Che cos’è il Business Email Compromise (BEC)?

Il Business Email Compromise non richiede alcun intervento di hacking. Un malintenzionato si finge una persona di cui i vostri dipendenti si fidano già – un amministratore delegato, un fornitore, un partner conosciuto – e chiede qualcosa che sembra di routine: un bonifico urgente, dati di pagamento aggiornati, una fattura in attesa di approvazione. Nessun malware, nessun allarme, solo un’e-mail convincente che sembra parte della normale routine lavorativa. L’ Internet Crime Complaint Center classifica il BEC tra i crimini informatici più dannosi dal punto di vista finanziario, con un costo medio di una violazione che ormai raggiunge i milioni. Ecco esattamente come funzionano questi attacchi.

Come funziona il Business Email Compromise?

In un attacco di tipo “Business Email Compromise”, qualcuno si finge un collega o un partner di fiducia e convince la vittima a compiere azioni quali concedere l’accesso, inviare denaro o condividere determinate informazioni. Di solito ricorrono al phishing, a e-mail contraffatte inviate a nome del capo, a fatture false e a messaggi che sembrano provenire da una persona conosciuta per ottenere ciò che vogliono. Anche se oggi le persone sono più consapevoli di questi attacchi, i malintenzionati continuano a trovare modi per ingannarle. 

Ad esempio, un gruppo di hacker russi chiamato Cosmic Lynx ha sferrato complessi attacchi di tipo «Business Email Compromise» utilizzando e-mail di phishing redatte in modo molto accurato, il che le rende difficili da individuare. Questi criminali informatici approfittano inoltre delle persone che lavorano da casa inviando e-mail che sembrano provenire da strumenti molto diffusi utilizzati per la collaborazione, con l’obiettivo di rubare le password.

L'FBI e altre fonti, come Verizon, hanno segnalato che gli attacchi di tipo "Business Email Compromise" stanno diventando sempre più frequenti. Il motivo principale per cui questi attacchi hanno successo risiede nell'ingegnosità di chi li perpetra, non in espedienti tecnici. Chi compie questi attacchi segue solitamente una serie di passaggi per far sì che le proprie truffe vadano a buon fine:

1. Ricognizione: Gli autori degli attacchi effettuano ricerche sull’organizzazione bersaglio, raccogliendo nomi dei dirigenti, rapporti con i fornitori, progetti in corso e contatti del team finanziario da LinkedIn, dai siti web aziendali e da banche dati pubbliche.
2. Preparazione del dominio o dell'account: Registrano domini simili, falsificano i nomi visualizzati o compromettono una casella di posta legittima da utilizzare come veicolo di attacco.
3. Attacco di lancio: Inviare e-mail utilizzando domini contraffatti o simili e nomi di mittenti falsi.
4. Ingegneria sociale: Gli aggressori si spacciano per funzionari di fiducia, creando un senso di urgenza per sollecitare trasferimenti di denaro o la condivisione di dati.
5. Guadagni finanziari: La fase finale in cui si verificano furti finanziari o violazioni dei dati.
6. Insabbiamento: Gli autori degli attacchi potrebbero impostare regole nella posta in arrivo per eliminare le prove, reindirizzare le risposte o trasferire rapidamente i fondi per impedire il recupero.

Perché gli attacchi BEC sono così difficili da individuare?

Le e-mail BEC di solito non contengono malware. Non presentano allegati né link evidenti. Quello che fanno è sfruttare l’autorevolezza, l’urgenza e la fiducia per ingannarti. Ecco perché i filtri antispam non rilevano molto spesso le e-mail BEC. Le e-mail BEC sono insidiose. Ecco perché è davvero importante sapere chi sta inviando l’e-mail, per insegnare agli utenti a cosa prestare attenzione e disporre di un buon sistema per verificare se l’e-mail è autentica o meno. Le e-mail BEC sono subdole. 

