# 89 milioni di euro di perdite: cosa non colgono i controlli ICT > L'articolo di SwissGRC® analizza i dati 2025 della Oesterreichische Nationalbank sulle frodi nei pagamenti. Spiega a chi si occupa di controlli ICT secondo il DORA perché i controlli documentati vanno verificati con test realistici. - URL: https://swissgrc.com/it/controlli-rischio-ict-dora-frodi-89-milioni/ - Editore: SwissGRC® - Pubblicato: 2026-08-21 - Ultimo aggiornamento: 2026-08-21 ## Punti chiave - Per il 2025 la Oesterreichische Nationalbank ha registrato frodi sui pagamenti per 115,4 milioni di euro, con un aumento del 17,6 per cento rispetto all'anno precedente. - I bonifici rappresentano il nove per cento dei casi di frode, ma causano circa 89 milioni di euro, pari al 78 per cento delle perdite totali. - Il social engineering, in cui la vittima autorizza da sé il pagamento, è responsabile dell'83 per cento delle perdite da bonifico. - La perdita media è di circa 3.000 euro per un bonifico fraudolento e di circa 75 euro per un pagamento con carta. - L'articolo 6, paragrafo 4, del DORA richiede un adeguato livello di indipendenza della funzione di controllo del rischio ICT, attuato con la separazione tra gestione del rischio, controllo e audit secondo il modello delle tre linee di difesa. - SwissGRC® indica tre elementi da verificare: obbligo di richiamata tramite un secondo canale, logica delle soglie e percorso di escalation. La Oesterreichische Nationalbank ha registrato per il 2025 frodi sui pagamenti per un totale di 115,4 milioni di euro, in aumento del 17,6 per cento rispetto all’anno precedente. I bonifici hanno rappresentato solo il nove per cento dei casi di frode, ma hanno causato circa 89 milioni di euro, ovvero il 78 per cento delle perdite totali. Gli attacchi di social engineering, in cui è la vittima stessa ad autorizzare il pagamento, sono responsabili dell’83 per cento di questi casi. Per i controlli sul rischio ICT previsti dal DORA, questo dato racchiude un insegnamento che la sola documentazione dei controlli non rivela. In breve Un recente rapporto sulle frodi mostra che gli attacchi di social engineering ai bonifici sono rari ma particolarmente costosi. La lezione per il sistema dei controlli: i controlli documentati, come il principio dei quattro occhi, non dicono nulla sul fatto che tengano davvero sotto pressione temporale. L’efficacia può essere verificata solo con test realistici, non con le sole descrizioni di processo. 89milioni di euro Perdite dovute a bonifici fraudolenti in Austria nel 2025 Oesterreichische Nationalbank, citata da Meinbezirk.at 83% Quota delle perdite da bonifico riconducibile al social engineering Oesterreichische Nationalbank, citata da Meinbezirk.at 3.000EUR Perdita media per bonifico fraudolento nel 2025 Oesterreichische Nationalbank, citata da Leadersnet.at ## Perché così pochi casi di bonifico causano la quota maggiore delle perdite? Perché la perdita media per bonifico fraudolento, pari a circa 3.000 euro, supera di gran lunga quella di un pagamento con carta e, in singoli casi, supera il milione di euro. Secondo la Oesterreichische Nationalbank, nove casi di frode su dieci hanno riguardato pagamenti con carta, con una perdita media di circa 75 euro per caso. Per i bonifici, la media si è attestata attorno ai 3.000 euro, con singoli casi che hanno superato il milione di euro. In termini di volume di transazioni, il tasso di frode austriaco sui bonifici, pari allo 0,004 per cento, è il doppio della media UE. Questa distribuzione segue uno schema sottorappresentato in molti registri dei rischi: alta frequenza con perdita individuale contenuta contro bassa frequenza con perdita individuale elevata. I cataloghi di controllo calibrati principalmente sul numero di casi tendono a sottovalutare il secondo schema, pur essendo quest’ultimo a determinare la quota maggiore delle perdite totali. ## Che rapporto c’è tra il social engineering e il quadro di gestione del rischio ICT del DORA? Il DORA richiede una funzione indipendente di controllo del rischio ICT, ma tale funzione sorveglia principalmente i controlli tecnici e procedurali, non il momento in cui una persona autorizzata dispone essa