„Am schimbat banca, plătiți în contul nou” — cum se fură o plată dintr-un email

Ghid despre proces și organizare internă. Nu ține locul unei consultații fiscale sau juridice.

Atacul nu are nevoie să spargă contul tău. Îi ajunge să intre pe emailul furnizorului tău — sau doar să imite adresa lui — și să trimită, la momentul potrivit, o factură reală cu un IBAN schimbat. Plata pleacă aprobată corect, de omul potrivit, la suma potrivită, spre contul greșit. Singurul lucru care o oprește este o regulă banală: orice schimbare de rechizite se confirmă pe alt canal decât cel prin care a venit, la un contact pe care îl aveai dinainte.

Cum arată atacul, pas cu pas

Descrierea de mai jos nu e o reconstituire de-a noastră. E mecanismul pe care Europol îl documentează în fișa despre frauda cu facturi: cineva se prezintă drept furnizorul, creditorul sau prestatorul tău și cere ca rechizitele bancare pentru facturile viitoare să fie schimbate, iar contul propus e controlat de el.

Nuanța care schimbă totul: nu trebuie să fii tu spart. Poliția Română a constatat că, în aproape toate cazurile semnalate, compromiterea emailului a avut loc la societățile străine partenere. Securitatea ta informatică poate fi impecabilă și tot pierzi banii, pentru că punctul slab e căsuța de email a altcuiva.

Cine rămâne cu paguba

Aici e partea pe care oamenii o află prea târziu. Plata a fost autorizată de persoana îndreptățită, către un IBAN valid, cu suma corectă. Din perspectiva băncii, ordinul a fost executat exact cum a fost dat. Cifrele europene arată unde cade paguba în acest tip de fraudă.

Din 2027, băncile din statele UE din afara zonei euro vor fi obligate să te avertizeze când numele beneficiarului nu se potrivește cu IBAN-ul introdus. Moldova nu intră sub acea obligație, deși din 6 octombrie 2025 face parte din SEPA — sunt lucruri diferite, iar aderarea la SEPA nu aduce cu ea verificarea beneficiarului. Concluzia practică pentru o organizație din Chișinău: nu aștepta ca banca să prindă greșeala. Nu are cum și, deocamdată, nici obligația.

Procedura care oprește atacul

Recomandarea autorităților e remarcabil de constantă, indiferent de țară. Europol: nu folosi datele de contact din scrisoarea, faxul sau emailul care cere schimbarea; folosește-le pe cele din corespondența anterioară. Poliția Română: verifică telefonic la un număr deținut anterior și verificat, și nu răspunde cu „Reply”, ci cu „Forward” și adresa scrisă manual. Poliția Republicii Moldova: informația despre schimbarea rechizitelor se verifică repetat și prin surse de comunicație diferite.

Subiect: Confirmare rechizite bancare — contract nr. ____ / ____

Bună ziua,

Am primit pe email o solicitare de modificare a contului bancar pentru facturile
emise de dumneavoastră. Înainte de a opera schimbarea, avem nevoie de o confirmare
pe canal separat.

Vă rugăm să confirmați telefonic, la numărul din contract, sau printr-un email
trimis de la adresa cu care corespondăm din ____ (anul):

1. dacă solicitarea de schimbare a contului vă aparține;
2. ultimele patru cifre ale IBAN-ului corect;
3. persoana din organizația dumneavoastră care a inițiat schimbarea.

Până la confirmare, plățile rămân programate pe contul din contract.

Cu respect,
____________

Dacă banii au plecat deja: sună banca în aceeași oră și cere rechemarea transferului, apoi depune plângere la poliție. Recuperarea depinde aproape exclusiv de cât de repede se blochează contul destinatar — orele contează mai mult decât argumentele.

De ce procedura există pe hârtie și nu se aplică

Aproape orice organizație pe care o întrebi îți spune că „bineînțeles, verificăm”. Când ceri să vezi unde e scris cine verifică și la ce prag, urmează o pauză. Regula trăiește în capul contabilei, iar în ziua în care contabila e în concediu, plata o pregătește altcineva care nu a auzit niciodată de ea.

De aceea partea care contează nu e textul procedurii, ci locul unde e cerută. O regulă pe care sistemul o cere înainte să lase plata mai departe se aplică singură; una care depinde de memorie se aplică până la primul concediu. Asta e diferența dintre a scrie o politică și a avea un control.