Il BEC è in grado di aggirare i filtri di sicurezza convenzionali perché:

• Contenuto in testo semplice: molte e-mail di tipo BEC non contengono link, allegati o script dannosi, ma solo una richiesta dall'aspetto normale.
• Identità dei mittenti dall’aspetto legittimo: gli autori degli attacchi falsificano i nomi visualizzati, utilizzano domini simili o inviano messaggi da caselle di posta effettivamente compromesse.
• Linguaggio aziendale standard: le richieste sono formulate come procedure di routine, ad esempio approvazione delle fatture, aggiornamenti relativi alle buste paga, bonifici bancari, il che le rende difficili da distinguere dalle comunicazioni legittime.
• Rapporti di fiducia: gli autori degli attacchi effettuano ricerche preliminari sui propri bersagli, facendo riferimento a colleghi reali, fornitori o progetti in corso per apparire credibili.
• Account compromessi: quando un malintenzionato utilizza una casella di posta effettivamente compromessa, il messaggio supera tutti i controlli di autenticazione poiché proviene da una casella di posta reale e autorizzata.

Chi sono solitamente i bersagli degli attacchi BEC?

Gli attacchi BEC non si limitano alle grandi imprese. Qualsiasi organizzazione che invii o riceva pagamenti, gestisca le buste paga o intrattenga rapporti con i fornitori rappresenta un potenziale bersaglio. Anche le organizzazioni no profit sono esposte a rischi simili a causa di donazioni spam e attacchi di carding che compromettono la fiducia dei donatori e i sistemi di pagamento. Gli autori degli attacchi si concentrano sui ruoli che hanno l’autorità di trasferire denaro, approvare richieste o accedere a dati sensibili:

Tipi comuni di attacchi BEC

Secondo le linee guida dell’IC3 dell’FBI e della CISA, le categorie di BEC più diffuse e più dannose dal punto di vista finanziario che colpiscono oggi le aziende sono:

Due di questi aspetti sono facili da sottovalutare. La frode relativa alle fatture dei fornitori spesso rispecchia esattamente il modo in cui un vero fornitore invia una fattura, ed è proprio per questo che sfugge a una rapida verifica. Le truffe relative a viaggi e prenotazioni si basano sulla stessa fiducia: un’e-mail che fa riferimento a un brochure di viaggio o a una modifica dell’itinerario che sembra abbastanza normale da indurre un viaggiatore d’affari abituale a cliccarci sopra senza pensarci due volte.

Tecniche BEC comunemente utilizzate dagli autori degli attacchi

Ecco come vengono eseguiti tecnicamente gli attacchi BEC:

• Account e-mail o sito web contraffatto: L'autore dell'attacco falsifica un indirizzo e-mail o un sito web che sembra legittimo, a volte ricorrendo al typosquatting o a domini simili. Da questo account invia e-mail di phishing in cui richiede informazioni finanziarie o trasferimenti di fondi. DMARC, SPF e DKIM aiutano a impedire agli autori degli attacchi di falsificare direttamente il vostro dominio. Tuttavia, il BEC può anche coinvolgere account compromessi, domini simili o l’usurpazione del nome visualizzato; pertanto, l’autenticazione delle e-mail dovrebbe essere combinata con la formazione degli utenti, l’autenticazione a più fattori (MFA), la verifica dei fornitori e il monitoraggio delle minacce.
• Falsificazione del nome visualizzato: L'autore dell'attacco utilizza un nome visualizzato che sembra legittimo (ad esempio, "Nome del CEO"), ma invia l'e-mail da un dominio diverso. Spesso i destinatari vedono solo il nome visualizzato nella loro casella di posta, non l'indirizzo di provenienza effettivo.
• Dirottamento delle conversazioni via e-mail: Dopo aver compromesso un account, gli aggressori si inseriscono nelle conversazioni e-mail esistenti per conferire credibilità alle richieste fraudolente. I destinatari si fidano del messaggio perché sembra far parte di una conversazione autentica e in corso.
• E-mail di spear phishing: Le e-mail di spear phishing sono messaggi altamente mirati inviati direttamente a specifici dipendenti, spesso quelli del reparto finanziario o delle risorse umane. Sono camuffate da comunicazioni interne provenienti da qualcuno all’interno dell’azienda e contengono oggetti come “bonifico urgente” o “fattura urgente”.
• Utilizzo di malware: Gli autori degli attacchi possono installare software dannoso sul computer della vittima tramite link o allegati malevoli. Utilizzano il malware per registrare i tasti digitati, acquisire schermate o ottenere un accesso persistente al sistema.

