Truffa BEC e bonifico del dipendente: le prove

Il fenomeno delle frodi che colpiscono i flussi di pagamento aziendali attraverso l’inganno del personale interno è ormai uno dei rischi operativi più insidiosi per le imprese. La cosiddetta truffa BEC (Business Email Compromise) e le varianti di frode del falso fornitore o del falso vertice aziendale sfruttano un anello che nessun firewall protegge del tutto: la persona che materialmente dispone il bonifico. Come documentato da RPLT e da DB – Non solo Diritto Bancario, la giurisprudenza ha affrontato il caso di una dipendente che, ingannata da comunicazioni fraudolente, ha eseguito un pagamento verso conti riconducibili a terzi, con conseguente contestazione disciplinare e licenziamento per giusta causa ritenuto legittimo.

Il dato che interessa le aziende non è la singola vicenda, ma il principio operativo che ne discende: la frode esterna non esonera automaticamente il dipendente dalle proprie responsabilità, quando l’esecuzione dell’operazione avviene in violazione delle procedure interne, degli obblighi di diligenza e dei protocolli di verifica. È esattamente in questo spazio — tra frode esterna e negligenza interna — che si gioca sia la difesa dell’impresa sia la ricostruzione probatoria dei fatti.

Come funziona la truffa che passa dal dipendente

Lo schema è ricorrente e si presta a poche varianti. Un soggetto esterno, dopo aver studiato l’organizzazione (spesso attraverso informazioni pubblicamente disponibili o dati sottratti in precedenti intrusioni), invia comunicazioni apparentemente provenienti da un fornitore abituale o da un vertice aziendale, richiedendo un pagamento urgente, riservato o con coordinate bancarie modificate. Il messaggio è costruito per attivare l’obbedienza gerarchica e la fretta, disinnescando le verifiche ordinarie.

Le leve più sfruttate sono:

• Il cambio di IBAN comunicato via email da un finto fornitore, spesso con dominio quasi identico all’originale.
• L’urgenza e la riservatezza imposte in nome di un’operazione straordinaria (acquisizione, pagamento a un legale, saldo di una fattura in scadenza).
• L’autorità apparente di un dirigente che ordina il pagamento aggirando i normali passaggi autorizzativi.

Il risultato è che il denaro esce dai conti aziendali per volontà di un dipendente in buona fede, ma che ha saltato o non applicato le procedure di controllo. Da qui la doppia esposizione dell’impresa: la perdita economica e la necessità di stabilire responsabilità e prevenire il ripetersi dell’evento.

Perché il licenziamento può reggere (e quando no)

La giurisprudenza ha più volte confermato che l’inganno subìto non cancella la valutazione della condotta del lavoratore. Ciò che pesa è la violazione dei protocolli: l’aver disposto un pagamento rilevante senza la doppia verifica prevista, senza confermare telefonicamente il cambio di coordinate, senza rispettare i limiti di firma o i passaggi autorizzativi. In presenza di regole aziendali chiare, conosciute e vincolanti, la loro inosservanza può integrare un inadempimento grave.

Al contrario, la difesa del provvedimento si indebolisce quando l’azienda non è in grado di dimostrare che esistessero procedure formalizzate, che fossero state comunicate al dipendente e che fossero effettivamente esigibili nel contesto operativo. È per questo che, prima ancora della sanzione, conta la costruzione ordinata delle evidenze. Il tema si collega direttamente a quello delle frodi aziendali e alla necessità di un impianto documentale solido.

Cosa conta come prova utilizzabile

Nella ricostruzione di un episodio di frode informatica, l’impresa deve preoccuparsi non solo di capire cosa è accaduto, ma di raccogliere elementi che possano essere valorizzati in sede disciplinare, civile e penale. Gli elementi che tipicamente reggono un accertamento sono:

• Le comunicazioni fraudolente conservate integralmente (email complete di intestazioni tecniche, non semplici screenshot), utili a distinguere il dominio autentico da quello contraffatto.
• I log dei sistemi e le tracce di accesso, che permettono di ricostruire chi ha fatto cosa e quando, purché raccolti nel rispetto delle regole sui controlli.
• Le procedure interne vigenti e la prova della loro comunicazione al personale.
• La ricostruzione del flusso del pagamento e delle coordinate bancarie di destinazione.

