Cloni aziendali rubano anticipi alle imprese da nove anni

🛡️ Executive Summary

• Una rete criminale attiva dal 2017 ha creato quasi 100 domini contraffatti per impersonare grandi aziende russe.
• I truffatori inviano offerte, contratti e fatture convincenti, sostituendo i recapiti e le coordinate bancarie del fornitore reale.
• Una società azera avrebbe perso 150.000 dollari, mentre gli operatori hanno copiato perfino gli avvisi antifrode pubblicati dalle vittime.

Una campagna di frode commerciale attiva da almeno nove anni ha clonato i siti di grandi aziende russe per sottrarre anticipi a imprese impegnate nel commercio internazionale. Gli operatori imitano produttori di fertilizzanti, gruppi petrolchimici, impianti metallurgici, aziende logistiche e banche, sostituendo recapiti e coordinate finanziarie con quelli controllati dalla rete criminale. Le vittime ricevono offerte, contratti, fatture e documenti su carta intestata apparentemente autentici, quindi versano denaro per merci che non verranno mai consegnate. F6 ha collegato alla stessa operazione quasi 100 domini contraffatti, con le prime attività risalenti al 2017.

I criminali copiano aziende russe conosciute

I siti fraudolenti riproducono quasi integralmente quelli delle società impersonate, copiandone testi, immagini, cataloghi, recapiti generali e impostazione grafica. Le modifiche vengono concentrate nei punti necessari alla truffa: indirizzi email, numeri di telefono, nomi dei referenti e coordinate bancarie. Alcuni domini sono costruiti attraverso variazioni minime rispetto agli indirizzi reali, mentre altri utilizzano nomi credibili associati a false controllate o filiali internazionali. Le pagine sono disponibili in russo, inglese, francese e arabo, elemento che conferma l’obiettivo di raggiungere importatori e clienti situati fuori dalla Federazione Russa. L’operazione rappresenta un caso evoluto di brandjacking, nel quale la reputazione di un’impresa reale viene trasferita a una struttura controllata dagli aggressori. Il meccanismo sfrutta gli stessi principi descritti nella guida al typosquatting e all’imitazione dei domini legittimi, ma li applica a trattative commerciali complesse anziché a un semplice furto di credenziali.

Le vittime vengono raggiunte con email e telefonate

La campagna non dipende esclusivamente dal posizionamento dei siti contraffatti sui motori di ricerca. Gli operatori utilizzano cold call, email di phishing e contatti commerciali diretti per presentarsi come rappresentanti di aziende russe realmente attive nel settore richiesto dalla vittima. In alcune operazioni vengono reclutati inconsapevolmente veri addetti alle vendite, incaricati di individuare potenziali clienti e trasferire la conversazione a un presunto responsabile senior quando la negoziazione entra nella fase conclusiva. Da quel momento, il contatto passa direttamente ai truffatori, che possono discutere prezzi, disponibilità, condizioni di trasporto e modalità di pagamento. Questa struttura rende l’inganno più credibile perché la vittima non riceve soltanto un’email isolata, ma partecipa a una trattativa coerente con più interlocutori e documenti progressivi. La dinamica richiama le campagne di Business Email Compromise, analizzate nell’articolo sull’ingegneria sociale che aveva già prodotto perdite globali superiori a 50 miliardi di dollari.

Contratti e fatture sostituiscono i dati bancari

Quando il cliente accetta l’offerta, la rete criminale invia un pacchetto completo di documenti commerciali: preventivi, contratti, fatture, certificazioni e comunicazioni su carta intestata. I file riprendono loghi, firme, terminologia e struttura dei modelli utilizzati dall’azienda autentica, ma sostituiscono l’IBAN o il conto di destinazione con quelli controllati dagli aggressori. Il cliente può quindi verificare l’esistenza del produttore, la disponibilità apparente del catalogo e la coerenza dei documenti senza accorgersi che il pagamento viene indirizzato a una società priva di rapporti con il fornitore. Una società dell’Azerbaigian avrebbe perso circa 150.000 dollari nell’aprile 2025 dopo avere versato un anticipo attraverso una transazione fraudolenta. Il sistema è vicino alla campagna italiana ricostruita nel Galà della Frode, operazione BEC basata sulla manipolazione delle comunicazioni aziendali, ma aggiunge un’infrastruttura web costruita per sostenere l’intera identità del falso fornitore.

La prima infrastruttura risale al 2017

F6 ha identificato quasi 100 domini utilizzati per impersonare aziende appartenenti a settori diversi. Il più antico collegamento risale al 2017, quando una società chimica russa iniziò a ricevere telefonate da agricoltori che chiedevano informazioni sulla mancata consegna di fertilizzanti già pagati. I clienti disponevano di contratti firmati da persone presentate come rappresentanti aziendali, ma la società non aveva mai concluso quegli accordi. L’indagine individuò il dominio agrocenter-eurohem[.]ru, copia quasi perfetta del sito autentico nella quale erano stati modificati soltanto i recapiti e i dati bancari. Una parte rilevante delle infrastrutture successive condivide record DNS, informazioni di registrazione e gli indirizzi 212.127.73[.]235 e 167.86.100[.]68, elementi che secondo F6 indicano una campagna coordinata e non una serie di frodi indipendenti. Negli ultimi anni gli operatori hanno progressivamente abbandonato la dipendenza dai domini .ru, preferendo estensioni .com, .org e .net più adatte a sostenere un’identità internazionale.

I truffatori copiano perfino gli avvisi antifrode

Uno degli aspetti più sofisticati riguarda la capacità di reagire alle contromisure delle aziende impersonate. Quando alcune società hanno pubblicato sui propri siti ufficiali avvisi destinati a mettere in guardia i clienti, gli operatori hanno copiato gli stessi testi nei portali contraffatti. Le comunicazioni venivano modificate sostituendo il dominio autentico con quello fraudolento, in modo da far apparire il sito criminale come l’unica fonte legittima e quello reale come la copia pericolosa. Questa inversione sfrutta la prudenza della vittima contro la vittima stessa: chi cerca conferme trova un avviso corretto nella forma, ma alterato nei riferimenti. La replica degli avvertimenti dimostra che i domini non vengono creati e abbandonati automaticamente, ma vengono osservati e aggiornati in risposta alle iniziative delle imprese coinvolte. Il danno non si limita alle somme sottratte, perché le aziende autentiche devono gestire reclami, contestazioni, perdita di reputazione e sospetti da parte di clienti che credono di avere concluso contratti regolari.

La verifica deve uscire dal canale della trattativa

La difesa più efficace consiste nel verificare l’identità del fornitore attraverso un canale indipendente da quello utilizzato durante la negoziazione. Il cliente dovrebbe controllare la società nei registri commerciali pubblici, verificare la data di registrazione del dominio, contattare la sede attraverso numeri ottenuti da fonti istituzionali e confermare le coordinate bancarie prima di qualsiasi anticipo. Un nuovo IBAN, una filiale non menzionata nel sito storico, una casella email su un dominio recente o la pressione a concludere rapidamente il pagamento devono essere trattati come indicatori di rischio. Le imprese esportatrici devono monitorare le registrazioni simili al proprio marchio e predisporre una procedura pubblica per la verifica di agenti, distributori e coordinate finanziarie. La ricostruzione della campagna pubblicata da F6 security mostra che l’operazione non sfrutta una vulnerabilità software, ma la separazione tra reputazione aziendale, comunicazione commerciale e pagamento. Il sito falso crea la fiducia, i documenti la consolidano e il bonifico conclude una frode che può apparire legittima fino al giorno della mancata consegna.