Truffa dell'IBAN modificato: cosa fare se hai pagato e come evitarla

La truffa dell'IBAN modificato è una mail che sembra del tuo fornitore e indica coordinate bancarie nuove: paghi, e i soldi finiscono su un conto dei truffatori. Se hai già pagato, chiama subito la banca, chiedi il richiamo del bonifico e denuncia. Riavere i soldi non è sicuro: per questo un IBAN nuovo si conferma sempre al telefono.

In breve

• Un IBAN nuovo arrivato per mail si conferma sempre al telefono, a un numero che avevi già. Mai a quello scritto nella mail.
• Se il bonifico è partito, conta ogni ora: banca, richiamo del bonifico, denuncia, in quest'ordine.
• Nelle frodi sui bonifici del secondo semestre 2025, secondo la Banca d'Italia, il 92% delle perdite è rimasto al cliente.
• La verifica del beneficiario, in banca dal 9 ottobre 2025, non sostituisce la telefonata.

Cosa fare subito se hai già pagato

Se il bonifico verso l'IBAN modificato è già partito, questi sono i passi, nell'ordine. Il tempo conta più di tutto: chi riceve i soldi li sposta appena arrivano.

1. Chiama la tua banca adesso, al numero dell'app o del contratto. Di' che si tratta di una frode e chiedi il richiamo del bonifico (in banca lo chiamano anche recall). Fatti dare il numero della pratica e il codice del bonifico (CRO o TRN).
2. Chiedi conferma scritta della richiesta, con data e ora: servirà per reclamo e denuncia.
3. Non cancellare nulla: mail con l'IBAN falso, allegati, ricevuta del bonifico.
4. Avvisa il fornitore vero, al numero che avevi già. Non ha ricevuto i soldi, e la casella violata potrebbe essere la sua.
5. Denuncia alla Polizia Postale, in un suo ufficio o con la denuncia via web per i reati telematici dal sito della Polizia Postale. La segnalazione online non vale come denuncia.
6. Controlla la tua posta. Cambia la password, attiva la verifica in due passaggi e cerca regole che inoltrano o nascondono i messaggi. Se il truffatore era nella tua casella, può esserci ancora.
7. Fai un reclamo scritto alla banca se il richiamo non riesce o pensi che la banca abbia sbagliato. La banca ha 15 giorni lavorativi per rispondere; poi puoi rivolgerti all'Arbitro Bancario Finanziario, che costa 20 euro e non richiede un avvocato.

Il punto 6 è il lavoro che facciamo noi di Odryon a Roma e nel Lazio: per gli uffici che seguiamo, le urgenze che bloccano l'attività le prendiamo in carico entro 1 ora, dalle 9 alle 20, anche nel weekend.

Si può annullare un bonifico già fatto, e la banca rimborsa?

Un bonifico già ricevuto dalla banca non si può revocare da solo, e la banca di solito non rimborsa se l'IBAN gliel'hai dato tu. Per l'articolo 17 del decreto legislativo 11/2010, dopo che la banca ha ricevuto l'ordine la revoca è possibile solo d'accordo tra te e le banche coinvolte. Il bonifico istantaneo, ricorda la Banca d'Italia, una volta disposto è irrevocabile.

Per l'articolo 24 dello stesso decreto, se l'IBAN indicato è sbagliato, anche perché te l'ha dato un truffatore, la banca non risponde del pagamento finito al conto sbagliato. Deve però:

• fare sforzi ragionevoli per recuperare i fondi, con la collaborazione della banca che li ha ricevuti;
• se il recupero non riesce, darti su richiesta scritta le informazioni utili per agire contro chi li ha ricevuti.

Le spese del recupero possono essere a tuo carico, se il contratto lo prevede. Il richiamo è una richiesta, non un diritto: funziona solo se i soldi sono ancora sul conto di arrivo.

Lo mostra la decisione n. 9601 del 4 novembre 2025 dell'Arbitro Bancario Finanziario. A febbraio 2025 uno studio legale riceve dal suo commercialista due mail: alle 16.15 quella con l'IBAN giusto, alle 16.16 una con l'IBAN cambiato dai truffatori. Paga 5.301,25 euro. Il richiamo, chiesto una settimana dopo, viene respinto la mattina stessa: sul conto di arrivo i soldi non c'erano più. La banca del beneficiario consegna poi i dati dell'intestatario del conto, ma l'Arbitro non dà torto alle banche: il bonifico l'aveva disposto il cliente, e la truffa era avvenuta fuori dai loro sistemi.

Non è un'eccezione: nel rapporto della Banca d'Italia sul secondo semestre 2025, il 92% delle perdite nelle frodi sui bonifici è rimasto al cliente.

Come funziona la truffa dell'IBAN modificato, e come riconoscerla

La truffa dell'IBAN modificato è quella che la Polizia Postale chiama BEC (Business Email Compromise, la posta aziendale compromessa). Secondo la Polizia Postale, il truffatore si inserisce nella corrispondenza tra cliente e fornitore e cambia le coordinate bancarie del pagamento.

Di solito qualcuno entra in una casella, la tua o quella del fornitore, spesso con una password rubata, e legge in silenzio chi paga cosa. Al momento di una fattura vera manda una mail con un IBAN diverso, dalla casella vera o da un indirizzo quasi uguale.

Non serve essere grandi: nel caso deciso dall'Arbitro la fattura era una parcella da poco più di cinquemila euro. Nel secondo semestre 2025, sempre secondo la Banca d'Italia, l'importo medio di una frode su bonifico ordinario è stato di 5.509 euro.

