IBAN modificato via email: sicurezza, GDPR e controllo dei pagamenti davanti allo stesso incidente

La frode sull'IBAN in fattura è un incidente in cui la stessa sequenza di fatti va letta con strumenti diversi. Per chi si occupa di sicurezza delle informazioni è un accesso non autorizzato a un account; per chi tratta dati personali è una violazione da valutare e, se ricorrono le condizioni, da notificare; per chi gestisce l'amministrazione è un pagamento disposto su un dato anagrafico che nessuno ha verificato. Ogni lettura è corretta, ma nessuna, presa da sola, spiega perché il denaro è uscito. Conviene quindi partire dal meccanismo dell'attacco e seguirne le conseguenze.

Come funziona l'attacco

Lo schema è noto come compromissione della posta aziendale, in inglese business email compromise. Nella variante più difficile da riconoscere l'attaccante non falsifica il mittente: entra nella casella reale, di solito con una password raccolta attraverso una pagina di accesso contraffatta o riutilizzata su un altro servizio, e da quel momento osserva. La fase di osservazione serve a capire chi emette le fatture, chi le paga, con quale cadenza e con quale linguaggio. Quando arriva il documento utile, l'attaccante si inserisce nella conversazione già avviata, e chi riceve il messaggio trova una risposta coerente per tono, firma e contesto.

Per restare invisibile, l'attaccante può creare regole nella casella: un filtro che sposta in una cartella secondaria, o cancella, i messaggi che contengono parole come "IBAN", "bonifico" o il nome del fornitore. In questo modo le eventuali risposte del fornitore vero non arrivano all'utente legittimo e la conversazione resta nelle mani di chi la manipola. Esiste anche la variante con un dominio somigliante a quello del fornitore, registrato con una lettera cambiata. In quel caso la casella aziendale è integra, ma l'effetto sul processo di pagamento è lo stesso.

La conseguenza pratica è che il destinatario non ha elementi per riconoscere il falso guardando il messaggio. Il controllo, pertanto, deve spostarsi fuori dalla posta elettronica.

Il secondo fattore e il monitoraggio degli accessi

Il controllo 8.5 dell'Allegato A della ISO/IEC 27001:2022 riguarda l'autenticazione sicura. Per un servizio di posta raggiungibile da internet, il secondo fattore è la misura che rende inutile una password sottratta, se usata da sola. Va però detto con precisione che cosa copre. Un secondo fattore basato su un codice o su una notifica protegge dal riuso della password, ma può essere aggirato da pagine di phishing che si interpongono fra utente e servizio in tempo reale e catturano la sessione già autenticata. Per le caselle che ricevono fatture o autorizzano pagamenti, i metodi resistenti al phishing, come le chiavi di sicurezza fisiche o le passkey legate al dominio del servizio, riducono questa possibilità.

Il secondo tema è il monitoraggio. I controlli 8.15 e 8.16 dello stesso Allegato A riguardano la registrazione degli eventi e la sorveglianza delle attività anomale. Applicati a una casella di posta, significano conservare i log di accesso per un periodo sufficiente a ricostruire un'intrusione lenta, ricevere un avviso per accessi da paesi o reti insoliti, controllare la creazione di regole di inoltro e di spostamento dei messaggi. Senza questi registri, dopo l'incidente non si può stabilire da quando l'attaccante era dentro né che cosa ha letto. Questa incertezza pesa direttamente sugli obblighi in materia di protezione dei dati.

Resta la gestione dell'incidente, trattata dai controlli da 5.24 a 5.28. In particolare il 5.28 riguarda la raccolta delle evidenze: prima di cambiare la password, cancellare le regole o ripristinare la casella, occorre acquisire i log, le regole create, le intestazioni dei messaggi e la copia del documento alterato. Sono gli elementi che serviranno alla denuncia, alla banca e a un'eventuale controversia con il fornitore, e una volta ripulita la casella non si recuperano.

La violazione di dati personali e il calcolo delle 72 ore

L'articolo 4, punto 12, del Regolamento (UE) 2016/679 include fra le violazioni dei dati personali l'accesso non autorizzato. Una casella letta da un estraneo rientra quindi nella definizione anche quando non si può dimostrare che qualche file sia stato copiato. L'articolo 33, paragrafo 1, impone al titolare di notificare la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche. Oltre le 72 ore, la notifica va accompagnata dai motivi del ritardo.

Il punto delicato è stabilire quando il titolare viene a conoscenza della violazione. A mio giudizio la lettura più prudente lo colloca nel momento in cui esiste una ragionevole certezza che l'incidente abbia toccato dati personali: dopo il primo sospetto, ma prima della conclusione dell'indagine tecnica. Nella frode sull'IBAN, la segnalazione del fornitore rivela un problema sul pagamento; il controllo degli accessi alla casella, anche sommario, stabilisce se c'è stato un accesso non autorizzato. Da quel momento il termine corre. L'articolo 33, paragrafo 4, consente di fornire le informazioni in fasi successive, per cui non è necessario conoscere ogni dettaglio prima di notificare.

