Verificarea beneficiarului înainte de transfer: va putea noul sistem european să oprească fraudele cu IBAN-uri false?

Un transfer bancar pare una dintre cele mai simple operațiuni financiare pe care le poți face. Introduci numele beneficiarului, completezi IBAN-ul, alegi suma și autorizezi plata, iar în cazul transferurilor instant întregul proces poate dura doar câteva secunde. În spatele acestei simplități există însă o vulnerabilitate care a fost exploatată ani la rând de infractori: în numeroase sisteme bancare, IBAN-ul a reprezentat informația decisivă pentru direcționarea banilor, în timp ce numele beneficiarului introdus de client nu era verificat întotdeauna în mod real în raport cu titularul contului.

Această particularitate a făcut posibile unele dintre cele mai eficiente fraude cu facturi modificate, conturi bancare înlocuite sau e-mailuri de companie compromise. Documentul primit de victimă poate arăta perfect legitim, numele furnizorului poate fi corect, valoarea facturii poate coincide cu cea a unei achiziții reale, iar mesajul poate veni chiar dintr-o conversație autentică interceptată de atacatori. Singurul element schimbat este IBAN-ul, iar dacă banca nu verifică legătura dintre acesta și numele beneficiarului, banii pot ajunge direct într-un cont controlat de infractori.

Uniunea Europeană încearcă să reducă tocmai această vulnerabilitate prin Verification of Payee, prescurtat VoP, un mecanism care verifică înainte de transfer dacă numele beneficiarului introdus de plătitor corespunde titularului IBAN-ului. Sistemul face parte din noul cadru european pentru plățile instant și reprezintă una dintre cele mai importante modificări de securitate introduse în ultimii ani în infrastructura transferurilor bancare. Pentru statele din zona euro, obligațiile principale au început să fie aplicate din octombrie 2025, în timp ce furnizorii din statele UE care nu utilizează moneda euro, inclusiv România, beneficiază de un calendar de implementare mai lung.

Verification of Payee nu trebuie însă confundat cu un sistem care poate declara o tranzacție „sigură”. Banca nu poate determina automat dacă o investiție este legitimă, dacă produsul cumpărat există sau dacă persoana cu care comunici spune adevărul. Poate însă răspunde înainte ca banii să plece la o întrebare extrem de importantă: IBAN-ul introdus aparține într-adevăr persoanei sau companiei căreia crezi că îi trimiți banii? Pentru o categorie importantă de fraude, această verificare suplimentară poate fi suficientă pentru a opri plata înainte ca recuperarea banilor să devină extrem de dificilă.

Vezi și:

Pensia anticipată pentru femei în 2026. Ce acte trebuie depuse și când sunt necesare certificatele de naștere ale copiilor

Cum funcționează verificarea beneficiarului înainte de transfer

În forma sa cea mai simplă, Verification of Payee introduce o etapă suplimentară între completarea datelor transferului și autorizarea efectivă a plății. După ce introduci numele beneficiarului și IBAN-ul, banca ta solicită instituției care administrează contul destinatarului să confirme dacă informațiile corespund. Răspunsul trebuie să vină foarte rapid, astfel încât verificarea să nu transforme un transfer instant într-o procedură greoaie, iar utilizatorul poate primi o confirmare că numele corespunde, un rezultat de tip potrivire apropiată, o avertizare privind lipsa corespondenței sau informația că verificarea nu a putut fi realizată.

Diferența față de modul în care au funcționat tradițional multe transferuri este mult mai importantă decât pare. IBAN-ul reprezintă identificatorul utilizat pentru direcționarea banilor, ceea ce însemna că puteai introduce un IBAN perfect valid, dar la numele beneficiarului puteai scrie numele unei alte persoane sau companii fără ca transferul să fie neapărat blocat. În practică, un infractor putea trimite o factură pe care apărea numele corect al furnizorului, putea înlocui doar contul bancar și putea conta pe faptul că angajatul care executa plata nu va observa schimbarea sau nu va avea un mecanism simplu prin care să confirme titularul contului.

