Frode informatica: tipologie, reati e tutele per le aziende

La frode informatica è il reato disciplinato dall’articolo 640-ter del Codice Penale italiano, che punisce chi altera il funzionamento di un sistema informatico o telematico, o interviene senza diritto su dati e programmi, per ottenere un ingiusto profitto a danno di terzi. In ambito aziendale rappresenta una delle minacce a maggiore impatto economico, perché colpisce direttamente i flussi di pagamento e le anagrafiche fornitori, con valori unitari per singolo episodio che possono raggiungere centinaia di migliaia di euro. Secondo il Rapporto Clusit 2025, l’Italia ha registrato 357 incidenti cyber gravi nel 2024, in crescita del 15,2% sul 2023, con il cybercrime a fini di profitto pari a circa l’80% del totale (fonte: Clusit, marzo 2025). I dati della Polizia Postale per il primo semestre 2025 indicano somme sottratte tramite truffe online per 109 milioni di euro, in aumento dell’88% rispetto allo stesso periodo di due anni prima (fonte: Polizia di Stato, 2025).

In breve:

La frode informatica consiste nell’alterazione del funzionamento di un sistema informatico o telematico, oppure nell’intervento non autorizzato su dati, informazioni o programmi, finalizzato a ottenere un ingiusto profitto con danno per altri. La definizione deriva direttamente dall’articolo 640-ter del Codice Penale e copre un insieme molto ampio di condotte: dall amanipolazione di sistemi di pagamento online alla modifica fraudolenta di dati contabili, fino all’utilizzo di identità digitali altrui per autorizzare transazioni.
In contesto aziendale, le frodi informatiche si concentrano sui processi più critici per il flusso di cassa: emissione di bonifici, gestione delle anagrafiche fornitori, accesso ai sistemi ERP e TMS. La caratteristica comune è lo sfruttamento di una vulnerabilità tecnica o procedurale per dirottare denaro o informazioni verso destinazioni non autorizzate, spesso simulando la legittimità della transazione fino al momento del pagamento.

Il reato di frode informatica è punito con la reclusione da sei mesi a tre anni e con la multa da 51 a 1.032 euro nella fattispecie base. La pena sale da uno a cinque anni di reclusione e fino a 1.549 euro di multa in presenza di circostanze aggravanti, tra cui l’abuso della qualità di operatore del sistema e i fatti che producono il trasferimento di denaro, valore monetario o valuta virtuale (fonte: Codice Penale, articolo 640-ter). Una terza fattispecie aggravata, da due a sei anni di reclusione, si configura quando la frode è commessa con furto o indebito utilizzo dell’identità digitale ai danni di uno o più soggetti. Il delitto è punibile a querela della persona offesa, salvo quando ricorrono le aggravanti del secondo e terzo comma o specifiche condizioni di vulnerabilità del soggetto leso: in tali casi si procede d’ufficio. Per le aziende, l’eventuale commissione di reati informatici nel proprio interesse può anche attivare la responsabilità amministrativa ex D.lgs. 231/2001.

La differenza principale tra frode tradizionale (truffa, articolo 640 c.p.) e frode informatica (articolo 640-ter c.p.) risiede nel destinatario dell’inganno. Nella truffa, l’autore induce in errore una persona fisica con artifici o raggiri, ottenendone l’atto dispositivo. Nella frode informatica,l’alterazione colpisce direttamente un sistema informatico o telematico: l’inganno non passa per una mente umana ma per la manipolazione di un processo automatizzato.
Questa distinzione ha conseguenze pratiche rilevanti. La truffa richiede che la vittima compia un atto dispositivo indotto dall’inganno. La frode informatica si consuma anche senza un’azione cosciente del soggetto leso, perché il sistema esegue l’operazione in automatico sulla base di dati alterati. Le due fattispecie possono concorrere, per esempio quando l’inganno verso un operatore (truffa) è funzionale all’accesso non autorizzato al sistema (frode informatica).

I principali tipi di frodi informatiche che colpiscono i flussi B2B sono quattro: CEO fraud, business email compromise (BEC), sostituzione di IBAN in fattura e phishing mirato, a cui si aggiungono le frodi tramite furto di identità digitale potenziate da deepfake. Tutte sfruttano un mix di compromissione tecnica (intrusione nelle caselle email, manipolazione di documenti) e social engineering verso le funzioni finanziarie.

Il frodatore impersona un dirigente apicale, in genere il CEO o il CFO, e invia richieste urgenti di bonifico a un addetto della tesoreria, simulando’un operazione riservata (acquisizione, pagamento d’emergenza, regolarizzazione fiscale). La BEC è una variante più ampia che colpisce anche fornitori e partner, sfruttando email compromesse o spoofing del dominio. Il punto critico è la combinazione tra pressione gerarchica e bypass delle procedure di autorizzazione standard.

