Formazione sulla prevenzione delle frodi per i dipendenti: 6 tipi di frode su cui concentrarsi

La formazione sulla prevenzione delle frodi insegna ai dipendenti a riconoscere e a contrastare le truffe che li prendono di mira personalmente: una falsa richiesta da parte dell’amministratore delegato, una fattura con coordinate bancarie modificate, una telefonata da parte di un “fornitore” che richiede un pagamento entro oggi. Una buona formazione non si limita a spiegare il fenomeno delle frodi in astratto, ma mostra al personale i messaggi esatti che riceveranno, permette loro di esercitarsi a individuarli e indica una semplice procedura da seguire quando qualcosa sembra sospetto: fermarsi, verificare tramite un canale conosciuto e segnalare.

La maggior parte delle frodi nei pagamenti ai danni delle organizzazioni non comporta alcuna violazione del sistema. Consiste piuttosto nel convincere una persona a compiere un’azione che è autorizzata a fare, come approvare un pagamento o modificare i dati di un fornitore. Ecco perché il team finanziario, il responsabile dell’ufficio e il nuovo collega del reparto contabilità fornitori sono i veri obiettivi, ed ecco perché la tecnologia da sola raramente riesce a individuarle. Di seguito troverete le sei tipologie di frode che ogni programma dovrebbe affrontare, il motivo per cui un modulo annuale non è sufficiente e come organizzare una formazione che cambi effettivamente il comportamento delle persone.

Le sei frodi che prendono di mira i dipendenti

1. Frode del CEO e compromissione della posta elettronica aziendale. Un messaggio che sembra provenire da un dirigente richiede un pagamento urgente e riservato. Il tono è concitato, il mittente è “in riunione” e non può essere contattato telefonicamente. Nella compromissione della posta elettronica aziendale, l’autore dell’attacco utilizza una casella di posta reale, di cui ha preso il controllo, il che rende la richiesta ancora più convincente. Spieghiamo i meccanismi di questo fenomeno nel nostro articolo su cosa sia la frode del CEO e su cosa si possa fare per contrastarla.
2. Frode tramite fattura. Una fattura falsa, oppure una fattura autentica con dati alterati, arriva da un fornitore apparentemente noto. Spesso giunge alla fine del mese, quando il team elabora un grande volume di fatture e le controlla con minore attenzione.
3. Frode tramite mandato. Qualcuno che si spaccia per un fornitore ti chiede di aggiornare le sue coordinate bancarie “perché abbiamo cambiato banca”. Tutti i pagamenti successivi finiscono quindi nelle mani del truffatore, spesso per mesi, prima che il vero fornitore si accorga di una fattura non pagata.
4. Frode tramite deviazione dei pagamenti. Il criminale intercetta una conversazione via e-mail in corso relativa a un pagamento, ad esempio una transazione immobiliare o un ordine di importo elevato, e inserisce le nuove coordinate bancarie proprio al momento giusto.
5. Deepfake e frodi telefoniche. Una chiamata o un messaggio vocale che sembra provenire da un responsabile o da un direttore finanziario conferma la richiesta fraudolenta. La clonazione vocale ha reso questa pratica economica e veloce, motivo per cui ne parliamo separatamente nel corso di formazione sulla sensibilizzazione ai deepfake.
6. SMS truffaldini e frodi tramite corriere. Le frodi non si fermano alla porta dell’ufficio. Gli SMS truffaldini che si spacciano per una banca o un servizio di consegna e le frodi tramite corriere, in cui chi chiama fingendo di essere un agente di polizia o un funzionario della banca convince qualcuno a consegnare carte di credito o contanti, colpiscono i dipendenti a casa. Gli stessi stratagemmi persuasivi si ripropongono poi sul posto di lavoro. Maggiori informazioni sullo smishing.

Ciò che accomuna queste frodi non è il canale, ma la pressione: urgenza, autorevolezza e segretezza. Una formazione che insegni alle persone a riconoscere questi tre segnali le protegge da varianti che non esistono ancora.

Perché un modulo annuale dedicato alle frodi non funziona

Molte organizzazioni trattano il tema delle frodi una volta all’anno, nell’ambito di un modulo di e-learning della durata di mezz’ora. Il requisito viene soddisfatto, ma l’effetto svanisce nel giro di poche settimane. La consapevolezza delle frodi non è una conoscenza che si accumula, ma un riflesso che si sviluppa: quell’esitazione di mezzo secondo prima di cliccare su “approva”. I riflessi richiedono ripetizione.

Il secondo problema è la tempistica. I truffatori seguono il calendario e le notizie: pagamenti di fine anno, sostituzioni per le ferie nel reparto finanziario, un nuovo sistema ERP, un fornitore noto che fa notizia. Un modulo realizzato la scorsa primavera non può prevedere tutto questo. Una formazione breve e ricorrente può presentare lo scenario alle persone proprio mentre si sta verificando.

Cosa comprende un buon corso di formazione sulla prevenzione delle frodi

• Scenari realistici per ogni tipo di frode. Il personale si esercita con i messaggi che riceverà realmente: l’e-mail urgente dell’amministratore delegato, la lettera con le “nuove coordinate bancarie”, la telefonata del fornitore. Il ruolo è importante, quindi l’ufficio contabilità fornitori riceve più scenari di pagamento rispetto al magazzino.
• Simulazioni, non solo teoria. Le simulazioni di phishing che riproducono le frodi relative alle fatture e quelle del “CEO” consentono di individuare chi potrebbe dare seguito a una richiesta fasulla, senza causare danni reali.
• Una regola di verifica chiara. Ogni modifica delle coordinate bancarie o richiesta di pagamento insolita viene confermata tramite un canale già in vostro possesso, come ad esempio il numero di telefono presente nella scheda del fornitore, mai tramite il numero indicato nell’e-mail.
• Un modo semplice per segnalare. Chi segnala un messaggio sospetto è il tuo primo allarme. Fai in modo che basti un clic e ringraziali per questo, anche quando si rivela innocuo.
• Monitoraggio nel tempo. Tieni traccia del numero di persone che segnalano gli incidenti, di quante cadono nella trappola delle simulazioni e di come questi dati variano da team a team. Ciò evidenzia dove è necessaria una formazione aggiuntiva e fornisce agli auditor prove a sostegno della conformità alle norme NIS2 e ISO 27001.

