L'e-mail arriva dal solito indirizzo del fornitore. La fattura è quella giusta: stesso numero d'ordine, stesso importo, stessa impaginazione. È cambiata una sola riga, in fondo alla pagina — l'IBAN. Un mese dopo il vero fornitore sollecita il pagamento, e i soldi sono finiti da tempo su un conto aperto all'estero.
In Francia questa truffa, in forte crescita, ha diversi nomi: frode del falso fornitore, frode del «falso RIB» (il RIB, relevé d'identité bancaire, è il foglio con le coordinate bancarie e l'IBAN che le banche francesi rilasciano ai clienti) o, nei rapporti della Banque de France, la banca centrale francese, «sostituzione di IBAN». In Italia si parla spesso di «truffa dell'IBAN». E si regge quasi sempre su un documento che nessuno pensa di controllare: un PDF. Le cifre e le procedure che seguono sono francesi; la truffa, e il modo di esaminare un PDF, funzionano allo stesso modo ovunque. Cosa cambia in Italia è riassunto in un riquadro più avanti.
Quanto è diffuso il fenomeno?
Secondo il rapporto 2025 dell'Osservatorio sulla sicurezza dei mezzi di pagamento (OSMP), pubblicato dalla Banque de France nel settembre 2026, le frodi sui mezzi di pagamento hanno raggiunto in Francia 1,24 miliardi di euro. Una componente torna a crescere nettamente: la frode per manipolazione — quella in cui è la vittima stessa a eseguire il pagamento, ingannata da un truffatore —, che arriva a 516 milioni di euro, il 34% in più in un anno (Banque de France, comunicato stampa). La sostituzione di IBAN è tra le tecniche citate.
Le imprese se ne accorgono. Secondo un'indagine sulle imprese francesi di Allianz Trade e dell'istituto di sondaggi Odoxa, pubblicata nel giugno 2026, il 52% delle grandi imprese e delle imprese di dimensione intermedia (le ETI francesi, da 250 a 4.999 dipendenti) vede aumentare i tentativi di frode, e il 40% delle imprese prese di mira ha subito almeno una frode effettiva. Soprattutto, solo il 41% richiama il cliente o il fornitore quando cambiano le coordinate bancarie (Allianz Trade). Negli Stati Uniti l'FBI ha registrato nel 2025 perdite per 3 miliardi di dollari legate alla compromissione delle caselle di posta aziendali, la seconda categoria di crimine informatico più costosa (FBI IC3).
Come agiscono i truffatori?
La Banque Postale, la banca delle poste francesi, descrive lo schema più comune (La Banque Postale). Nella versione più elaborata il truffatore si introduce nella casella di posta del fornitore; in alternativa, ne imita l'indirizzo. Legge le conversazioni, individua i clienti e le fatture in sospeso, poi invia, dall'indirizzo vero o da uno quasi identico, una fattura autentica accompagnata da un «nuovo IBAN». Non mette fretta a nessuno: aspetta il normale ciclo dei pagamenti.
Le varianti sono due. Nella prima la fattura è intatta, e a essere falso è un documento separato — un «RIB». Nella seconda è la fattura stessa a essere stata modificata: il truffatore ha aperto il PDF in un editor e ha sostituito l'IBAN. È questa seconda variante a lasciare tracce tecniche.
Le fughe di dati alimentano direttamente queste frodi. Dopo l'attacco alla piattaforma francese di fatturazione VosFactures, a fine settembre 2026, il suo fornitore ha ammesso il furto di IBAN e di dati dei clienti (Fakturownia), e la stessa VosFactures ha messo in guardia i propri clienti contro le frodi basate sul cambio di coordinate bancarie e sui falsi fornitori (Next). Raccontiamo la vicenda in VosFactures: una piattaforma di fatturazione violata attraverso il suo generatore di PDF.
Quali indizi tradiscono un PDF modificato?
Un PDF conserva spesso la memoria di come è stato prodotto. Gli specialisti dell'analisi forense dei documenti si basano su diversi indizi, da leggere come piste e non come prove: i metadati sono facoltativi e modificabili (PDF Association).
