Una PMI tessile attende il pagamento di una fattura di 92.000 EUR da un cliente francese. Pochi giorni prima della scadenza, l'amministrativa del cliente riceve una email apparentemente dall'AD italiano con nuova fattura PDF e IBAN aggiornato 'per cambio banca'.
Il pagamento parte verso un IBAN inglese intestato a una money mule reclutata online. I criminali avevano compromesso la casella commerciale@<azienda>.it un mese prima, leggevano i thread con il cliente e hanno scelto il momento giusto. Hanno usato un dominio lookalike con 'i' al posto di 'l'.
Mythos ha analizzato l'header dell'email fraudolenta: SPF fail, dominio registrato 11 giorni prima, IP di invio in un VPS asiatico. L'analisi del PDF ha rivelato che era stato generato dallo stesso template del PDF legittimo, ma con metadata Adobe modificati. Il dossier ha permesso il recall SWIFT parziale e il blocco del 38% dei fondi.