Come prevenire la compromissione delle e-mail aziendali

Un attacco BEC andato a buon fine comporta rapidamente costi elevati, tra perdite dirette, costi di ripristino e il conseguente danno alla reputazione. Le misure di controllo riportate di seguito coprono tre aspetti: l’autenticazione tecnica, i processi e le persone.

1. Proteggere il proprio dominio con DMARC, SPF e DKIM

SPF, DKIM e DMARC sono gli strumenti fondamentali in questo contesto. SPF specifica quali server di posta possono inviare e-mail per conto del proprio dominio. DKIM aggiunge una firma digitale che consente ai destinatari di verificare che un messaggio non sia stato manomesso. DMARC si basa su entrambi, consentendo ai proprietari dei domini di impostare le modalità con cui i destinatari devono gestire le e-mail che non superano l’autenticazione, fornendo al contempo visibilità su chi sta effettivamente inviando messaggi per conto del dominio.

Per contrastare le truffe BEC basate sullo spoofing dei domini è necessario applicare il protocollo DMARC in modo rigoroso, non limitarsi al monitoraggio:

• p=none: Monitora il traffico senza influire sulla consegna. Nessuna protezione effettiva contro il BEC.
• p=quarantena: Invia le e-mail sospette alla cartella spam o posta indesiderata.
• p=rifiuta: Blocca immediatamente i messaggi che non superano l'autenticazione, rappresentando la protezione più efficace contro lo spoofing diretto del dominio.

Implementazione di DMARC significa pubblicare nel proprio DNS record SPF, DKIM e DMARC correttamente formattati. Questo impedisce efficacemente lo spoofing diretto del dominio, ma non rileva le caselle di posta compromesse né i domini simili, quindi è bene considerarlo come una misura di base, non completa.

Il vero lavoro non consiste nel pubblicare un record DMARC una sola volta. Consiste nel sapere quali servizi inviano messaggi per conto vostro, quali messaggi non vengono recapitati e quando è sicuro passare da p=none a enforcement. Il monitoraggio regolare tramite i report DMARC è ciò che rende effettivamente possibile tale valutazione, e piattaforme come PowerDMARC trasformano il codice XML grezzo in informazioni su cui un team può agire.

2. Protezioni anti-phishing

Utilizzate software anti-phishing e gateway di sicurezza e-mail che analizzano le e-mail in arrivo alla ricerca di link dannosi, allegati e segni di social engineering per bloccare le minacce prima che raggiungano gli utenti.

3. Separazione dei compiti e protocolli di pagamento

Assicurarsi che le funzioni critiche, in particolare le transazioni finanziarie come i bonifici bancari, non vengano svolte da una sola persona. Elaborare protocolli rigorosi per l’approvazione dei pagamenti, che prevedano autorizzazioni multiple e una conferma secondaria fuori canale (ad esempio, una telefonata o una verifica di persona) per le richieste, in particolare quelle urgenti o che comportano modifiche ai dettagli di pagamento.

4. Etichettatura delle e-mail esterne

Configurate il vostro sistema di posta elettronica per etichettare chiaramente le e-mail provenienti dall'esterno dell'organizzazione. Questo aiuta i dipendenti a identificare rapidamente i messaggi potenzialmente sospetti che cercano di spacciarsi per mittenti interni.

5. Esaminare attentamente gli indirizzi e-mail e i dettagli

Istruite i dipendenti a esaminare attentamente l'indirizzo e-mail del mittente per individuare eventuali differenze sottili, casi di "typosquatting" o domini simili. Verificate che l'indirizzo "rispondi a" corrisponda all'indirizzo "da". Diffidate delle e-mail che richiedono urgenza o riservatezza.

