L’obbligo di adeguarsi a nuovi standard viene spesso vissuto come una scocciatura o un problema, ma può anche rappresentare un’occasione da cogliere. Nel caso dell’ISO 20022, la novità riguarda il mondo dei pagamenti: a partire dal 14 novembre, Swift, i circuiti di pagamento interbancari e Sepa esigeranno l’uso di indirizzi postali strutturati o ibridi (composti da elementi strutturati e parti di testo libero) per i pagamenti e i bonifici. Quelli trasmessi con formati non strutturati, cioè con semplici righe di testo generico, verranno rifiutati dai sistemi,
La nuova regola è una buona notizia per la sicurezza dei pagamenti, e in particolare mette al riparo dalla piaga di frodi e cyberattacchi di tipo finanziario, che ogni anno costano all'Italia centinaia di milioni di euro. In base ai dati della Polizia Postale, con frodi e cyberattacchi finanziari nel 2025 sono stati sottratti solo in Italia più di 269 milioni di euro.
Fra le tecniche più usate spicca la Business Email Compromise (Bec), una categoria di frode basata in cui i mittenti si spacciano per figure di fiducia (colleghi, superiori, fornitori) per indurre lo specifico destinatario a fare qualcosa, per esempio autorizzare un pagamento, modificare coordinate bancarie o svelare informazioni sensibili. Una popolare variante della Bec è la cosiddetta Ceo Fraud, in cui il mittente si spaccia per l’amministratore delegato o altro dirigente apicale dell’azienda in cui il destinatario lavora. Come intuibile, gli sviluppi dell’intelligenza artificiale oggi potenziano l’efficacia di questo genere di attacchi, aiutando a confezionare messaggi testuali credibili e a creare deepfake vocali per le truffe telefoniche. A queste tecniche si sommano e si sovrappongono le frodi sui cambi di Iban, in cui gli attaccanti sostituiscono l’Iban legittimo di un fornitore con il proprio.
Come fa notare Sis ID, società che propone soluzioni antifrode, i messaggi di pagamento tradizionali (come il tracciato Swift) hanno sempre sofferto di gravi limiti di spazio, costringendo le aziende a troncare o unire nomi e indirizzi in righe di testo libero: questa vaghezza informativa ha favorito le truffe. Lo standard ISO 20022 cambia queste pratiche, scomponendo le informazioni da inserire in una ventina di elementi che richiedono l'inserimento di dati strutturati, e tra questi l’ordinante e il beneficiario ultimo del pagamento, dettagli geografici precisi e codici identificativi come il Legal Entity Identifier.
La nuova regola aiuta a cogliere più facilmente anomalie (per esempio dettagli diversi dal solito su nomi o riferimenti noti) che invece non balzerebbero all’occhio. In effetti, finora, la possibilità di nascondere queste anomalie in stringhe di testo libero ha favorito le frodi.
Attenzione a cantare vittoria, però. Come sottolineato da Sis ID, il sistema bancario si è preparato ad accogliere lo standard ISO 20022 e le sue regole, ma le direzioni finanziarie e tesorerie di molte aziende italiane non sono altrettanto pronte e rischiano di non adeguare il tempo per il 14 novembre i propri sistemi Erp o i flussi AP (Accounts Payable), cioè il Ciclo Passivo. “Le banche stanno già avvertendo i clienti aziendali che, a partire da metà novembre 2026, le disposizioni con indirizzi non strutturati saranno rifiutate, inclusi i pagamenti futuri e quelli ricorrenti”, ha detto Anna Ongaro, country manager di Sis ID in Italia. “Per un produttore italiano che paga fornitori in tutta Europa e oltre, ciò si traduce in ritardi nei pagamenti, penali e relazioni tese con i fornitori”.
Come sottolineato da Sis ID, la pressante necessità di rispettare lo standard (senza però aver predisposto sistemi strutturati per aderirvi) può spingere le aziende a far inserire i dati bancari manualmente, ad aggiornare i record basandosi su semplici email o a saltare i passaggi di approvazione per rispettare le scadenze. E queste “procedure di emergenza” e il clima di urgenza sono terreno fertile per le truffe basate sulla falsificazione dell'identità aziendale.
“Il rischio di frode è meno visibile, ma a mio avviso molto più serio”, ha commentato Ongaro. “Quando i file di pagamento vengono rifiutati, i team si trovano a dover risolvere il problema sotto pressione. Di conseguenza, reinseriscono i dati bancari a mano, aggiornano i record basandosi su una semplice email o saltano un passaggio di approvazione pur di rispettare la scadenza. Questo è esattamente l’ambiente in cui prospera la cosiddetta truffa del Ceo: urgenza, modifiche manuali e un motivo apparentemente plausibile per cui questa settimana le cose vadano fatte diversamente”.
Che fare, dunque, se si è arrivati impreparati alla soglia dell’obbligo di compliance alla norma ISO 20022? “Il mio consiglio è semplice”, spiega Ongaro. “Pulite e strutturate i dati anagrafici delle vostre terze parti fin da ora, verificate i dettagli bancari mentre eseguite questa operazione e testate i file di pagamento con le vostre banche prima della scadenza, non dopo”. A queste buone pratiche si può sommare l’apporto della tecnologia, e quella proposta da Sis ID è una piattaforma che incrocia la precisione dei nuovi tracciati con una rete di community intelligence condivisa da decine di migliaia di aziende, verificando a monte la corrispondenza tra Iban e supposto destinatario. Verifica, cioè, se un determinato Iban appartenga realmente alla controparte dichiarata, e lo fa prima che il file di pagamento venga generato.
La tecnologia di Sis ID, inoltre, agisce in sinergia con l’obbligo europeo del Verification of Payee (VoP), superandone i limiti strutturali (come l'esclusione dei pagamenti massivi o i confini dell'area Euro) e garantendo una protezione nativa, integrata direttamente negli Erp aziendali tramite API.
“Con i bonifici istantanei, il momento del controllo coincide con il momento del pagamento”, fa notare la country manager. “Non esiste più un ‘dopo’ in cui recuperare un errore: se il beneficiario non viene verificato prima dell’invio, non verrà verificato affatto. Per i direttori finanziari questo significa ripensare i processi, non soltanto gli strumenti. Un frodatore non colpisce un’azienda sola: riutilizza lo stesso Iban, la stessa fattura falsa e lo stesso pretesto con decine di imprese nella stessa settimana. Nessun database aziendale, per quanto ricco, può accorgersene da solo. Quello che conta è sapere, nel momento in cui si paga, se quel conto è già stato segnalato altrove. È così che l’esperienza di ciascuno diventa protezione per tutti”.