stessa un pagamento. Ai sensi dell’articolo 6, paragrafo 4, del regolamento DORA, i soggetti finanziari devono garantire un adeguato livello di indipendenza della funzione di controllo del rischio ICT, attuato tramite la separazione tra le funzioni di gestione del rischio, controllo e audit secondo il modello delle tre linee di difesa, come spiegato dall’Autorità di vigilanza sui mercati finanziari austriaca (FMA). Il social engineering mina questa struttura senza violarla formalmente: la persona che dispone il pagamento agisce nell’ambito delle proprie competenze, ingannata da un senso di urgenza fabbricato ad arte. Come descritto in “ISMS: persone, processi e tecnologia sono determinanti”, un controllo tecnico è efficace solo quanto lo è il comportamento di chi lo applica in un incidente reale. ## Perché la documentazione non rivela una lacuna nei controlli? Perché un principio dei quattro occhi documentato appare completo in qualsiasi fascicolo di audit, ma non dice nulla sul fatto che venga effettivamente rispettato sotto pressione temporale e con una percezione di urgenza. Un registro dei controlli conferma l’esistenza di una fase di processo, non il suo effetto in uno scenario di attacco concreto. Come sottolinea l’articolo “La gestione del rischio è al servizio del raggiungimento degli obiettivi, non di se stessa”, un sistema fallisce il proprio scopo quando appare completo sulla carta ma non è mai stato testato operativamente in condizioni reali. Solo una verifica mirata mostra se un obbligo di richiamata per la modifica dei dati bancari viene effettivamente rispettato, o se le approvazioni in deroga sotto pressione temporale diventano silenziosamente la regola. Questa esatta differenza tra controllo documentato e controllo vissuto sfugge spesso a un audit standard. ## Quali elementi di controllo specifici andrebbero rivisti ora? Tre elementi sono i più adatti a mostrare, in un incidente reale, se la catena di autorizzazione regge: il canale di richiamata, la logica delle soglie e il percorso di escalation. Questi tre elementi possono essere verificati singolarmente e forniscono quindi indicazioni più affidabili rispetto a una semplice descrizione di processo. - Obbligo di richiamata: esiste l’obbligo di verificare i dati di pagamento modificati tramite un secondo canale indipendente, e questo obbligo viene controllato a campione? - Soglie: i bonifici superiori a un importo definito vengono verificati manualmente in modo incrociato, indipendentemente dall’ora e da un senso di urgenza fabbricato? - Escalation: i collaboratori possono bloccare un pagamento senza che ciò venga percepito come una violazione di fiducia nei confronti di un apparente superiore? ## Qual è il prossimo passo per il proprio sistema dei controlli? L’audit interno dovrebbe svolgere, nel prossimo ciclo di audit, un test simulato di social engineering per l’autorizzazione dei pagamenti, invece di limitarsi a confermare la documentazione di processo. L’idea alla base di “La comunicazione di vigilanza FINMA 05/2025 come campanello d’allarme per la resilienza by design”, ovvero integrare la resilienza nei processi fin dall’inizio anziché verificarla a posteriori, si applica direttamente alle autorizzazioni di pagamento. Un primo passo concreto è un test simulato di CEO fraud nel prossimo ciclo di revisione dell’ICS, gestito congiuntamente da audit interno e team pagamenti, valutando i tempi di risposta effettivi e i percorsi di escalation, non solo la documentazione di processo. Per la pratica ## Punti chiave - Pochi casi con perdite individuali elevate causano la quota maggiore delle perdite totali da frode sui bonifici, non la massa di piccoli casi di frode. - Una funzione di controllo del rischio ICT documentata ai sensi del DORA copre il social engineering solo se processi come le richiamate e l’escalation vengono testati regolarmente in condizioni realistiche. - L’audit interno dovrebbe includere test di efficacia per le autorizzazioni di pagamento nel prossimo ciclo di audit, invece di limitarsi a revisioni documentali. - Soglie e obblighi di richiamata sono robusti solo quanto lo è la loro effettiva applicazione sotto pressione