Come organizzare un corso di formazione sulla prevenzione delle frodi in cinque passaggi

1. Valuta la tua situazione attuale. Inizia con una misurazione di riferimento, in modo da capire a quali team e a quali tipi di frode prestare attenzione per primi.
2. Mappare i processi di pagamento. Chi può approvare i pagamenti, modificare i dati dei fornitori o autorizzare bonifici urgenti? Queste persone riceveranno la formazione più approfondita.
3. Concordare la regola di verifica. Mettere per iscritto la regola di verifica e far sì che la direzione la sostenga pubblicamente, in modo che nessuno si senta in imbarazzo nel verificare la richiesta di un amministratore.
4. Allenati con sessioni brevi e frequenti. Qualche minuto alla settimana è meglio di un pomeriggio all’anno. Alterna i tipi di frode in modo che ogni scenario si ripeta regolarmente.
5. Prova, refertizza e ripeti. Esegui delle simulazioni, condividi i risultati con il team senza fare nomi e adatta gli scenari in base a ciò che osservi.

Il consiglio: sensibilizza il personale sulle frodi con Guardey

Guardey trasforma questo approccio in un’abitudine settimanale. Ai dipendenti viene proposta una sfida di circa tre minuti, sul proprio laptop o tramite l’app mobile per iOS e Android, che tratta argomenti quali le frodi perpetrate dai CEO, le frodi sulle fatture, il phishing, lo smishing e i deepfake. La gamification, con classifiche e serie di risultati consecutivi, stimola la partecipazione continua; le simulazioni di phishing mettono alla prova quanto appreso, mentre i report pronti per gli audit mostrano i progressi compiuti in vista delle certificazioni NIS2 e ISO 27001. Oltre 500 organizzazioni, tra cui il Parlamento europeo, utilizzano già Guardey. Scopri come funziona la nostra formazione sulla consapevolezza della sicurezza.

Il vostro partner IT tiene conto anche dell’aspetto umano?

Molte piccole imprese affidano i propri servizi IT a un fornitore di servizi gestiti (MSP), ovvero un’azienda specializzata che si occupa della gestione dei loro sistemi e della sicurezza in cambio di un canone mensile. Le frodi rappresentano un punto debole in questo contesto: il firewall viene gestito, ma nessuno forma la persona incaricata di pagare le fatture. Vale la pena chiedere al proprio MSP se è possibile aggiungere questo servizio.

Per gli MSP, Guardey è disponibile tramite partner di canale come il distributore di soluzioni di sicurezza informatica e92plus, che aiuta i partner a lanciare nuovi servizi di sicurezza con campagne di marketing già pronte e fatturazione mensile per cliente.

Domande frequenti sulla formazione in materia di prevenzione delle frodi

Che cos’è la formazione sulla prevenzione delle frodi?

La formazione sulla prevenzione delle frodi insegna ai dipendenti a riconoscere i tentativi di frode a loro rivolti, come la truffa del “CEO”, le frodi sulle fatture e le chiamate fasulle, e a reagire in modo corretto. L’attenzione è rivolta ai segnali concreti e a una regola di verifica ben definita, piuttosto che alla teoria. I programmi migliori combinano brevi lezioni con simulazioni realistiche.

Chi ha bisogno di un corso di formazione sulla prevenzione delle frodi per i dipendenti?

Tutti, ma non nella stessa misura. Il personale incaricato di approvare i pagamenti, gestire le fatture o modificare i dati dei fornitori è il bersaglio principale e necessita di un numero maggiore di scenari. Anche gli altri dipendenti traggono beneficio dalle nozioni di base, poiché i truffatori si avvalgono anche di loro per raccogliere informazioni o raggiungere la persona giusta.

Con quale frequenza dovrebbero svolgersi i corsi di formazione sulla prevenzione delle frodi?

È meglio dedicarci poco tempo ma con regolarità piuttosto che molto tempo ma sporadicamente. Bastano pochi minuti alla settimana per mantenere vivi i riflessi e permetterti di reagire alle nuove truffe non appena compaiono. Un unico modulo annuale viene dimenticato in fretta.

Qual è la differenza tra frode relativa al mandato e frode relativa alla fattura?

Nel caso della frode fatturale, si paga una volta una fattura falsa o alterata. Nel caso della frode relativa alle autorizzazioni di addebito, il criminale convince il cliente a modificare le coordinate bancarie di un fornitore, in modo che ogni pagamento futuro venga versato su un conto sbagliato finché qualcuno non se ne accorge. Entrambe le frodi possono essere prevenute con la stessa regola: verificare le modifiche tramite un canale di cui ci si fida già.

Le frodi ai danni delle organizzazioni cambiano continuamente forma, ma la pressione che le sta dietro rimane la stessa. I team che si sono esercitati a riconoscere l’urgenza, l’autorità e la riservatezza, e che sanno che è sempre opportuno richiamare e verificare, bloccano la maggior parte dei tentativi prima ancora che avvenga qualsiasi trasferimento di denaro.