Il fornitore ha modificato i dati bancari? Fermati

Se un fornitore invia dati bancari diversi, blocca il pagamento e l'aggiornamento dell'anagrafica fornitori. Fallo prima di chiedere spiegazioni. Un fornitore legittimo potrebbe cambiare banca o utilizzare una società di incasso documentata; un criminale potrebbe aver avuto accesso a una casella di posta reale e attendere una fattura autentica. Lo stesso blocco protegge in entrambe le situazioni mentre l'acquirente stabilisce cosa è cambiato e chi lo ha autorizzato.

Non confermare rispondendo alla stessa conversazione, chiamando un numero stampato sulla fattura rivista o accettando una firma familiare. Recupera i registri e i canali di contatto ritenuti affidabili dalla tua azienda prima dell'arrivo della richiesta. Tratta la modifica come un nuovo evento di approvazione, anche se il fornitore è storico e la spedizione è urgente.

I primi 30 minuti

Questa sequenza è progettata per la persona che nota per prima una modifica del beneficiario, del conto, del paese della banca o del percorso di pagamento. Non richiede una conclusione di frode. Il suo scopo è impedire che una segnalazione non verificata si trasformi in un bonifico irreversibile.

0-5 minuti: blocca entrambe le azioni

Metti il pagamento in attesa visibile nel sistema e blocca la corrispondente modifica nell'anagrafica fornitori. Se un bonifico è preparato nell'home banking, identifica il suo stato: bozza, approvato ma non rilasciato, inviato o completato. Notifica l'approvatore finale attraverso il canale controllato del team. Un messaggio di chat che dice "attendere" non è sufficiente se un altro revisore può ancora rilasciare il bonifico.

Assegna un breve riferimento all'incidente, ad esempio PAY-CHANGE-2026-0715-04. Registra l'ordine di acquisto, l'importo, la valuta, la data di scadenza, la persona che ha notato la modifica e l'ora esatta del blocco. Questo consente a finanza, acquisti, IT e direzione di discutere un unico evento senza inoltrare ripetutamente l'allegato sospetto.

5-10 minuti: preserva ciò che è arrivato

Salva il messaggio originale e l'allegato, non solo uno screenshot o una copia inoltrata. Preserva il mittente visibile, il mittente della busta o le intestazioni disponibili, il campo reply-to, i destinatari, l'ora e il fuso orario del messaggio, il nome del file allegato e l'hash del file ove appropriato, nonché il contesto del portale sicuro o della chat se l'istruzione non è arrivata via email. Conserva la fattura rivista esattamente come ricevuta.

Non modificare la casella di posta del fornitore, eliminare regole di inoltro o chiedere al mittente sospetto di spiegare dettagli tecnici prima che il responsabile IT o della sicurezza competente abbia valutato la conservazione delle prove. Limita la circolazione non necessaria di numeri di conto completi e dati personali. La copia per la finanza può utilizzare campi mascherati mentre i responder autorizzati conservano l'originale.

10-15 minuti: recupera l'ultimo file affidabile noto

Apri i record creati prima della modifica: l'anagrafica fornitori, il contratto firmato, l'ordine di acquisto, la precedente fattura saldata, la precedente approvazione del beneficiario, l'elenco dei contatti noti e la revisione di onboarding o di riordino. Non costruire la base di confronto partendo da un numero di telefono, carta intestata o biglietto da visita forniti nel messaggio modificato.

Copia il precedente beneficiario e il percorso bancario in un record di confronto. Se il fornitore non è mai stato pagato, utilizza il contratto approvato e le prove di onboarding, ma evidenzia l'assenza di una cronologia dei pagamenti. La guida ai campi del beneficiario bancario spiega quali campi relativi alle parti e alle banche sono distinti; non convalida la nuova istruzione.

15-25 minuti: chiama fuori dal canale modificato

Chiama un contatto del fornitore al numero archiviato prima della richiesta. Per un pagamento sostanziale, coinvolgi un secondo contatto noto o utilizza un canale video stabilito in precedenza. Indica la ragione sociale esatta del beneficiario, il paese della banca, la valuta e un riferimento mascherato del conto. Chiedi se l’azienda ha autorizzato ciascuna modifica, chi l’ha autorizzata, perché è necessaria e quando entra in vigore.