Il punto delicato è che non tutto ciò che è tecnicamente possibile è anche giuridicamente utilizzabile. I controlli sui dipendenti incontrano limiti stringenti: la normativa sui controlli a distanza, gli obblighi di informativa, le regole sul trattamento dei dati e i principi di pertinenza e proporzionalità. Un’evidenza raccolta violando queste regole rischia di essere dichiarata inutilizzabile, con l’effetto paradossale di indebolire proprio la posizione dell’azienda vittima della frode.

Il ruolo dei controlli difensivi

La categoria dei cosiddetti controlli difensivi consente all’impresa di verificare condotte illecite già in atto o fondatamente sospettate, quando il controllo non è generalizzato e preventivo sulla prestazione lavorativa, ma è mirato alla tutela del patrimonio aziendale. La giurisprudenza ha più volte precisato che tali controlli sono legittimi se rispettano i confini della proporzionalità e non si traducono in una sorveglianza indiscriminata.

In questo ambito si inserisce l’apporto dell’investigazione aziendale professionale: non per sostituirsi ai sistemi informatici o agli organi di vigilanza, ma per condurre accertamenti mirati, documentare in modo ordinato le condotte rilevanti e verificare eventuali complicità interne o collegamenti con soggetti esterni. È un lavoro che affianca l’IT e la consulenza legale, e che si integra con le più ampie indagini aziendali e industriali.

Prevenzione: cosa dovrebbe fare ogni impresa

La difesa più efficace resta la prevenzione. Le misure che riducono drasticamente il rischio sono organizzative prima ancora che tecnologiche:

• Doppia verifica obbligatoria per ogni cambio di IBAN o pagamento sopra soglia, con conferma su canale diverso da quello che ha veicolato la richiesta.
• Separazione dei ruoli tra chi autorizza e chi esegue i pagamenti.
• Protocolli scritti, comunicati e periodicamente ribaditi al personale.
• Formazione mirata sul riconoscimento delle frodi via email e telefono.

Quando invece l’evento si è già verificato, la priorità è reagire con metodo: bloccare quanto possibile il flusso, preservare le evidenze senza alterarle, coinvolgere tempestivamente professionisti in grado di ricostruire l’accaduto. Anche in caso di sospetta collusione interna, il tema si intreccia con le indagini sul dipendente infedele e, nei casi più gravi, con lo spionaggio industriale quando la frode è agevolata dalla sottrazione di informazioni riservate.

Domande frequenti

Il dipendente ingannato è sempre responsabile?

No. La responsabilità dipende dalla condotta concreta: se ha violato procedure chiare e conosciute o ha omesso verifiche esigibili, la sua posizione si aggrava. Se invece non esistevano protocolli formalizzati e comunicati, la contestazione è più fragile.

Uno screenshot dell’email truffaldina basta come prova?

È utile ma spesso insufficiente. Servono le email complete di intestazioni tecniche, i log di sistema e la documentazione del flusso di pagamento, raccolti nel rispetto delle regole su privacy e controlli, per avere elementi realmente valorizzabili.

Un’agenzia investigativa può accedere ai sistemi informatici aziendali?

L’accertamento avviene sempre nel rispetto dei limiti di legge e in coordinamento con l’impresa e i suoi consulenti. L’investigazione mira a documentare condotte e collegamenti, non a effettuare controlli generalizzati e indiscriminati sui lavoratori.

Cosa sono i controlli difensivi?

Sono verifiche mirate alla tutela del patrimonio aziendale, ammesse quando riguardano condotte illecite già in atto o fondatamente sospettate e rispettano proporzionalità e pertinenza, senza trasformarsi in sorveglianza continua della prestazione.

Come si previene una truffa con cambio di IBAN?

Introducendo l’obbligo di conferma su un canale diverso e con un contatto già noto prima di modificare le coordinate di un fornitore, unito alla separazione dei ruoli tra chi autorizza e chi esegue i pagamenti.

Conviene denunciare anche se il denaro sembra irrecuperabile?

Sì. La denuncia, unita a una ricostruzione documentale ordinata, è spesso il presupposto per attivare i canali di recupero, per la tutela in sede civile e per dimostrare la diligenza dell’impresa nella gestione dell’evento.

Fonti (dove ci siamo documentati): RPLT e DB – Non solo Diritto Bancario.