Partendo da una casella vera, la mail falsa non ha quasi mai errori o link strani. I segnali sono altri:

La verifica del beneficiario della banca basta?

Dal 9 ottobre 2025 le banche dell'area euro controllano che IBAN e nome del beneficiario corrispondano prima che tu autorizzi il bonifico, ordinario o istantaneo. Lo prevede il regolamento europeo 2024/886, come spiega la Banca d'Italia. Gli esiti possibili: corrispondenza, corrispondenza parziale, mancata corrispondenza, verifica non possibile.

È un aiuto vero, con limiti precisi:

• la banca avvisa, ma non blocca: se confermi il bonifico dopo l'avviso, il regolamento esclude la sua responsabilità;
• imprese ed enti possono rinunciare alla verifica per i pagamenti multipli inviati in un unico pacchetto: se paghi i fornitori a distinta, chiedi alla banca se la rinuncia è attiva;
• il regolamento confronta l'IBAN con il nome che indichi tu. Con il nome del fornitore vero, il conto di un truffatore dovrebbe risultare non corrispondente; se invece copi dalla mail falsa anche un intestatario nuovo ("il conto è della nostra società collegata"), si controlla quel nome, non il tuo fornitore.

Il nome, quindi, prendilo dalla tua anagrafica fornitori, non dalla mail. E nessun controllo automatico ferma chi è convinto di pagare il fornitore giusto: per la Banca d'Italia, nel secondo semestre 2025 le frodi in cui è il cliente ingannato a disporre il pagamento valevano il 72% del valore dei bonifici fraudolenti.

La regola: un IBAN nuovo si verifica sempre al telefono

Un IBAN nuovo si conferma sempre con una telefonata a un numero che avevi già: in rubrica, sul contratto, sulle fatture vecchie. Mai al numero scritto nella mail che chiede il cambio, perché può essere del truffatore. Lo raccomanda anche la Polizia Postale.

La telefonata non costa niente, e un fornitore che ha cambiato banca davvero non si offende. Perché la regola regga anche quando chi paga di solito è in ferie, scrivila e falla conoscere:

• chi riceve un cambio di IBAN non paga finché non ha telefonato, e annota data, ora e con chi ha parlato;
• sopra una certa cifra, il pagamento lo autorizza una seconda persona;
• le coordinate dei fornitori abituali stanno in un elenco che si cambia solo dopo la verifica.

Il rischio è più documentato negli enti religiosi e nel non profit, dove a pagare è spesso un economo, un parroco o un volontario: ne parliamo nella pagina sull'informatica per enti religiosi e non profit. Il caso dell'Arbitro tocca invece gli studi professionali, dove le parcelle viaggiano ogni giorno per mail.

Come lo gestisce Odryon

Nessuno può promettere che una mail falsa non arriverà, e l'antivirus non basta a fermarla. Il problema torna se non si tocca la causa: password uguali ovunque, niente verifica in due passaggi, nessuno che guarda chi entra nelle caselle. Se chi fa i bonifici è anche chi legge le mail dei fornitori, e nessuno gli ha mai detto di telefonare prima di pagare, il rischio è lì.

Il tecnico a chiamata o il collega che ne capisce sistemano la casella dopo. Il punto non è scegliere tra un antispam e un altro: è sapere chi controlla le caselle prima, e cosa succede quando arriva un IBAN nuovo.

Noi di Odryon seguiamo uffici e studi di Roma e del Lazio senza un tecnico interno, con un referente unico per computer, posta e accessi. Password, dominio e account da amministratore restano intestati a te. Il primo passo è una chiamata gratuita di 20 minuti: guardiamo insieme chi controlla la posta e come partono i bonifici oggi.

Le indicazioni di questo articolo sono generali e non sono una consulenza legale. Se il bonifico è appena partito, prima di tutto chiama la tua banca; per le azioni di recupero verso chi ha ricevuto i soldi, senti un avvocato.

Domande frequenti

Come recuperare un bonifico finito all'IBAN sbagliato per una truffa?

Chiama subito la banca, chiedi il richiamo segnalando la frode e denuncia alla Polizia Postale. La banca deve tentare il recupero e, se non ci riesce, darti su richiesta scritta le informazioni per agire contro chi ha ricevuto i soldi.

La banca mi rimborsa se ho pagato un IBAN falso?

Di solito no, se il bonifico l'hai disposto tu: la banca esegue il pagamento sull'IBAN indicato e non ne risponde. È il caso della decisione ABF n. 9601/2025. Il rimborso è previsto se la banca non ha fatto correttamente la verifica del beneficiario e questo ha causato l'errore (regolamento UE 2024/886).

Come verificare il beneficiario di un IBAN?

La banca confronta l'IBAN con il nome che scrivi e ti mostra l'esito: usa il nome della tua anagrafica, non quello della mail, e non ignorare un avviso di mancata corrispondenza. Per un IBAN nuovo, però, la verifica che conta è la telefonata.

E se il fornitore ha cambiato IBAN davvero?

Succede. La telefonata serve proprio a distinguere il cambio vero da quello falso: chiama il numero che avevi già, fatti confermare l'IBAN cifra per cifra e annota chi te l'ha confermato.

Dove si denuncia la truffa del bonifico?

Alla Polizia Postale, in un suo ufficio o con la denuncia via web dei reati telematici su commissariatodips.it. La segnalazione online non sostituisce la denuncia. Porta mail, allegati e ricevuta del bonifico.