6. Educare i dipendenti

La migliore difesa contro gli attacchi BEC è la formazione e la sensibilizzazione dei dipendenti. I dipendenti devono comprendere la minaccia rappresentata dal BEC, come funziona, le tattiche più comuni (senso di urgenza, usurpazione di autorità) e in che modo possono diventare bersaglio di tali attacchi. È opportuno effettuare test simulati di phishing per valutare il livello di consapevolezza e incoraggiare i dipendenti a segnalare immediatamente le e-mail sospette senza timore di ritorsioni.

7. Abilitare l'autenticazione a più fattori (MFA)

Implementare l'autenticazione a più fattori (MFA) per tutti gli account di posta elettronica e gli altri sistemi critici. L'autenticazione a più fattori aggiunge un ulteriore livello di sicurezza oltre alla password, riducendo in modo significativo il rischio di compromissione dell'account anche in caso di furto delle credenziali.

8. Vietare l'inoltro automatico delle e-mail

Disattivare l'inoltro automatico delle e-mail a indirizzi esterni. Gli autori degli attacchi potrebbero sfruttare questa funzione per monitorare di nascosto le comunicazioni o reindirizzare informazioni sensibili dopo aver compromesso un account.

9. Implementare protocolli di sicurezza aggiuntivi

Valuta la possibilità di potenziare la sicurezza delle e-mail con:

• MTA-STS (Mail Transfer Agent Strict Transport Security): MTA-STS e TLS-RPT non impediscono gli attacchi di ingegneria sociale, ma contribuiscono a proteggere le e-mail legittime durante il transito e forniscono report sui problemi di consegna TLS. I servizi MTA-STS e TLS-RPT ospitati da PowerDMARC eliminano la necessità di gestire un server di policy HTTPS separato.
• BIMI (Brand Indicators for Message Identification): Il BIMI può aiutare i destinatari a riconoscere visivamente le email autenticate del marchio nelle caselle di posta supportate. Dovrebbe essere considerato come un livello di fiducia e visibilità, non come una difesa autonoma contro il BEC. Il BIMI richiede l’applicazione di DMARC. L’assistenza di PowerDMARC per BIMI e VMC semplifica l’implementazione nell’intero flusso di lavoro relativo ai certificati e all’hosting.
• Gestione dei record SPF: La gestione automatizzata degli SPF di PowerDMARC aiuta le organizzazioni a evitare il limite di 10 ricerche DNS per gli SPF man mano che aggiungono strumenti SaaS, piattaforme di marketing e mittenti di terze parti. Ciò riduce il lavoro manuale relativo al DNS e contribuisce a prevenire errori di consegna legati all'autenticazione.

10. Segnalazione di frode

Se sospettate di essere stati vittime di una truffa BEC, segnalatela immediatamente alle autorità competenti (come l’ IC3 dell'FBI negli Stati Uniti) e ai tuoi istituti finanziari. La segnalazione aiuta le forze dell’ordine a rintracciare questi reati e, potenzialmente, a recuperare i fondi.

In che modo PowerDMARC contribuisce a prevenire lo spoofing dei domini negli attacchi BEC

PowerDMARC riduce il rischio di BEC mostrando ai team di sicurezza chi sta effettivamente inviando e-mail per conto del loro dominio. Non è più necessario setacciare file XML grezzi: una dashboard centralizzata mette in evidenza in un unico posto i mittenti legittimi, gli errori di autenticazione e le fonti non autorizzate.

La piattaforma supporta DMARC, SPF, DKIM, BIMI, MTA-STSe TLS-RPT in un unico punto. Ciò consente alle organizzazioni di procedere in sicurezza verso l'applicazione di DMARC, evitando i limiti di ricerca SPF grazie alla gestione automatizzata di SPF, rafforzare la sicurezza a livello di trasporto con MTA-STS e TLS-RPT in hosting e migliorare la fiducia nel marchio con il supporto di BIMI e VMC.

Per le aziende e gli MSP che gestiscono più domini, PowerDMARC supporta anche il raggruppamento dei domini, l'accesso basato sui ruoli, il monitoraggio centralizzato e un'assistenza globale reattiva, aiutando i team a mantenere il controllo senza aumentare la complessità.

