Truffa del falso fornitore e cambio IBAN: come difendersi

In breve: la truffa del falso fornitore, o truffa del cambio IBAN, funziona così: ricevi un'email, apparentemente del tuo fornitore, che comunica nuove coordinate bancarie, e paghi la fattura sul conto dei truffatori. La difesa principale indicata dalla Polizia Postale è richiamare il fornitore a un numero che avevi già, mai a quello scritto nell'email. Il check anti-truffa gratuito di Veryfy ti aiuta a controllare P.IVA, dominio, email e IBAN, ma dà segnali, non certezze.

Veryfy non è affiliata alla Polizia di Stato, alla Banca d'Italia né ad ABI: questa guida riporta quanto dicono le loro pagine o le notizie che le citano, consultate il 05/11/2026.

Cos'è la truffa del cambio IBAN (truffa del falso fornitore)?

È una frode in cui qualcuno si inserisce nella corrispondenza tra te e un tuo fornitore e fa cambiare l'IBAN su cui pagare. In un allarme della Polizia Postale, riportato da Punto Informatico il 30 marzo 2026, gli aggressori intercettano le email tra un'azienda e i suoi fornitori o clienti. Mandano messaggi che imitano gli originali, con loghi, firme e stile di scrittura, e sostituiscono l'IBAN legittimo con uno che controllano.

Si parla di man in the middle (letteralmente "uomo in mezzo") ed è un caso di Business Email Compromise (BEC), cioè di compromissione dell'email aziendale. Le aziende più esposte, secondo lo stesso allarme, sono quelle che pagano regolarmente fornitori italiani o esteri. Il bonifico parte volontariamente da te: per questo è difficile recuperarlo.

Come riconosco un'email di cambio coordinate bancarie truffa?

Si riconosce da pochi segnali ricorrenti, che la Polizia Postale indica nel suo allarme: la richiesta di cambiare IBAN, soprattutto se urgente, un indirizzo del mittente con differenze minime e difficili da notare, e una spiegazione inattesa per il cambio, come una nuova banca. Nessuno di questi, da solo, prova la truffa, ma insieme devono farti fermare il pagamento.

• Urgenza: "paga oggi, altrimenti sospendiamo la fornitura", "la banca precedente ha un problema contabile".
• Mittente quasi identico: una lettera cambiata nel dominio, un trattino in più, un'estensione diversa.
• IBAN di un paese diverso da quello in cui ha sede il fornitore, o intestato a un nome che non è quello della società.
• Nuovo canale di contatto: chiedono di rispondere solo via email e di non telefonare.
• Fattura identica alle precedenti, ma con il solo IBAN diverso.
• Domini creati da poco: è il segnale classico del falso fornitore, per questo il check di Veryfy ne controlla l'età.

Come verifico una richiesta di nuovo IBAN prima di pagare?

Verifica la richiesta con un canale diverso dall'email in cui è arrivata. È il consiglio centrale della Polizia Postale: contattare in modo diretto, per telefono, sui contatti che già possiedi, il partner che comunica la variazione. Lo stesso allarme cita anche la PEC o una persona di cui hai verificato l'identità come canali alternativi. Una procedura pratica:

1. Sospendi il pagamento finché non hai una conferma, anche se la scadenza è vicina.
2. Richiama il fornitore a un numero che avevi già (contratto, vecchie fatture, rubrica), non a quello nell'email o nella firma del messaggio.
3. Controlla il dominio del mittente lettera per lettera, confrontandolo con le email precedenti. Guarda l'indirizzo reale, non solo il nome visualizzato.
4. Controlla l'IBAN: è scritto correttamente? Il paese (le prime due lettere) è coerente con la sede del fornitore? Se prima pagavi un conto italiano e ora te ne chiedono uno estero, chiedi spiegazioni per telefono.
5. Verifica la partita IVA e chi è davvero l'azienda: puoi seguire la guida su come trovare la partita IVA di un'azienda dal nome.
6. Fai il check anti-truffa (sezione sotto) e leggi i segnali.
7. Registra la conferma: annota chi ti ha risposto, quando e con quale numero, e conserva la mail originale con le intestazioni.
8. Leggi l'esito della verifica del beneficiario quando fai il bonifico (sezione sotto) e non confermare se non corrisponde.

Se il fornitore è nuovo, aggiungi un controllo sulla sua solidità prima di versare anticipi: vedi come verificare la solvibilità di un fornitore prima di versare un acconto.

La banca mi avvisa se l'IBAN non corrisponde al beneficiario?

Sì, in parte. Dal 9 ottobre 2025 la verifica del beneficiario (Verification of Payee, VoP) è obbligatoria per i bonifici ordinari e istantanei, secondo la Banca d'Italia. Controlla la corrispondenza tra l'IBAN e il nome, o altro identificativo, del beneficiario. Il risultato arriva in tempo reale, con quattro esiti possibili: corrispondenza, mancata corrispondenza, corrispondenza parziale, impossibilità di verifica. Dopo aver visto l'esito puoi confermare il pagamento.

È un aiuto utile, ma non sostituisce la telefonata. Se il nome del beneficiario non coincide con quello del tuo fornitore, fermati. Se coincide, ricorda che un truffatore può aver aperto un conto intestato a una società dal nome simile: la conferma telefonica resta il controllo decisivo. La Banca d'Italia dice che la misura è "pensata per ridurre frodi ed errori", non che le elimini.