Il software che ha prodotto il file. Un PDF indica in genere il software di origine («Creator») e quello che lo ha prodotto o modificato per ultimo («Producer»). Una fattura emessa da un software di fatturazione, il cui ultimo «Producer» è un comune editor PDF, è stata probabilmente ritoccata in un secondo momento.
Le date. La data di modifica, in linea di principio, cambia a ogni modifica. Una fattura datata 2 ottobre, creata il 2 ottobre e modificata il 9, merita una domanda.
Le versioni successive. Molti editor non riscrivono il file: aggiungono le modifiche in fondo, e la versione precedente resta al suo interno. Ogni revisione termina con un marcatore %%EOF; più marcatori indicano più versioni. Il ricercatore Didier Stevens ha pubblicato uno strumento che li conta (SANS ISC), e la PDF Association osserva che la cronologia delle versioni è uno dei modi migliori per capire l'intento delle modifiche (PDF Association). Attenzione, però: anche una firma elettronica o un modulo compilato creano versioni legittime, e un file ottimizzato per la visualizzazione web ha spesso due marcatori fin dall'origine.
Le incoerenze visive. Un font, una dimensione o una spaziatura diversi sulla sola riga dell'IBAN; un rettangolo bianco posato sul vecchio testo; un «timbro» sovrapposto. La società di sicurezza informatica Group-IB elenca questi segni e ritiene, anche lei, che la sola data di modifica dica poco (Group-IB).
Per leggere queste informazioni senza caricare la fattura su un sito terzo — contiene le tue coordinate bancarie e quelle del tuo fornitore —, basta il lettore PDF già installato sul computer. In Acrobat Reader, File › Proprietà (o Ctrl+D, Cmd+D su Mac) mostra, nella scheda Descrizione, le date di creazione e di modifica, l'«Applicazione» (il Creator) e il «Produttore PDF». Su Mac, in Anteprima, Strumenti › Mostra Inspector visualizza gli stessi campi. Li legge anche ExifTool, uno strumento libero a riga di comando, insieme ai metadati XMP (ExifTool). Le versioni successive, invece, non compaiono in queste finestre: serve uno strumento come quello di Didier Stevens. Spieghiamo cosa possono rivelare i metadati in Cosa dicono di te i metadati del tuo PDF.
Un PDF pulito dimostra che la fattura è autentica?
No, ed è il punto essenziale. Un truffatore che controlla la casella di posta del fornitore può inviare una fattura perfettamente intatta accompagnata da un falso RIB separato. Può anche produrre un PDF nuovo con un normale software di fatturazione. L'analisi del file può confermare un dubbio; non può mai fugare un sospetto.
Una fattura conforme alle regole francesi riporta alcune indicazioni obbligatorie — numero, data, identità e SIREN delle parti (il numero che identifica ogni impresa in Francia), dettaglio delle prestazioni, IVA (LegalPlace). La loro presenza dimostra che un documento somiglia a una fattura, non che provenga dall'emittente giusto.
L'unico controllo davvero affidabile
Cybermalveillance.gouv.fr, il servizio pubblico francese di assistenza alle vittime di attacchi informatici, lo riassume nella sua scheda dedicata alla frode sui bonifici: per ogni richiesta di bonifico su un nuovo IBAN, contattare direttamente il creditore al suo numero abituale per fargli confermare il messaggio e le coordinate (Cybermalveillance.gouv.fr). Abituale, cioè un numero che si conosce già — quello del contratto, del preventivo firmato, dell'elenco —, mai quello indicato nel messaggio. Quasi sei imprese su dieci, secondo l'indagine citata sopra, non lo fanno.
Altre misure rafforzano la protezione:
- usare la verifica del beneficiario. Dal 9 ottobre 2025 le banche dell'area dell'euro devono controllare, prima di ogni bonifico SEPA, che il nome del beneficiario corrisponda all'IBAN, e segnalare una corrispondenza esatta, parziale o assente (INC). Se si procede nonostante un avviso, la banca non può più essere ritenuta responsabile. Questo controllo non protegge da un conto aperto dal truffatore a nome dello stesso fornitore, con documenti rubati, e in caso di corrispondenza parziale la decisione spetta a te;
- attivare l'autenticazione a due fattori su tutte le caselle di posta dell'impresa, per tagliare la truffa alla radice;
- separare i ruoli: chi registra un cambio di IBAN non deve essere la stessa persona che approva il pagamento.
