Un addetto amministrativo riceve una comunicazione apparentemente inviata da un fornitore abituale: le coordinate bancarie sono cambiate e la fattura va saldata sul nuovo conto. Il messaggio è credibile, magari compare dentro una conversazione già esistente. Il bonifico viene autorizzato e solo dopo si scopre la frode. Per l’impresa il danno sembra uno solo, ma dal punto di vista operativo e assicurativo può comprendere eventi differenti. Capire questa separazione aiuta a reagire nelle prime ore e a verificare prima del sinistro se il programma assicurativo lascia scoperta proprio la somma trasferita.

Quando il pagamento è stato disposto dalla vittima

La Banca d’Italia distingue le operazioni non autorizzate dalle frodi da manipolazione del pagatore. In queste ultime il legittimo titolare presta il consenso, ma viene indotto a farlo con l’inganno. Nel secondo semestre del 2025 questa tipologia ha rappresentato il 72% del valore e il 58% del numero dei bonifici fraudolenti rilevati nel rapporto dell’Istituto. La distinzione è decisiva: un ordine impartito da un dipendente autorizzato, sulla base di una falsa istruzione, non coincide automaticamente con un pagamento eseguito senza consenso.

Una tecnica frequente è la Business Email Compromise. L’attaccante può impersonare un dirigente o un fornitore, oppure prendere il controllo di una casella reale e inserirsi in una conversazione. L’Agenzia per la cybersicurezza nazionale ha documentato sia la cosiddetta truffa del CEO sia il thread hijacking, nel quale un account compromesso viene usato per rendere più credibile il messaggio. Per questo il controllo non può limitarsi al nome visualizzato dal programma di posta.

Un incidente, almeno quattro possibili voci di danno

Dopo un falso bonifico occorre separare la somma finita sul conto del truffatore dai costi necessari per capire come sia avvenuto l’incidente. L’impresa può dover analizzare la casella di posta, bloccare credenziali, ripristinare sistemi, coinvolgere consulenti informatici e legali e gestire l’interruzione delle attività. Se l’account compromesso conteneva dati personali, si apre anche una valutazione privacy. Infine possono emergere pretese di terzi: per esempio, il vero fornitore continua ad attendere il pagamento oppure contesta una comunicazione partita dalla casella dell’impresa.

Queste conseguenze non seguono necessariamente la stessa garanzia. La perdita del bonifico è una sottrazione di denaro; l’analisi forense e il ripristino riguardano la risposta all’incidente; la divulgazione o l’accesso a dati personali può generare costi di notifica e responsabilità; un fermo operativo può produrre una perdita di margine. Mettere tutto sotto l’etichetta generica di danno cyber impedisce di vedere dove può trovarsi il vuoto di copertura.

  • denaro trasferito al beneficiario fraudolento;
  • indagine informatica, contenimento e ripristino;
  • gestione di un’eventuale violazione di dati personali;
  • interruzione dell’attività e richieste di terzi.

Perché il nome della polizza non basta

L’indagine IVASS sulle polizze cyber per le PMI mostra che le garanzie di base sono spesso affiancate da coperture facoltative e che esclusioni e limitazioni possono ridurne l’ampiezza. Le prestazioni osservate dall’Istituto riguardano, tra l’altro, ripristino di dati e sistemi, costi di accertamento, consulenza, notifiche conseguenti a un data breach, responsabilità verso terzi e interruzione dell’attività. Da questa struttura non discende che il capitale volontariamente trasferito a seguito di un inganno sia sempre compreso.

Per il rischio specifico vanno cercate nel contratto definizioni ed estensioni dedicate: frode da manipolazione, social engineering, impersonificazione, trasferimento fraudolento di fondi o formulazioni equivalenti. In altri programmi la protezione può trovarsi in una polizza crime, fidelity o in un modulo distinto. Le denominazioni commerciali non sono uniformi e la presenza della garanzia non elimina sottolimiti, franchigie, obblighi di verifica o esclusioni. Solo il testo contrattuale applicabile consente di stabilire la risposta al singolo evento.

Due casi simili per la contabilità, diversi per la polizza

Primo esempio. Un criminale entra nella posta del fornitore, osserva le conversazioni e invia dal vero account nuove coordinate bancarie. L’impresa paga. Qui possono coesistere la manipolazione del pagatore, la compromissione di un sistema esterno e l’eventuale esposizione di dati. Bisogna verificare se il contratto richiede che l’attacco colpisca il sistema dell’assicurato e se la perdita di fondi è espressamente prevista.