Un fornitore reale invia una fattura autentica. A seguito di un’intrusione sulla casella email del mittente o del destinatario, l’IBAN viene modificato prima dell’arrivo in contabilità. Il pagamento risulta tecnicamente valido ma viene incassato dal frodatore. Senza una verifica e un controllo dell’intestatario, l’azienda scopre la frode solo al sollecito di pagamento del fornitore legittimo, con tempi di recupero in genere parziali.

Il phishing classico veicola messaggi fraudolenti su larga scala per sottrarre credenziali. Lo spear phishing è la versione mirata, costruita con informazioni specifiche sull’azienda e sulle persone, e ha tassi di successo significativamente più alti. Nei flussi B2B viene usato come vettore iniziale per compromettere account email che servono poi a lanciare CEO fraud o BEC.

L’aggravante del furto di identità digitale prevista dall’articolo 640-ter terzo comma riflette una tendenza in crescita: secondo i dati della Polizia Postale per il primo semestre 2025, le frodi d’investimento potenziate da deepfake di personaggi noti e lo spoofing di numeri di telefono o mittenti fidati sono in netto aumento (fonte: Polizia di Stato, 2025). In ambito B2B, deepfake audio e video sono già stati usati per autorizzare bonifici falsi simulando la voce o il volto di dirigenti.

Una frode informatica in ambito aziendale segue tipicamente quattro fasi: ricognizione (raccolta di informazioni su organigramma, fornitori e processi), compromissione iniziale (intrusione su una casella email o un sistema), preparazione (manipolazione di documenti o impersonificazione di un soggetto autorizzato), esecuzione (invio dell’ordine di pagamento o della richiesta fraudolenta). Tra le quattro fasi possono trascorrere settimane o mesi, durante i quali l’attaccante studia le abitudini di pagamento. Il vettore d’attacco più diffuso resta la posta elettronica aziendale, sfruttata sia per accedere a fatture autentiche sia per impersonare un mittente fidato. Le aziende con processi P2P (Procure-to-Pay) non strutturati e senza controlli automatici sulle anagrafiche bancarie risultano le più esposte. Secondo il Rapporto Clusit 2025, l’80% degli attacchi è motivato da finalità di cybercrime a scopo di profitto (fonte: Clusit, marzo 2025).

La denuncia della frode informatica si presenta alla Polizia Postale e delle Comunicazioni, articolazione specializzata della Polizia di Stato presente in tutti i capoluoghi di provincia. È possibile sporgere denuncia di persona presso il compartimento territorialmente competente oppure avviare la procedura tramite il portale online della Polizia di Stato, ottenendo un numero di protocollo da formalizzare poi presso un ufficio (fonte: Polizia di Stato).
Per la segnalazione di frodi informatiche in contesto aziendale si raccomanda di raccogliere preventivamente: log degli accessi ai sistemi, copia delle email coinvolte con header completi, evidenze contabili dei pagamenti, anagrafiche fornitori prima e dopo la modifica fraudolenta. La tempestività della denuncia è determinante per attivare richieste di recall del bonifico tramite l’istituto bancario e per consentire alla Polizia Postale di coordinarsi con le banche corrispondenti, in particolare quando i fondi vengono dirottati su conti esteri.

La prevenzione delle frodi informatiche in azienda si fonda su tre pilastri: controlli automatici sui processi di pagamento, governance organizzativa e formazione continua. Sul piano tecnico, l’integrazione di soluzioni di verifica IBAN e dell’intestatario nei sistemi ERP e TMS riduce in modo strutturale il rischio di pagamento verso un beneficiario fraudolento, anche quando l’attacco ha già compromesso una casella email.
Sul piano organizzativo, è essenziale la separazione dei ruoli tra chi modifica un’anagrafica fornitore, chi autorizza il bonifico e chi lo esegue, con tracciabilità di ogni passaggio per finalità di audit interno e conformità. La formazione del personale finance, treasury e contabilità sulle tecniche di ingegneria sociale resta la prima linea di difesa contro CEO fraud e BEC, dove l’attacco non sfrutta una vulnerabilità tecnica ma una pressione operativa.

Sis ID offre una soluzione antifrode dedicata ai flussi B2B, con verifica IBAN, controllo dell’intestatario tramite servizio Verification of Payee in area SEPA e validazione su giurisdizioni internazionali. L’integrazione via API con ERP e TMS applica i controlli nei punti critici del ciclo Procure-to-Pay: onboarding 2026 Xago Europe – Avantgrade.com Proprietary and Confidential 9 SisID-ContentCreation-frode-informatica-Quo2646-062026-rio fornitori, modifica delle anagrafiche e autorizzazione dei bonifici, riducendo l’esposizione a CEO fraud, BEC e sostituzione di IBAN in fattura. Scopri la soluzione antifrode My Sis ID.