottare scambi già in corso5. L'indirizzo visualizzato non prova quindi che l'autore sia il vero titolare.
Che fare se il pagamento è già partito?
Avvisare senza aspettare. La CISA raccomanda di segnalare alla persona giusta dell'organizzazione, compresi gli amministratori di rete, qualsiasi informazione sensibile rivelata, e di contattare subito l'istituto finanziario se dei conti possono essere compromessi3. Cybermalveillance.gouv.fr aggiunge di conservare le prove, in particolare il messaggio ricevuto, e di sporgere denuncia in caso di addebiti fraudolenti1.
1Come funziona1 min
La controchiamata si basa su un principio semplice: il truffatore controlla il messaggio, non la pratica. Il numero registrato prima della richiesta non è stato fornito dall'autore del messaggio. La CISA raccomanda del resto di non usare i recapiti di una pagina collegata alla richiesta, ma di cercare quelli di documenti precedenti3.
L'identità di un mittente può essere imitata: MITRE cita la falsificazione dell'identità del mittente, che può ingannare sia il destinatario sia gli strumenti di sicurezza automatici4. La CISA aggiunge che gli indirizzi imitano spesso quelli di un'azienda reale, modificando od omettendo qualche carattere3.
2Cosa fare1 min
I passaggi qui sotto si basano sulle indicazioni di verifica delle fonti citate qui. La convalida da parte di una seconda persona non vi compare: è una regola di procedura interna, che spetta all'azienda stabilire.
- Non risponda al messaggio e non clicchi su alcun link né allegato della richiesta2.
- Cerchi i recapiti del richiedente in documenti precedenti, non su un sito collegato alla richiesta3.
- Contatti direttamente l'azienda o la persona per verificare la richiesta3, prima di qualsiasi modifica del RIB o di qualsiasi bonifico.
- Faccia convalidare la richiesta da una seconda persona designata prima di eseguire l'operazione.
- Se non riesce a raggiungere il richiedente, non paghi e non modifichi nulla. Segnali la richiesta internamente.
- Conservi il messaggio ricevuto: Cybermalveillance.gouv.fr insiste sulla conservazione delle prove1.
3Le trappole2 min
L'urgenza e la riservatezza
Una richiesta che mette fretta o che vieta di parlarne impedisce la controchiamata e la seconda convalida. La CISA mette l'urgenza tra i segnali da riconoscere2. Le fonti citate qui non descrivono la richiesta di riservatezza: va trattata come un motivo in più per verificare.
L'email falsificata o violata
Un indirizzo quasi identico a quello vero è un segnale classico: la CISA porta l'esempio di un indirizzo come amazan.com2. Ma un indirizzo esatto non basta, perché un account violato può servire a scrivere ai contatti del suo titolare5. Le fonti citate qui non danno motivo di fidarsi della sola email.
La regola di inoltro nascosta
Un aggressore che ha preso il controllo di un account può sorvegliare la casella senza farsi vedere. MITRE descrive le regole di inoltro delle email, che servono a seguire l'attività della vittima e a rubare informazioni6. Queste regole possono mantenere l'accesso ai messaggi anche dopo un reset delle credenziali e possono essere nascoste in alcuni strumenti6. Uno scambio che sembra normale può quindi essere sorvegliato, o addirittura dirottato.
La richiesta che arriva dall'interno
Un messaggio di un collega o di un dirigente non è per forza sicuro. MITRE descrive il phishing interno, in cui account compromessi prendono di mira altri membri dell'organizzazione, e cita un gruppo che ha colpito dirigenti, risorse umane e informatica7. La contabilità non vi è nominata, ma il principio è lo stesso: appartenere all'azienda non sostituisce la verifica.
La falsa fattura
Le fonti citate qui non descrivono la falsa fattura in quanto tale. Un testo della CISA mette in guardia contro gli allegati non richiesti3. La CISA cita le richieste di informazioni personali e finanziarie2. Una fattura accompagnata da nuove coordinate bancarie rientra in questo avviso: la controchiamata si applica allo stesso modo.
Scheda
- Identificativo
- CP-356
- Ala
- 5. Vita in ufficio e riflessi
- Competenza Brain
- Evitare le truffe (handle_scams)
- Riflesso Brain
- cr-080
- Schema
- G5 · Albero decisionale del riflesso
- Lingue
- de, en, es, fr, it
- Fonti
- 7 fonti verificate il 3 novembre 2026
Fonti7 fonti
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance», 10 gennaio 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultato il 3 novembre 2026)
- CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1586/002/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Controchiamata prima di cambiare il RIB», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp356_it_2026,
author = {Brain},
title = {Controchiamata prima di cambiare il RIB},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/controchiamata-numero-noto-cambio-iban/},
note = {CC BY 4.0}
}