Secondo esempio. Nessuna casella viene violata: il truffatore registra un dominio quasi identico, copia firma e grafica e convince l’amministrazione a cambiare IBAN. La perdita economica può essere la stessa, ma potrebbe mancare un attacco al sistema informatico dell’impresa. Una polizza costruita soltanto attorno a compromissione, ripristino e responsabilità per dati può quindi reagire diversamente da una copertura che includa espressamente l’ingegneria sociale. Gli esempi illustrano il problema; non anticipano l’esito di un sinistro reale.

Le prime ore: recuperare denaro e conservare la prova

Appena emerge il sospetto, l’impresa dovrebbe contattare immediatamente la propria banca per chiedere il richiamo del bonifico e l’attivazione delle procedure antifrode, fornendo importo, orario, beneficiario e IBAN. La possibilità di recupero dipende dalla tempestività e dal percorso già compiuto dai fondi; non è garantita. In parallelo occorre preservare messaggi, intestazioni tecniche, log, fatture e autorizzazioni, evitando di cancellare le tracce utili all’analisi.

Il team informatico deve verificare caselle e account coinvolti, revocare sessioni sospette, cambiare le credenziali e controllare regole di inoltro create dall’attaccante. Il broker o l’assicuratore vanno avvisati secondo modalità e termini di polizza, prima di assumere costi non urgenti quando il contratto richiede un’autorizzazione. Vanno inoltre valutate la denuncia alle autorità e le comunicazioni ai soggetti coinvolti.

Se l’incidente comporta una violazione di dati personali, il Garante ricorda che il titolare deve documentarla e, quando può comportare un rischio per i diritti e le libertà delle persone, notificarla senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza. Non ogni falsa email è automaticamente un data breach: serve una valutazione concreta di accesso, divulgazione, perdita o alterazione dei dati.

La prevenzione che collega tesoreria e sicurezza

La misura organizzativa più utile è rendere indipendente dalla stessa email la verifica delle variazioni bancarie. Una richiesta di cambio IBAN dovrebbe essere confermata attraverso un recapito già censito, con una procedura a doppia autorizzazione e limiti coerenti con importo e urgenza. La verifica del beneficiario introdotta per i bonifici aggiunge un controllo sul rapporto tra nome e IBAN, ma non sostituisce la conferma interna: un truffatore può costruire una storia credibile anche quando il conto è intestato a un soggetto apparentemente plausibile.

Il controllo assicurativo deve partire dallo scenario, non dal prodotto. La domanda da porre è semplice: se un nostro dipendente autorizza un bonifico perché ingannato da una falsa email, quali somme e quali spese rispondono, con quali condizioni? La risposta va poi provata sul testo di polizza, coordinando cyber, crime, responsabilità e interruzione di attività.

Domande frequenti

La banca deve sempre rimborsare il bonifico? No. Occorre distinguere un’operazione non autorizzata da un bonifico disposto dal cliente dopo essere stato manipolato. Tempi, modalità di autorizzazione, controlli svolti e disciplina applicabile incidono sulla valutazione. La richiesta di richiamo va comunque avviata subito.

Una polizza cyber copre automaticamente la truffa del CEO? No. Alcuni contratti possono prevedere garanzie specifiche, altri concentrarsi sui costi dell’incidente informatico e sulle responsabilità verso terzi. Devono essere verificati evento assicurato, definizioni, estensioni, esclusioni, sottolimiti e procedure richieste.

Se non sono stati sottratti dati personali, non serve fare analisi informatica? L’analisi resta utile per capire se l’email sia stata soltanto imitata oppure se un account sia stato compromesso, chiudere l’accesso e conservare le prove. La valutazione privacy è una parte della risposta, non l’unico motivo per intervenire.

Come verificare il programma assicurativo prima di un sinistro? Si può costruire un esempio con importo, canale, soggetto impersonato e sistema compromesso, quindi chiedere al broker di indicare per iscritto quale sezione risponderebbe e quali obblighi operativi si applicherebbero. Per una verifica del vostro caso potete scrivere a info@jmorganbrokers.it.

Fonti

Nota

Questo contenuto ha finalità informativa e non sostituisce l’analisi del singolo rischio né la lettura delle condizioni contrattuali.