E se il bonifico è già partito? Avvisa subito la tua banca per tentare un richiamo dei fondi, avverti il fornitore di cui è stata usurpata l'identità e controlla le regole di inoltro della tua casella di posta. In Francia si sporge poi denuncia e si contatta Info Escroqueries, la linea telefonica nazionale contro le truffe, allo 0 805 805 817 (Cybermalveillance.gouv.fr). Secondo le regole francesi, in linea di principio una banca che esegue un bonifico conforme all'IBAN indicato non è responsabile; il 4 marzo 2026, però, la Cour de cassation, la Cassazione francese, ha stabilito (ricorso n. 25-11.959) che una banca che aveva redatto essa stessa l'ordine di bonifico a partire da un RIB palesemente falso era responsabile e doveva risarcire il cliente (Eurojuris).
E in Italia? La verifica del beneficiario è obbligatoria anche da noi dal 9 ottobre 2025, per i bonifici ordinari come per quelli istantanei: l'esito arriva in tempo reale (corrispondenza, mancata corrispondenza, corrispondenza parziale o impossibilità di verifica), e la banca che ha svolto correttamente il controllo non risponde delle perdite se il cliente, avvisato, sceglie di pagare comunque (Banca d'Italia, Relazione ABF 2025). Sul rimborso la regola di partenza è la stessa che in Francia: un ordine eseguito conformemente all'IBAN si considera eseguito correttamente, e se l'IBAN fornito dal cliente è inesatto la banca non ne risponde, ma deve compiere «sforzi ragionevoli» per recuperare i fondi (d.lgs. 11/2010, art. 24); nel 2025 l'Arbitro Bancario Finanziario (ABF), l'organismo che risolve le controversie tra clienti e banche, ha respinto il ricorso di chi aveva pagato all'IBAN di uno sconosciuto una fattura del commercialista ricevuta per e-mail, perché il bonifico l'aveva autorizzato lui stesso e la verifica del beneficiario non era ancora obbligatoria (Relazione ABF 2025). In Italia la fattura elettronica è obbligatoria dal 1° gennaio 2019 tra soggetti residenti o stabiliti nel Paese e passa per il Sistema di Interscambio (SdI) dell'Agenzia delle Entrate (Agenzia delle Entrate, SdI), ma quel caso mostra che le coordinate bancarie possono ancora arrivare per e-mail. Per denunciare ci si rivolge alla Polizia Postale: il modulo di segnalazione del suo portale, commissariatodips.it, non vale però come denuncia, che va presentata a un ufficio di polizia (Polizia Postale).
La fattura elettronica risolverà il problema?
In parte. Dal 1° settembre 2026, in Francia, le fatture tra imprese devono passare gradualmente per piattaforme accreditate, sotto forma di dati strutturati: tutte le imprese devono poterle ricevere, e le grandi imprese e le ETI devono già emetterle così (LegalPlace). Una fattura ricevuta attraverso questo circuito proviene da un emittente identificato, il che rende più difficile far passare una fattura falsa per e-mail. Ma la riforma punta anzitutto alla frode IVA, le PMI e le microimprese sono tenute a emettere fatture elettroniche solo dal 1° settembre 2027, e le coordinate bancarie continuano spesso a circolare per e-mail. Il caso VosFactures mostra inoltre che le piattaforme diventano a loro volta bersagli ricchi di IBAN. La telefonata resta indispensabile. Il calendario completo della riforma è spiegato in Fatturazione elettronica in Francia: la tua fattura PDF è ancora valida?
Glossario
Frode per manipolazione: frode in cui è la vittima stessa a eseguire il pagamento, ingannata dal truffatore.
FOVI: faux ordre de virement international («falso ordine di bonifico internazionale»), il termine usato dalla polizia francese per queste frodi.
Creator, Producer: campi dei metadati di un PDF che indicano il software di origine e quello che lo ha prodotto o modificato.
Aggiornamento incrementale: modalità di salvataggio che aggiunge le modifiche in fondo al file, conservando la versione precedente.
Verifica del beneficiario (VoP): controllo obbligatorio dall'ottobre 2025 nell'area dell'euro, Italia compresa, che confronta il nome del beneficiario con l'IBAN prima di un bonifico.