Cosa controlla il check anti-truffa gratuito di Veryfy?

Il check anti-truffa gratuito risponde a una domanda precisa: chi ti scrive, o ti chiede un pagamento, è davvero quell'azienda? Inserisci la partita IVA e, se li hai, l'email o il sito da cui ti hanno scritto e l'IBAN che ti chiedono di pagare. Per usarlo serve solo un account con la tua email, senza password e senza carta. Controlla fonti pubbliche, con la fonte accanto a ogni esito:

Il check dà segnali, non la certezza che sia o non sia una truffa. Non contiene rating, fido, protesti, bilanci o soci. Dell'email conserviamo solo il dominio, dell'IBAN solo il paese e le ultime 4 cifre. Se vuoi capire come controllare un'azienda senza registrazioni e abbonamenti, vedi come verificare un'azienda online senza abbonamento né registrazione.

Cosa fare se hai già pagato sull'IBAN sbagliato?

Avvisa subito la banca e la Polizia. Le due segnalazioni vanno fatte il prima possibile: la Polizia Postale, nel suo allarme, invita a segnalare immediatamente un tentativo sospetto al Commissariato di PS Online e alla banca. Non conosciamo tempi garantiti di recupero: dipendono dal caso.

1. Chiama la banca con cui hai fatto il bonifico, usando il numero ufficiale, e chiedi di attivare la richiesta di richiamo del bonifico verso la banca del beneficiario. Fallo il giorno stesso se puoi.
2. Raccogli le prove: email originali con le intestazioni, fattura, contabile del bonifico, eventuali messaggi e telefonate.
3. Presenta denuncia alla Polizia di Stato, anche attraverso il canale Commissariato di PS Online della Polizia Postale (verifica sul sito ufficiale cosa è disponibile per il tuo caso). Un servizio di pre-denuncia online della Polizia di Stato, descritto da Open a giugno 2026, è in fase sperimentale, attivo solo in alcune sedi, e va confermato di persona entro 48 ore: non sostituisce la denuncia.
4. Avvisa il vero fornitore, per telefono, così verifica se la sua posta è stata compromessa.
5. Cambia le password delle tue caselle email e dell'home banking e controlla se esistono regole di inoltro automatico che non hai impostato tu.

Un esempio di recupero: a settembre 2025 Punto Informatico ha riportato il caso di un'azienda che ha recuperato 120.000 euro grazie al richiamo del bonifico ottenuto dopo la denuncia, con il Centro Operativo per la Sicurezza Cibernetica della Polizia Postale di Bari e Interpol. Non è una promessa: l'articolo non indica i tempi con cui l'azienda ha avvisato la banca.

Come prevenire il cambio IBAN truffa in azienda?

Trasforma il controllo in una regola scritta, valida per tutti. La Polizia Postale suggerisce di cambiare spesso le password, controllare se le regole di ricezione delle email sono state modificate, attivare l'autenticazione a due fattori per l'home banking, aggiornare dispositivi e antivirus e formare il personale che si occupa dei pagamenti.

• Regola dei due occhi: chi modifica l'IBAN in anagrafica non è chi dispone il pagamento.
• Conferma telefonica obbligatoria a un numero già in anagrafica per ogni cambio di coordinate.
• Anagrafica fornitori con data di verifica: annota chi ha confermato e quando.
• Controllo dei fornitori nuovi prima del primo pagamento: P.IVA, dominio e solidità.

Per tenere sotto controllo i fornitori nel tempo c'è la Sentinella, a 39€ al mese per 5 aziende. Con ogni report il check anti-truffa resta in regalo in versione sentinella: lo ripetiamo in automatico e ti scriviamo se qualcosa peggiora, ad esempio un dominio segnalato per phishing o un nome diverso nel registro VIES.

Per i commercialisti. Se gestisci i pagamenti dei tuoi assistiti, puoi fare il check anti-truffa gratuito (serve un account con la tua email) su ogni richiesta di cambio IBAN e acquistare, quando serve, il singolo report su una controparte, senza abbonamento e senza registrazione, dalla verifica veloce Negatività e procedure concorsuali a 5,90€ al report Decisione a 49€.

Fonti

• Punto Informatico, Truffa email aziendali: allarme Polizia Postale sul man-in-the-middle (30 marzo 2026, fonte secondaria che riporta l'allarme) (consultato il 05/11/2026)
• Punto Informatico, Business Email Compromise: come evitarlo, i consigli della Polizia Postale (26 ottobre 2020, fonte secondaria) (consultato il 05/11/2026)
• Punto Informatico, Business Email Compromise: Polizia recupera 120.000 euro (12 settembre 2025, fonte secondaria) (consultato il 05/11/2026)
• Banca d'Italia, Verifica del beneficiario (VoP) per i bonifici ordinari e istantanei (20 ottobre 2025) (consultato il 05/11/2026)
• Open, Pre-denuncia online della Polizia: come funziona (16 giugno 2026, fonte secondaria) (consultato il 05/11/2026)
• Commissariato di PS Online, Polizia Postale (consultato il 05/11/2026: durante la consultazione la pagina era bloccata; per denunce e segnalazioni verifica sul sito ufficiale)

Veryfy non è affiliata alle istituzioni citate. Le pagine della Polizia di Stato non erano consultabili direttamente: i consigli sono quelli riportati dalla stampa specializzata.