temporale. FAQ ## Domande frequenti A quanto ammontavano complessivamente le frodi sui pagamenti in Austria nel 2025? La Oesterreichische Nationalbank ha registrato per il 2025 perdite totali per 115,4 milioni di euro, in aumento del 17,6 per cento rispetto all’anno precedente. I bonifici hanno rappresentato solo il nove per cento dei casi, ma hanno causato circa 89 milioni di euro, ovvero il 78 per cento delle perdite totali. Qual è la differenza tra la perdita media nelle frodi con carta e nelle frodi da bonifico? I pagamenti con carta hanno rappresentato nove casi di frode su dieci, con una perdita media di circa 75 euro per caso. Per i bonifici, la media è stata di circa 3.000 euro, con singoli casi che hanno superato il milione di euro, ragione per cui un numero ridotto di casi determina la quota maggiore delle perdite totali. Perché un principio dei quattro occhi documentato non impedisce in modo affidabile il social engineering? La persona che autorizza il pagamento agisce formalmente nell’ambito delle proprie competenze, ma viene ingannata da un senso di urgenza fabbricato ad arte. Un registro dei controlli conferma solo l’esistenza della fase di processo, non se venga effettivamente rispettata sotto pressione temporale in uno scenario di attacco concreto. Che ruolo dovrebbe svolgere l’audit interno nella verifica delle autorizzazioni di pagamento? L’audit interno dovrebbe svolgere, nel prossimo ciclo di audit, un test simulato di social engineering per l’autorizzazione dei pagamenti, insieme al team pagamenti, valutando i tempi di risposta effettivi e i percorsi di escalation invece di limitarsi a confermare la documentazione di processo. Quali tre elementi di controllo mostrano, in un incidente reale, se una catena di autorizzazione regge? Gli elementi determinanti sono l’obbligo di richiamata per i dati di pagamento modificati tramite un secondo canale, la logica delle soglie per la verifica incrociata manuale al superamento di un importo definito, e un percorso di escalation che consenta ai collaboratori di bloccare un pagamento senza che ciò venga percepito come una violazione di fiducia. Fonti 1. [DORA – Gestione del rischio ICT](https://www.fma.gv.at/querschnittsthemen/dora/dora-ikt-risiko-management/)Autorità di vigilanza sui mercati finanziari austriaca (FMA) 2. [Rapporto OeNB: la frode sui pagamenti ha causato 115 milioni di euro di perdite lo scorso anno](https://www.meinbezirk.at/c-wirtschaft/zahlungsbetrug-verursachte-im-vorjahr-115-millionen-euro-schaden_a8857823)MeinBezirk.at ## Domande frequenti ### Quanto hanno pesato le frodi sui pagamenti in Austria nel 2025? Secondo la Oesterreichische Nationalbank le frodi sui pagamenti ammontano a 115,4 milioni di euro, il 17,6 per cento in più rispetto all'anno precedente. I bonifici hanno causato circa 89 milioni di euro, cioè il 78 per cento delle perdite totali. ### Perché pochi casi di frode sui bonifici causano la maggior parte delle perdite? La perdita media per bonifico fraudolento è di circa 3.000 euro, contro circa 75 euro per la carta, e singoli casi superano il milione di euro. I bonifici sono solo il nove per cento dei casi, ma determinano la quota maggiore delle perdite. ### Perché un principio dei quattro occhi documentato non basta contro il social engineering? Un registro dei controlli conferma che la fase di processo esiste, ma non se venga rispettata sotto pressione temporale. Chi dispone il pagamento agisce nell'ambito delle proprie competenze, ingannato da un senso di urgenza fabbricato ad arte. ### Quali elementi di controllo vanno verificati per i pagamenti? Sono il canale di richiamata per i dati di pagamento modificati, la logica delle soglie per la verifica manuale incrociata e il percorso di escalation. Quest'ultimo deve permettere ai collaboratori di bloccare un pagamento senza che sia visto come una violazione di fiducia. ### Qual è il primo passo concreto per l'audit interno? L'audit interno dovrebbe svolgere nel prossimo ciclo un test simulato di social engineering, per esempio un CEO fraud, insieme al team pagamenti. Il test valuta i tempi di risposta effettivi e i percorsi di escalation, non solo la documentazione di processo.