La valutazione del rischio parte dal contenuto della casella. Una casella amministrativa può contenere anagrafiche, coordinate bancarie di dipendenti e fornitori, copie di documenti d'identità, talvolta cedolini o certificati. Se il rischio per le persone è elevato, l'articolo 34, paragrafo 1, richiede di comunicare la violazione anche agli interessati. In ogni caso l'articolo 33, paragrafo 5, obbliga il titolare a documentare la violazione, le circostanze, le conseguenze e i provvedimenti adottati, anche quando decide di non notificarla.

Il controllo nel processo di pagamento

Sul piano del controllo interno, la frode sfrutta un presupposto implicito: che un dato ricevuto per email da un fornitore conosciuto sia affidabile. Il presidio, quindi, non consiste nel riconoscere il messaggio falso, che può essere indistinguibile da quello vero, ma nel trattare la variazione delle coordinate bancarie come un'operazione con una propria autorizzazione. I passi operativi sono pochi e verificabili:

• ogni richiesta di variazione delle coordinate bancarie, da qualunque canale arrivi, resta sospesa fino alla conferma;
• la conferma si ottiene chiamando un numero già presente in anagrafica o nel contratto, mai quello indicato nel messaggio che chiede la variazione;
• chi registra la variazione in anagrafica è una persona diversa da chi dispone il pagamento, in coerenza con il controllo 5.3 dell'Allegato A della ISO/IEC 27001:2022 sulla separazione dei compiti;
• il primo pagamento verso coordinate nuove richiede un'autorizzazione aggiuntiva;
• la verifica si registra, con la data, il nome di chi ha chiamato e il nome di chi ha confermato dall'altra parte.

L'ultimo passo sembra un adempimento formale, ma serve due volte. Dimostra che il controllo esiste e viene applicato, e costituisce la prova della diligenza se il pagamento viene contestato. Una procedura che esiste solo a voce, dopo un incidente, non si può dimostrare.

Chi risponde del bonifico

La domanda sulla responsabilità arriva presto, perché il fornitore attende ancora il pagamento. Il codice civile, all'articolo 1189, libera il debitore che esegue il pagamento a chi appare legittimato a riceverlo in base a circostanze univoche, se prova di essere stato in buona fede. La norma sposta il discorso sulle prove: quali circostanze rendevano credibile la richiesta e quali verifiche il debitore ha compiuto prima di pagare.

Qui le misure tecniche e quelle di processo diventano argomenti. Una variazione confermata per telefono su un numero in anagrafica, e registrata, documenta una condotta diligente; un bonifico disposto sulla sola base di un'email non offre lo stesso sostegno. Pesa anche il punto in cui è avvenuta la compromissione, perché la valutazione può cambiare se la casella violata è quella di chi paga oppure quella del fornitore. L'esito dipende dai fatti del singolo caso e non si può anticipare in termini generali. Quello che si può fare prima è disporre delle prove di ciò che è stato fatto.

In parallelo, la segnalazione immediata alla propria banca può consentire di tentare il richiamo del bonifico, mentre la denuncia fissa i fatti in un atto formale. Entrambe si appoggiano sulle evidenze raccolte durante la gestione dell'incidente.

Un incidente, più registri

Dove i sistemi di gestione sono separati, lo stesso evento rischia di produrre documenti che non si parlano: il registro degli incidenti di sicurezza, il registro delle violazioni previsto dall'articolo 33, paragrafo 5, del Regolamento (UE) 2016/679 e una segnalazione interna dell'amministrazione. Ognuno descrive una parte, nessuno ricostruisce la catena. Il controllo 5.27 dell'Allegato A della ISO/IEC 27001:2022 chiede di usare la conoscenza acquisita dagli incidenti per ridurne la probabilità o l'impatto in futuro; se l'analisi resta dentro una sola funzione, anche la correzione resta parziale.

L'impostazione integrata prevede un'unica procedura di gestione degli incidenti, con un punto di decisione che per ogni evento verifica se ha toccato dati personali, se ha prodotto un effetto economico o contrattuale e, per i soggetti che rientrano nell'ambito del D.Lgs. 4 settembre 2024, n. 138, se va valutato ai fini degli obblighi di notifica previsti dal decreto. Le risposte attivano i rami pertinenti, sulla base di un'unica ricostruzione dei fatti.

Resta stabilito che la frode sull'IBAN tocca insieme l'autenticazione, la protezione dei dati e il controllo dei pagamenti, e che il presidio meno costoso è quello più lontano dalla tecnologia: la conferma della variazione su un canale indipendente dalla posta. Il passo successivo, per chi legge, è controllare se nella propria organizzazione quella conferma è prevista da una procedura scritta, affidata a una persona diversa da chi dispone il pagamento e registrata ogni volta che viene eseguita.