Risposta breve
Nella truffa del CEO i criminali si spacciano per un dirigente, un avvocato o un partner commerciale e inducono i collaboratori a effettuare un pagamento facendo leva su autorità, urgenza o segretezza. Che un’assicurazione copra la perdita finanziaria diretta non dipende dalla parola «cyber», ma dall’evento assicurato: l’analisi forense IT dopo la compromissione di un account e-mail può rientrare in una copertura cyber; l’importo bonificato rientra spesso piuttosto nell’ambito crime, abusi di fiducia o di un modulo di social engineering espressamente pattuito.
Una promessa generale di copertura sarebbe sbagliata. I prodotti cyber, crime e contro gli abusi di fiducia sono delimitati in modo diverso. Esaminate insieme polizza, condizioni, appendici, sottolimiti e requisiti di autenticazione.
Perché la truffa del CEO è un rischio dei processi aziendali
Nel gennaio 2026 l’UFCS ha comunicato che i casi di truffa del CEO segnalatigli erano aumentati da 719 nel 2024 a 971 nel 2025. Gli autori non usano solo e-mail falsificate, ma anche WhatsApp, telefono, stili di scrittura imitati e voci deepfake.
Segnali d’allarme tipici:
- urgenza insolita o stretta riservatezza;
- richiesta di aggirare eccezionalmente il normale processo di autorizzazione;
- nuova relazione bancaria o pagamento all’estero;
- presunto avvocato o consulente come autorità aggiuntiva;
- dominio del mittente con piccole inversioni di lettere;
- richiesta di saldo del conto, carte regalo o pagamento immediato;
- numero di richiamata o link video presenti solo nel messaggio sospetto.
La protezione decisiva non è un singolo filtro antispam. È un processo di pagamento che nemmeno la direzione può sospendere su semplice richiesta.
Denaro già bonificato: agire subito
- Chiamare subito la banca. Usate un numero noto, chiedete il richiamo o il blocco del pagamento e documentate riferimento, conto del beneficiario e interlocutore.
- Bloccare altri pagamenti. Informate le persone autorizzate ai pagamenti e mettete in sicurezza gli account coinvolti senza cancellare prove.
- Coinvolgere polizia e UFCS. In caso di danno finanziario l’UFCS raccomanda una denuncia penale alla polizia locale; la segnalazione all’UFCS supporta la valutazione della situazione.
- Conservare le prove. Conservare messaggi originali, intestazioni, allegati, cronologie delle chat, numeri di telefono, autorizzazioni, ricevute di pagamento e marcature temporali.
- Verificare gli account. In caso di possibile compromissione della posta, esaminare in modo forense sessioni, regole di inoltro, MFA, cambi di password e altre caselle coinvolte.
- Notificare tutti gli assicuratori potenzialmente interessati. Informare le polizze cyber, abusi di fiducia/crime e altre polizze coinvolte secondo i rispettivi canali di notifica; non dare per scontata alcuna competenza.
Il piano d’emergenza cyber generale aiuta a documentare in modo coerente ruoli, tempi e decisioni.
Cyber o crime/abusi di fiducia?
| Danno o prestazione | La cyberassicurazione può essere rilevante | Crime/abusi di fiducia può essere rilevante | Da verificare in modo decisivo |
|---|---|---|---|
| account e-mail compromesso | analisi forense, bonifica e ripristino, se l’evento è assicurato | non è il nucleo tipico | definizione dell’evento cyber, fornitori e franchigia |
| bonifico errato diretto dopo un inganno | solo con inclusione espressa di frode cyber/social engineering | spesso l’ambito di copertura più vicino, se l’inganno esterno è coperto | tipo di inganno, persona che agisce, autenticazione e sottolimite |
| IBAN del fornitore manipolato | secondo il modulo opzionale contro le frodi | secondo la definizione di frode/social engineering | obblighi di richiamata e autorizzazione, modifica dei dati anagrafici |
| appropriazione indebita da parte di collaboratori | non è il nucleo cyber tipico | classico possibile abuso di fiducia, se assicurato | persone di fiducia assicurate, periodo di scoperta e prova |
| fuga di dati personali o aziendali | incident response, protezione dei dati, responsabilità civile e comunicazione, se assicurati | solo con un’estensione adeguata | causa, dati coinvolti, responsabilità civile ed esclusioni |
| recupero bancario, spese d’indagine e legali | secondo il modulo assistance/legale | secondo le spese di accertamento del danno e di azione legale | autorizzazione dei costi, fornitori, sottolimite |
«Può essere rilevante» non è una promessa. Un prodotto può includere il social engineering, escluderlo o coprirlo solo tramite un’appendice con un proprio limite. Alcune condizioni richiedono passi di controllo definiti. Se una conferma tramite richiamata o una firma collettiva pattuita è stata aggirata, ciò può influire sulla prestazione.
L’Associazione Svizzera d’Assicurazioni sottolinea che i prodotti cyber sono strutturati in modo diverso. Un esempio concreto del mercato svizzero è l’assicurazione contro gli abusi di fiducia separata di AXA, che descrive i danni da social engineering. Da ciò non si possono trarre conclusioni su altri offerenti o sul proprio contratto.
