La fattura è quella giusta: stesso fornitore, stesso importo, stesso logo. Cambia solo una riga, l’IBAN. È la truffa più semplice e una delle più diffuse contro aziende e professionisti, perché non serve forzare nessun sistema: basta convincere chi paga a mandare il bonifico sul conto sbagliato.

In questa guida vediamo come funziona, quali segnali devono far scattare un controllo e cosa fare se il pagamento è già partito.

Come funziona la truffa dell’IBAN modificato

Il meccanismo è quasi sempre lo stesso. Il truffatore entra nella casella email di un fornitore, oppure registra un dominio quasi identico al suo (una lettera in più, un trattino, un’estensione diversa). Da lì osserva la corrispondenza, aspetta il momento giusto, di solito una fattura in scadenza, e invia un messaggio credibile:

  • una fattura vera, con l’IBAN sostituito nel PDF;
  • oppure una comunicazione di “cambio coordinate bancarie” per motivi plausibili, come un cambio di banca o un audit in corso.

Il tono è spesso urgente: il pagamento è in ritardo, la fornitura rischia di bloccarsi, il conto vecchio sta per essere chiuso. A volte arriva anche la richiesta di non telefonare perché il referente “è in trasferta”.

Esiste anche la variante opposta, in cui a essere violata è la casella di chi paga: il truffatore intercetta le fatture in arrivo e le modifica prima che arrivino all’amministrazione.

I segnali che devono far scattare un controllo

Nessun segnale da solo prova una frode, ma ognuno di questi è un buon motivo per fermarsi:

  • il cambio di IBAN arriva per email, senza una comunicazione formale e senza che nessuno ve ne abbia parlato prima;
  • l’IBAN è di un altro paese o di una banca mai usata da quel fornitore, per esempio un conto estero per un’azienda italiana;
  • l’indirizzo del mittente è leggermente diverso da quello abituale, o la risposta va a un indirizzo diverso da quello che ha scritto;
  • c’è urgenza o riservatezza: “paga oggi”, “non parlarne con nessuno”, “non chiamare”;
  • il PDF ha piccole differenze rispetto alle fatture precedenti: font, impaginazione, dati bancari in un punto diverso;
  • l’intestatario del conto indicato non coincide con la ragione sociale del fornitore.

Come verificare le coordinate prima di pagare

1. Telefona, ma al numero giusto

Chiama il fornitore al numero che hai già in anagrafica o sul suo sito, mai a quello scritto nell’email sospetta. Chiedi conferma del cambio di IBAN a una persona che conosci.

2. Controlla a chi è intestato il conto

Qui entra in gioco la verifica del beneficiario (Verification of Payee): confronta il nome del fornitore con l’intestatario reale del conto, interrogando la banca che lo gestisce. Se il conto è intestato a qualcun altro, l’esito sarà “nessuna corrispondenza”. Puoi farlo prima ancora di preparare il bonifico con la verifica IBAN gratuita di Pago Agile.

3. Verifica che l’azienda esista e sia attiva

Se il beneficiario è un’impresa italiana, una visura camerale ti conferma ragione sociale, sede e stato dell’azienda. È utile soprattutto con i fornitori nuovi, dove non hai uno storico da confrontare.

4. Due persone, non una

Fai in modo che chi modifica un IBAN in anagrafica non sia la stessa persona che autorizza il pagamento. È la regola più efficace e costa zero. Ne parliamo in dettaglio nella guida su cosa fare quando un fornitore cambia IBAN.

Cosa è cambiato con la verifica del beneficiario

Dal 9 ottobre 2025, per effetto del Regolamento UE 2024/886, le banche e gli altri prestatori di servizi di pagamento dell’area euro devono verificare il beneficiario prima di ogni bonifico SEPA, ordinario o istantaneo. Quando inserisci IBAN e nome, la banca ti mostra uno di quattro esiti: corrispondenza, corrispondenza parziale (con il nome corretto), nessuna corrispondenza o verifica non possibile. Il servizio è gratuito per chi paga.

È una protezione importante, ma ha due limiti da conoscere:

  • funziona solo se leggi l’esito. Se la banca segnala “nessuna corrispondenza” e confermi comunque il bonifico, la responsabilità della scelta è tua;
  • le aziende che inviano pagamenti in blocco (per esempio le distinte caricate dal gestionale) possono rinunciare alla verifica. Se la tua azienda lo ha fatto, il controllo va fatto altrove, per esempio quando l’IBAN viene inserito in anagrafica.

Se il bonifico è già partito

Il tempo è il fattore decisivo. Un bonifico istantaneo arriva in pochi secondi e il truffatore di solito sposta i soldi subito, quindi muoviti nell’ordine:

  1. Chiama subito la tua banca e chiedi il richiamo del bonifico. Fai seguire una richiesta scritta.
  2. Sporgi denuncia alla Polizia Postale o ad altra forza dell’ordine, allegando email, fattura e ricevuta del bonifico. La denuncia serve anche alla banca per attivarsi.
  3. Avvisa il fornitore vero: probabilmente la sua casella è compromessa e altri clienti potrebbero ricevere la stessa email.
  4. Metti in sicurezza le caselle: cambia le password e attiva l’autenticazione a due fattori.
  5. Conserva tutto: email originali con le intestazioni, PDF ricevuti, numeri di telefono usati.

Sul recupero dei fondi è bene essere realisti. Se il bonifico è stato eseguito sull’IBAN che hai indicato, la banca di norma non ne risponde, ma deve fare sforzi ragionevoli per recuperare i soldi. Se invece la banca non ti ha offerto la verifica del beneficiario quando era dovuta, e per questo il pagamento è finito sul conto sbagliato, il Regolamento prevede che ti rimborsi. Per capire come funziona il recupero, leggi anche Bonifico istantaneo sbagliato: si può annullare?.

In sintesi

La truffa dell’IBAN in fattura si basa su un’abitudine: fidarsi di un documento che sembra quello di sempre. Bastano tre controlli per smontarla: una telefonata al numero che conosci, la verifica dell’intestatario del conto e due persone diverse tra chi cambia l’IBAN e chi paga.