Inizia una prova gratuita di 15 giorni per colmare le lacune nell'autenticazione e impedire lo spoofing dei domini prima che ti costi caro.

Domande frequenti

Cosa significa l'acronimo BEC?

BEC è l'acronimo di Business Email Compromise, un attacco mirato di frode via e-mail in cui i criminali si spacciano per dirigenti, fornitori o partner commerciali di fiducia per indurre i dipendenti a trasferire denaro, condividere credenziali o fornire dati sensibili.

Qual è un esempio di attacco BEC?

Un caso comune: un malintenzionato falsifica l’indirizzo e-mail dell’amministratore delegato e invia un messaggio urgente al direttore finanziario, richiedendo un bonifico bancario riservato prima della chiusura degli uffici. Il messaggio arriva mentre il vero amministratore delegato è in viaggio, il che aumenta la pressione temporale e induce il direttore finanziario a bypassare la normale procedura di approvazione. In assenza di una fase di verifica separata, il direttore finanziario potrebbe finire per inviare il denaro direttamente al malintenzionato.

Qual è la differenza tra BEC e phishing?

Il phishing si rivolge solitamente a un pubblico ampio tramite link o allegati dannosi, con l'obiettivo di sottrarre credenziali o installare malware. Il BEC è invece più mirato: si concentra su figure specifiche all'interno di un'organizzazione, si avvale di tecniche di ingegneria sociale e di usurpazione d'identità anziché di malware, e mira a manipolare flussi di lavoro aziendali reali quali pagamenti, buste paga o richieste di dati. Poiché il BEC spesso non contiene alcun payload dannoso, i filtri tradizionali tendono a non rilevarlo.

Perché le e-mail BEC sono difficili da individuare?

In genere non contengono malware, link dannosi né allegati sospetti. Il linguaggio utilizzato rispecchia quello delle normali comunicazioni aziendali, fa riferimento a persone e progetti reali e spesso proviene da domini o nomi visualizzati che assomigliano molto a quelli di mittenti legittimi. Quando l’autore dell’attacco utilizza un account effettivamente compromesso, il messaggio supera tutti i controlli tecnici di autenticazione.

Il DMARC è in grado di bloccare tutti gli attacchi di tipo “Business Email Compromise”?

No. Il DMARC impedisce lo spoofing diretto dei domini, uno dei vettori più comuni del BEC, ma il BEC può anche coinvolgere account compromessi, domini simili e l’usurpazione del nome visualizzato, fenomeni che il DMARC da solo non è in grado di individuare. Per garantire una protezione efficace, è necessario abbinarlo all’autenticazione a più fattori (MFA), alla formazione dei dipendenti, alla verifica dei pagamenti e al monitoraggio continuo delle minacce.

Qual è la politica DMARC più efficace per la protezione dal BEC?

Una politica p=reject offre la massima protezione contro i mittenti non autorizzati che tentano di falsificare direttamente il proprio dominio. Le organizzazioni dovrebbero adottare questa politica in modo graduale: iniziare con p=none per monitorare il traffico, passare a p=quarantine e infine a p=reject, una volta che tutte le fonti di invio legittime siano state identificate e autenticate.

Cosa devo fare se ricevo un'e-mail che mi sembra essere una truffa BEC?

Non rispondere né dare seguito alla richiesta. Verifica la richiesta tramite un canale separato e affidabile, come un numero di telefono conosciuto. Segnala immediatamente l'e-mail al tuo team IT o di sicurezza e conserva il messaggio completo e le intestazioni come prova. Se il pagamento è già stato effettuato, contatta immediatamente la tua banca per cercare di bloccarlo.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• Protocolli SSL e TLS: qual è la differenza? - 13 agosto 2026
• Che cos’è la manipolazione degli URL (riscrittura degli URL)? Come gli hacker dirottano i link affidabili per nascondere le operazioni di phishing - 10 agosto 2026
• E-mail di avviso sulla sicurezza dell'account Microsoft: come riconoscere le truffe e proteggere il proprio dominio - 9 agosto 2026