Matrice di controllo CFO contro il social engineering
I controlli più efficaci sono semplici, dimostrabili e valgono senza eccezioni. Adattate soglie e ruoli alla vostra impresa.
| Situazione di rischio | Controllo vincolante | Responsabile | Prova |
|---|---|---|---|
| IBAN nuovo o modificato | conferma tramite richiamata a un numero già noto; autorizzare separatamente modifica e pagamento | dati anagrafici + creditori | nota di richiamata e log di autorizzazione |
| pagamento urgente o riservato | nessuna procedura speciale; autorizzazione a quattro occhi e richiamata al committente | CFO + seconda persona autorizzata | due autorizzazioni tecniche |
| istruzione del CEO/CdA | stessi limiti e controlli validi per tutti gli altri | CFO/presidenza del CdA | policy documentata senza eccezioni |
| pagamento all’estero o beneficiario insolito | soglia di escalation definita e verifica di plausibilità indipendente | tesoreria/CFO | lista di controllo e approvazione |
| fattura con nuovi dati di pagamento | confronto con contratto/ordine; contattare il fornitore tramite un canale noto | acquisti + creditori | record anagrafico verificato |
| incarico per e-mail, chat, telefono o video | verificare l’identità tramite un secondo canale noto | persona ricevente | annotazione di richiamata/conferma |
| dirigente non raggiungibile | ricorrere al sostituto designato; non saltare mai il controllo | linea gerarchica | autorizzazione del sostituto |
| e-mail esterna che sembra interna | contrassegnare i mittenti esterni; verificare dominio e reply-to | IT + persona ricevente | regola del gateway e-mail/annotazione di verifica |
| nuovo membro del team finanze | esercitare le regole di pagamento e lo scenario di truffa del CEO durante l’onboarding | CFO + HR | attestato di formazione |
| sospetto o tentativo fallito | bloccare il pagamento, segnalare internamente, salvare gli indicatori e valutare una segnalazione all’UFCS | tutti + security | numero dell’incidente e registro |
Tre regole valide per ogni riga
- Secondo canale: non usare mai per la conferma il numero di telefono, l’indirizzo o il link del messaggio sospetto.
- Quattro occhi: la seconda persona verifica contenuto e beneficiario in modo indipendente; un semplice clic di conferma non è un controllo.
- Nessuna eccezione per il capo: urgenza e gerarchia aumentano la verifica, non la sospendono.
Ciò corrisponde alle attuali raccomandazioni dell’UFCS su principio dei quattro occhi, verifica separata, processi senza eccezioni e contrassegno delle e-mail esterne.
Cosa inserire nel confronto assicurativo
Non accontentatevi di far confermare la truffa del CEO con la domanda «social engineering incluso?». Descrivete scenari concreti e chiedete un’attribuzione scritta:
- e-mail falsa del CEO senza account violato;
- account Microsoft 365 o Google Workspace reale e compromesso;
- chiamata deepfake o messaggio WhatsApp;
- fattura del fornitore manipolata o nuovo IBAN;
- appropriazione indebita interna da parte di una persona dipendente;
- bonifico nonostante il rispetto del principio dei quattro occhi;
- bonifico in violazione di un passo di controllo pattuito;
- costi per recupero bancario, analisi forense, consulenza legale e comunicazione.
Confrontate per ogni scenario definizione dell’evento, persone assicurate, limite complessivo, sottolimite, franchigia, copertura retroattiva, periodo di scoperta, requisiti di sicurezza e autorizzazione dei costi. Il confronto tra polizze mostra come esaminare insieme più rami.
Domande frequenti
La truffa del CEO è sempre un attacco informatico?
No. Una frode può basarsi solo sull’inganno e su un processo di pagamento intatto, senza che un account IT sia stato tecnicamente compromesso. Viceversa, il Business Email Compromise può comportare un account realmente violato e quindi anche un cyberincidente.
Una cyberassicurazione copre l’importo bonificato?
Non automaticamente. Le perdite patrimoniali dirette dovute a un inganno richiedono spesso un modulo espresso contro le frodi o il social engineering e possono essere soggette a un sottolimite proprio o a requisiti di controllo.
Basta una richiamata telefonica?
Solo se il numero proviene da una fonte indipendente e già nota e la persona che conferma verifica l’incarico concreto. Una chiamata al numero indicato nel messaggio sospetto conferma solo l’aggressore.
Cosa conta di più: tecnologia o formazione?
Entrambe aiutano, ma il processo di autorizzazione vincolante è l’ultima barriera finanziaria. Contrassegno delle e-mail, MFA e filtri aiutano; l’autorizzazione a quattro occhi e la conferma indipendente impediscono che un messaggio convincente porti da solo a un pagamento.
Fonti ufficiali e primarie
- UFCS: Truffa del CEO – caratteristiche, misure immediate e preventive
- UFCS: «Versamento urgente» – la truffa del CEO per le PMI, 27 gennaio 2026
- Associazione Svizzera d’Assicurazioni: prestazioni delle cyberassicurazioni e differenze tra prodotti
- AXA Svizzera: esempio di mercato, assicurazione contro gli abusi di fiducia con social engineering
Contenuto verificato il 18 luglio 2026. I rami citati sono un orientamento, non una promessa di copertura. Determinanti sono il caso specifico e la documentazione contrattuale completa e aggiornata.