Controlli antifrode per la modifica dei dati bancari nell'anagrafica fornitori: verifica delle modifiche ai dettagli bancari dei fornitori

Che cos'è la frode di modifica delle coordinate bancarie nell'anagrafica fornitori?

La frode di modifica delle coordinate bancarie nell'anagrafica fornitori induce un acquirente a sostituire il conto bancario di un fornitore reale con uno controllato dal truffatore. In un annuncio dell'FBI del 4 maggio 2017, attingendo alle segnalazioni fino al 2016, l'IC3 ha riportato casi in cui una richiesta apparentemente contraffatta ha modificato la posizione di rimessa di un fornitore, reindirizzando tutti i pagamenti delle fatture in arrivo. Secondo l'annuncio dell'FBI del 14 giugno 2016, tali richieste arrivano per telefono, fax o email e somigliano molto a quelle autentiche.

Questa guida tratta le modifiche ai record di fornitori esistenti. La raccolta dei dati bancari da un nuovo fornitore è trattata nella guida basata sul rischio per l'onboarding dei fornitori, e il percorso di pagamento che alimenta è descritto nella guida all'architettura procure-to-pay.

Quali lacune procedurali sfrutta questa frode?

In base al rapporto di sondaggio 2026 di AFP, che raccoglie le risposte di 465 professionisti della tesoreria relative al 2025, i truffatori si sono spacciati prevalentemente per fornitori o dirigenti per ottenere la modifica delle istruzioni di pagamento. Secondo lo stesso rapporto, due intervistati anonimi evidenziano la lacuna: è stato inserito un nuovo conto bancario per un fornitore chiave prima che la tesoreria lo confermasse, e in un altro caso qualcuno che si spacciava per un cliente ha inviato nuovi dettagli e la contabilità fornitori ha telefonato al numero indicato in quell'email.

In un articolo di AFP di maggio 2026 sugli scenari di frode degli intervistati, diversi incidenti hanno coinvolto team che hanno saltato la chiamata di verifica o accettato la conferma via email, a volte nella stessa discussione da cui proveniva la richiesta.

In un rapporto di sondaggio AFP del 2024 sui professionisti della tesoreria, relativo al 2023, gli autori notano che un pagamento può provenire da un dipendente compromesso che modifica i dati bancari del fornitore senza una valida convalida nel processo anagrafico fornitori, e un intervistato ha segnalato credenziali di accesso sottratte e utilizzate per tentare di modificare i dati bancari.

In che modo una chiamata di callback dovrebbe confermare una modifica dei dati bancari?

Secondo l'annuncio 2016 dell'FBI, le aziende dovrebbero configurare un canale telefonico all'inizio del rapporto e al di fuori della posta elettronica, utilizzando numeri precedentemente noti e non quelli indicati nella richiesta. In base al rapporto di sondaggio 2026 di AFP, il 94% delle organizzazioni rispondenti ha dichiarato di verificare le richieste di trasferimento di fondi con una chiamata a un contatto autorizzato del beneficiario utilizzando un numero tratto dai registri ufficiali, e il 63% di tali utenti lo ha giudicato molto efficace, secondo un'autovalutazione.

Secondo l'articolo di AFP di maggio 2026 sugli scenari di frode, un tentativo che prevedeva l'uso delle coordinate bancarie alterate di un cliente ha superato una verifica telefonica prima che alcune incongruenze lo smascherassero, una casella di posta di un fornitore compromessa ha inviato documenti che sembravano validi e un chiamante che si spacciava per una banca ha usato il vero numero di quell'istituto.

Secondo questa guida, la chiamata dovrebbe essere in uscita, verso un numero tratto dai registri del compratore stabilito all'inizio del rapporto o verificato l'ultima volta prima della richiesta e rimasto invariato da allora, effettuata da qualcuno che non ha ricevuto la richiesta e registrata. Sempre secondo questa guida, lettere ed estratti conto che mostrano il nuovo conto supportano il fascicolo ma non dimostrano chi lo abbia richiesto.

In un annuncio dell'FBI di maggio 2017, l'FBI rileva che la richiesta improvvisa da parte di un contatto aziendale di essere contattato a un indirizzo email personale potrebbe essere fraudolenta. Secondo questa guida, una modifica ai numeri di telefono, agli indirizzi email o ai contatti designati di un fornitore richiede la stessa procedura di blocco, richiamata a un contatto precedentemente verificato, approvazione e registrazione prevista per una modifica bancaria, poiché chiunque sostituisca il contatto registrato risponderà alla chiamata successiva.

Chi dovrebbe ricevere, verificare, approvare e rilasciare una modifica?

In un modello di separazione dei compiti del 2014 sottoposto a revisione paritaria, letto per questa guida solo in forma di estratto, Kevin Kobelsky definisce la separazione delle mansioni come l'assegnazione del lavoro in modo tale che nessuna singola persona possa sia commettere che occultare un errore o una frode, e il suo modello tratta la concessione e l'approvazione dell'accesso al sistema come mansioni separate. Secondo lo stesso abstract, il modello richiede almeno tre persone per la separazione primaria nel lavoro supportato da IT e cinque per la separazione secondaria; secondo questa guida, le piccole sedi necessitano pertanto di una revisione compensativa.

