«Sono in riunione, ti mando l’IBAN aggiornato: fai partire il bonifico oggi.» Il nome è quello del tuo amministratore delegato, l’indirizzo sembra il suo.
Il mittente lo scrive chi spedisce, come sul retro di una busta. SPF, DKIM e DMARC verificano il dominio, non la persona – e fornitore-spa.it al posto di fornitorespa.it passa i controlli come tutti.
Il sospetto nasce dalla richiesta: un IBAN nuovo, un pagamento fuori procedura, delle credenziali, una fretta insolita. Si verifica con una telefonata al numero già in rubrica, mai a quello scritto nel messaggio.