Le attuali linee guida dell’FBI sulla compromissione delle email aziendali (Business Email Compromise) raccomandano di utilizzare un canale secondario o un metodo a due fattori per le modifiche alle informazioni sul conto. Questa distinzione è importante perché l’istruzione modificata può provenire da un account legittimo. Un avviso della pubblica sicurezza cinese, che riporta l’avvertimento del Ministero della Pubblica Sicurezza sulle indagini penali, descrive allo stesso modo caselle di posta violate che inviano nomi di beneficiari e conti alterati, e raccomanda di confermare via telefono, fax o altro canale prima di effettuare il bonifico.

Una richiamata non è indipendente se il numero è stato fornito dalla nuova fattura. Non permettere al chiamante di eludere la verifica confermando solo le ultime quattro cifre che leggi ad alta voce; chiedi al contatto noto di descrivere la modifica con parole proprie e indirizza la risposta al responsabile finanziario autorizzato. Registra la fonte del numero, il chiamante, la controparte, l’ora, le domande, le risposte ed eventuale seconda conferma.

25-30 minuti: classifica e assegna i responsabili

Non rilasciare fondi solo perché la richiamata sembrava rassicurante. Classifica la richiesta come procedere, sospendere, rifiutare o incidente. Procedere richiede una conferma indipendente, un rapporto con il beneficiario verificato e una doppia approvazione. Sospendere significa che i fatti restano da chiarire. Rifiutare significa che il fornitore smentisce l’istruzione o le prove controllate non concordano con essa. Incidente significa che il denaro è stato inviato, un canale di comunicazione potrebbe essere compromesso o sono in corso azioni bancarie o di sicurezza.

Assegna i responsabili per quattro domande distinte: identità e rapporto con il fornitore, dati di pagamento precedenti rispetto a quelli nuovi, prove di comunicazione/sicurezza e autorità di approvazione del pagamento. Non si dovrebbe consentire a un unico addetto alle vendite di rispondere a tutte e quattro le domande.

Confronta l’intero percorso di pagamento

«Abbiamo cambiato banca» può nascondere diverse modifiche. Confronta i valori esatti e conserva la fonte di ciascun valore. Oscura i numeri di conto nelle note di lavoro generali secondo la policy, ma fai sì che il revisore abilitato confronti i valori completi.

La semplice corrispondenza del nome del beneficiario non è sufficiente. La filiale del Guangdong dell'Amministrazione statale cinese per gli scambi di valuta ha pubblicato un caso in cui un revisore bancario ha notato che il conto e l'indirizzo differivano dai dati registrati, sebbene il nome del destinatario apparisse corretto. Una conferma indipendente ha mostrato che nessuna modifica era stata autorizzata e il pagamento è stato bloccato. Il confronto campo per campo ha posto una domanda che un controllo basato solo sul nome non avrebbe rilevato.

Tre strutture richiedono prove diverse

Stessa entità legale, nuovo conto

Si tratta della modifica più circoscritta. Il fornitore registrato rimane il beneficiario, mentre cambiano la banca, la filiale, il conto in valuta o il numero di conto. Prima di aggiornare l’anagrafica, ottenere una conferma indipendente, un’istruzione scritta autorizzata, la data di efficacia e la motivazione, un confronto completo tra vecchio e nuovo e una doppia approvazione. Una denominazione registrata corrispondente aiuta a verificare l’identità, ma non dimostra la titolarità del conto.

Società correlata diversa o società di raccolta export

Un fornitore della Cina continentale può proporre una società affiliata di Hong Kong, una società commerciale, un esportatore o un soggetto incaricato della riscossione. Tale struttura può essere legittima, ma un marchio inglese condiviso o la dicitura «la nostra società del gruppo» non costituiscono documentazione sufficiente. Ottenere l’esatta identità legale dell’altra entità, il suo ruolo nella fattura e nella spedizione, le prove del rapporto, l’autorizzazione scritta alla riscossione e una risposta chiara su chi rimane responsabile per la consegna, i difetti, i rimborsi e l’esecuzione contrattuale.

Esaminare la struttura attraverso il flusso di lavoro per la verifica del beneficiario. Quando cambia anche l’emittente della fattura, l’analisi della mancata corrispondenza tra fattura e beneficiario deve mostrare tutte le parti coinvolte nella transazione. Potrebbe essere necessaria una revisione legale o di compliance; i soli dati societari non possono stabilire se il pagamento a un’altra entità soddisfi il contratto.