In una sintesi del framework COSO a cura di Deloitte, la separazione delle mansioni fa tipicamente parte del modo in cui vengono scelte le attività di controllo e il management seleziona controlli alternativi laddove la separazione non sia pratica. Secondo lo stesso sommario, la separazione dell'inserimento dei dati dall'autorizzazione riduce il rischio solo se le persone coinvolte non sono in collusione.

In una guida dell'FBI del 2016 sui cambiamenti di ubicazione dei pagamenti, l'FBI rileva che una seconda approvazione da parte del personale aziendale può fungere da secondo fattore. Secondo questa guida, il destinatario, il verificatore, l'approvatore e l'addetto al rilascio dei pagamenti dovrebbero essere quattro persone diverse, e il modo in cui questi ruoli si intersecano tra i sistemi è illustrato nella guida ai controlli del ciclo passivo.

Secondo questa guida, un acquirente multi-sito necessita di un unico punto di ricezione centrale: chiunque riceva una richiesta presso una sede o in una casella di posta AP la inoltra inalterata e non la digita né vi risponde mai. Una singola verifica per fornitore copre quindi ogni record ERP e di codice aziendale, e le modifiche a portali, hub di dati anagrafici, interfacce e caricamenti massivi ricevono la stessa sospensione e richiamata.

Come dovrebbero essere gestite le richieste di modifica urgenti?

In base al rapporto di sondaggio 2026 di AFP, gli autori consigliano politiche chiare sui tempi medi di pagamento standard, poiché disporre di più tempo prima del pagamento può aiutare a prevenire le frodi, nonché un attento esame dei pagamenti immediati o di emergenza. Secondo l'annuncio 2017 dell'FBI, le richieste di segretezza o di azione rapida sono segnali di allarme e alcune banche hanno riferito di trattenere le richieste di bonifico internazionale più a lungo per controllarle.

Dal punto di vista di questa guida, l'urgenza dovrebbe allungare il percorso: nulla viene pagato al nuovo conto finché non vengono completati la richiamata e l'approvazione, e l'urgenza attiva una seconda chiamata a un altro contatto registrato. Sempre secondo questa guida, le fatture in scadenza nel frattempo attendono o vengono indirizzate al conto già verificato una volta che il contatto verificato del fornitore conferma che è ancora attivo; nessuna fonte esaminata stabilisce un periodo di blocco.

Cosa può mostrare la convalida automatica del conto bancario?

Secondo la pagina di convalida dei conti di Nacha, letta il 14 novembre 2026, la convalida è definita una best practice per chiunque invii pagamenti. Secondo la stessa pagina Nacha, la norma che lo richiede, in vigore dal 19 marzo 2021, riguarda i dati dei conti dei consumatori al primo utilizzo per gli addebiti diretti online; in tale ambito, secondo l'interpretazione di questa guida, non si applica al nuovo conto di un fornitore. Secondo l'approccio neutrale rispetto al metodo di tale regola, le opzioni includono prenotifiche, micro-versamenti e servizi commerciali che utilizzano dati aggregati o credenziali di online banking.

Dal punto di vista di questa guida, un risultato di convalida non mostra chi ha richiesto la modifica, quindi non può sostituire la chiamata di riscontro (callback); archivialo come un ulteriore record.

Come si dovrebbero gestire i record di fornitori inattivi e duplicati?

Nessuna fonte ufficiale o di ricerca esaminata copre i record dormienti o duplicati, quindi questa sezione è frutto dell'analisi autonoma della guida. Bloccare i record senza pagamenti per un periodo stabilito dall'acquirente, in modo che la riattivazione richieda la stessa verifica di una modifica bancaria, e unire o bloccare i duplicati che riportano coordinate bancarie differenti una volta che un proprietario designato confermi quella corretta. Eseguire questi controlli secondo una pianificazione regolare come parte della governance del ciclo di vita dei fornitori dopo l'onboarding.

Cosa deve dimostrare il registro delle modifiche a un revisore?

Secondo la sintesi COSO di Deloitte, le politiche di controllo dovrebbero essere documentate, valutate regolarmente e riesaminate quando sorge una specifica necessità, e l'IT dovrebbe essere configurato per limitare l'accesso e supportare la separazione dei compiti. Secondo questa guida, il registro delle modifiche è la documentazione che un acquirente dovrebbe essere in grado di mostrare a un revisore; il protocollo sottostante elenca ciò che ogni fase lascia dietro di sé.

Cosa dovrebbe accadere se un conto modificato si rivela fraudolento?

Secondo la pagina BEC dell'IC3, letta il 14 novembre 2026, l'FBI consiglia di chiedere immediatamente alla banca di origine un richiamo o uno storno e una lettera di manleva o indennizzo, e di presentare un reclamo dettagliato all'IC3. Secondo questa guida, la tesoreria effettua tale chiamata alla banca; l'ufficio acquisti blocca il fornitore per i pagamenti in ogni ERP, lo rimuove dai cicli di pagamento in sospeso, telefona al vero fornitore al suo contatto verificato e conserva le prove per finanza, sicurezza e ufficio legale, che si occupano del recupero e di qualsiasi posizione legale.

In che modo gli agenti AI modificheranno la verifica dei cambi di coordinate bancarie?