Società non correlata o conto personale

Un amico, un dipendente, un agente valutario, un riscossore temporaneo o un conto personale rappresentano un’eccezione sostanziale, non un aggiornamento amministrativo. Un piccolo pagamento di prova dimostra solo che il conto può ricevere denaro. Non prova il diritto al pagamento dell’ordine né conferisce all’acquirente un chiaro titolo per il recupero delle somme. Mantenere il trasferimento in sospeso e intraprendere le procedure di escalation secondo le norme finanziarie, legali, fiscali, sulle sanzioni e di compliance dell’acquirente.

Una verifica telefonica andata a buon fine non equivale all’approvazione definitiva del pagamento

Una verifica telefonica indipendente risponde a un quesito comunicativo: il contatto noto del fornitore intendeva richiedere queste istruzioni? Non determina se l’acquirente è autorizzato a seguirle. Un fornitore reale può proporre un accordo che confligge con il contratto firmato, crea un percorso di riscossione tramite terzi non documentato, modifica la fattura o il trattamento fiscale, oppure ricade al di fuori della politica interna dell’acquirente.

Mantenere separate nel fascicolo tre conclusioni. Autenticità della richiesta documenta chi ha confermato la richiesta e attraverso quale canale consolidato prima della modifica. Autorità del beneficiario documenta perché il beneficiario indicato ha diritto a riscuotere questa fattura e quali documenti attestano il rapporto. Accettabilità del pagamento documenta se sono soddisfatti i requisiti finanziari, legali, fiscali, sulle sanzioni, di compliance e contrattuali applicabili all’acquirente. La prima conclusione non può essere estesa alle altre due.

Se la verifica telefonica conferma una nuova società affiliata di Hong Kong, chiedere al contatto finanziario o dirigenziale autorizzato del fornitore di fornire i documenti sul rapporto e sulla riscossione attraverso un canale consolidato. Confrontare la risposta con il contratto, la fattura corrente, i documenti di spedizione e i registri societari. Se il chiamante dice «paga e basta; spiegheremo dopo», registrare la risposta e mantenere il blocco. L’urgenza modifica i tempi di escalation, non la soglia probatoria.

Quando non è possibile raggiungere il contatto noto, non sostituirlo con un numero appena fornito, un account sui social media o una seconda email dalla stessa casella di posta. Intraprendere le procedure di escalation interne, provare un altro contatto prestabilito e lasciare che il fornitore risolva il problema di comunicazione. Una partenza persa può essere commercialmente dolorosa; un trasferimento non verificato può far perdere sia il denaro sia la leva necessaria per risolvere la spedizione.

Caso studio: la casella di posta reale e l’ordine di acquisto reale

L’acquirente fittizio Westmere Controls deve saldare il 70% del saldo a Shenzhen Taoyun Motion Equipment Co., Ltd. L’ispezione è stata superata e la data di spedizione è imminente. La casella di posta reale del venditore abituale invia una fattura rettificata che indica Taoyun Global Trading Limited a Hong Kong. Il messaggio cita correttamente l’ordine di acquisto, l’importo, la data dell’ispezione e l’urgenza della spedizione.

1. Il reparto contabilità fornitori blocca il bonifico in sospeso e la modifica dell’anagrafica fornitori alle 09:12, quindi salva il messaggio originale e il PDF.
2. Il fascicolo precedente indica il produttore della Cina continentale come venditore contrattuale, emittente della fattura e beneficiario. Nel contratto non compare alcun soggetto incaricato della riscossione con sede a Hong Kong.
3. Il registro di confronto evidenzia quattro modifiche simultanee: beneficiario, paese della banca, conto ed emittente della fattura. Internamente, questo non viene classificato come un semplice aggiornamento bancario.
4. L’ufficio acquisti chiama il responsabile finanziario della fabbrica utilizzando il numero di ufficio registrato al momento dell’onboarding. Il responsabile dichiara che non è stata richiesta alcuna modifica e chiede all’IT di verificare la casella di posta.
5. L’IT individua una regola di inoltro automatica. L’ufficio finanziario classifica l’istruzione come rifiutata, mantiene il pagamento bloccato e accetta documentazione regolare solo attraverso canali noti, dopo che le parti hanno messo in sicurezza l’accesso.

La ricerca societaria non ha rilevato la compromissione della casella di posta. Il suo ruolo era mantenere Westmere ancorata al venditore legale mentre venivano riconvalidate le prove di comunicazione e pagamento. La chiamata di verifica indipendente ha impedito il trasferimento. Ecco perché il fascicolo probatorio del bonifico deve conservare sia i registri delle entità sia la fonte delle istruzioni di pagamento.

Redigere la decisione di sblocco o rifiuto

Una chiusura dovrebbe indicare l’ID dell’evento, il destinatario precedente e quello proposto, i campi modificati, la fonte del canale di contatto utilizzato prima della modifica, i partecipanti alla chiamata di verifica e l’orario, la conclusione sull’entità/relazione, le eccezioni irrisolte, la decisione e due approvatori. Evitare un’etichetta verde "verificato" che oscuri il percorso seguito.

Una nota di rilascio può recitare: "Richiesta ricevuta il 15 luglio; conto esatto, filiale e codice SWIFT modificati, mentre il beneficiario è rimasto il venditore registrato; il responsabile finanziario ha confermato la modifica durante una chiamata effettuata al numero archiviato il 3 marzo; istruzione firmata ricevuta tramite il portale consolidato; il secondo revisore ha confrontato tutti i valori; nessuna eccezione aperta; anagrafica fornitore efficace dal 16 luglio."

Una nota di rifiuto dovrebbe essere altrettanto esplicita: "Il responsabile finanziario del fornitore ha smentito l’istruzione proveniente da Hong Kong durante una chiamata in uscita al numero registrato all’onboarding; il pagamento rimane sospeso; l’allegato sospetto è stato conservato; l’anagrafica fornitore è invariata; sono stati attivati i contatti con l’IT e la banca nell’ambito dell’incidente PAY-CHANGE-2026-0715-04."

Se il bonifico è già stato inviato

Contattare immediatamente la banca ordinante attraverso il suo canale ufficiale per le frodi o i bonifici. Fornire il riferimento della transazione, l’importo, la valuta, l’ora di invio, il beneficiario, la banca ricevente e il motivo del sospetto di frode. Chiedere quali procedure di richiamo, storno, indennizzo, contatto con la banca ricevente o congelamento dei fondi siano disponibili. L’IC3 consiglia similmente alle vittime di contattare l’istituto finanziario ordinante non appena si riconosce la frode. Il recupero dei fondi non è garantito.

Conservare email, intestazioni, allegati, fatture, estratti conto bancari, note delle chiamate di verifica, log di accesso e il confronto tra i dati precedenti e quelli nuovi. Notificare il fornitore attraverso un canale noto, affinché entrambe le parti possano mettere in sicurezza gli account interessati senza distruggere le prove. Rispettare i requisiti applicabili di banche, assicuratori, forze dell’ordine, autorità di regolamentazione, consulenti legali e norme sulla privacy nelle giurisdizioni pertinenti.

L’ufficio estero del Ministero del Commercio cinese ha anche avvertito riguardo alla compromissione delle caselle di posta e alla modifica dei conti di raccolta contrattuali, raccomandando di utilizzare fax, telefono o un altro canale oltre all’e-mail per modifiche sostanziali ai fondi o ai conti. Non continuare a negoziare nello stesso filone di messaggi sospetto mentre i team bancari e di sicurezza cercano di contenere l’incidente.

Implementare il controllo prima della prossima modifica

• Archiviare il venditore registrato, la parte contrattuale, l’emittente della fattura, il beneficiario approvato, il percorso bancario e le fonti di contatto note in un’unica scheda fornitore controllata.
• Bloccare le modifiche via e-mail ai dati del beneficiario o del conto.
• Richiedere una chiamata di verifica in uscita a un numero verificato prima della modifica e una seconda approvazione per ogni modifica al percorso di pagamento.
• Far sì che il sistema conservi i valori precedenti e nuovi, il richiedente, il verificatore, l’approvatore, la marca temporale e la data di efficacia.
• Ricontrollare l’intera relazione aziendale e transazionale quando cambia un’entità legale, non solo i campi bancari.
• Includere qualsiasi normale collettore offshore o esportatore nel contratto e nel file di onboarding prima che compaia una fattura urgente.
• Effettuare una verifica per i riordini quando cambiano i contatti, la proprietà, le entità fatturanti o i percorsi di pagamento.

ChinaValidate può aiutare a verificare l’identità registrata, lo status, la denominazione sociale cinese, il codice USCC e il profilo dei registri pubblici di un’azienda della Cina continentale attraverso la ricerca aziendale. Non può autenticare un’e-mail, confermare l’interlocutore telefonico, provare la titolarità di un conto bancario o stabilire se un collettore sia autorizzato ai sensi di un contratto. Il pagamento può procedere solo quando queste separate catene di prove vengono completate.