VoP creează o legătură explicită între cele două informații. Dacă introduci denumirea unei companii cunoscute, dar IBAN-ul aparține unei persoane fizice fără legătură cu aceasta, banca poate semnala nepotrivirea înainte de autorizarea transferului. În cazul unei diferențe mai mici, sistemul poate indica o potrivire apropiată, situație utilă atunci când denumirea comercială diferă de cea juridică, numele unei persoane este scris în altă ordine, lipsesc diacriticele sau există abrevieri precum SRL, SA ori alte elemente juridice care pot face ca două forme corecte ale aceluiași nume să nu fie identice la nivel de caractere.

Vezi și:

Transferul bancar cu „undo” – poate Europa introduce o plasă de siguranță fără să distrugă plățile instant?

Plata direct din cont versus card: de ce băncile europene vor să recupereze relația cu comercianții?

Gestionarea acestor diferențe este importantă deoarece un sistem care ar genera avertismente la aproape fiecare variație de nume ar deveni rapid inutil. Utilizatorii s-ar obișnui să ignore mesajele, iar alerta destinată unei fraude reale s-ar pierde într-un flux de avertismente fără semnificație. Din acest motiv, mecanismele de potrivire trebuie să găsească un echilibru între toleranța față de diferențe legitime și capacitatea de a identifica situațiile în care IBAN-ul aparține clar altui beneficiar. Pentru persoanele juridice pot exista și informații suplimentare de identificare, astfel încât verificarea să fie cât mai exactă fără a împiedica plățile legitime.

Facturile modificate și IBAN-urile înlocuite sunt principala țintă

Una dintre cele mai importante categorii de fraudă pe care Verification of Payee o poate reduce este modificarea contului bancar de pe facturi. Atacul este relativ simplu din punct de vedere conceptual, dar poate produce pierderi de zeci sau sute de mii de euro, mai ales în relațiile dintre companii. Atacatorii pot compromite un cont de e-mail, pot urmări conversațiile dintre furnizor și client și pot identifica exact momentul în care urmează să fie făcută plata. În loc să inventeze o factură complet nouă, modifică doar informația bancară dintr-un document pe care victima îl așteaptă deja.

În scenariile mai sofisticate, atacatorul poate interveni într-un schimb real de mesaje și poate păstra valoarea facturii, numărul documentului, denumirea companiei, persoana de contact și toate celelalte informații legitime. Victima primește practic documentul pe care se aștepta să îl primească, doar că banii sunt direcționați către alt cont. Alteori nici măcar nu este necesară compromiterea sistemelor companiei: poate fi creată o adresă de e-mail aproape identică, poate fi copiată semnătura unui angajat și poate fi trimis un mesaj aparent banal prin care clientul este anunțat că firma și-a schimbat banca sau contul de încasare.

În vechiul model, faptul că angajatul introducea corect numele furnizorului în ordinul de plată nu oferea neapărat o protecție suplimentară. Dacă IBAN-ul era valid, plata putea fi executată către contul atacatorului. Cu Verification of Payee, aceeași situație poate produce o alertă imediată: numele furnizorului nu corespunde titularului IBAN-ului. Pentru un departament financiar care procesează zilnic zeci sau sute de plăți, un asemenea avertisment poate fi exact elementul care determină oprirea procedurii și verificarea schimbării contului printr-un canal separat.

Experiența unor state care au introdus anterior mecanisme asemănătoare sugerează că efectul poate fi consistent. În Olanda, verificarea combinației dintre IBAN și numele beneficiarului a fost asociată cu o reducere puternică a fraudelor bazate pe facturi falsificate sau modificate, precum și a transferurilor trimise din greșeală către alte conturi. Marea Britanie a introdus propriul mecanism, Confirmation of Payee, iar evaluările făcute după implementare au indicat de asemenea o reducere a unor categorii de transferuri către beneficiari greșiți sau conturi care nu corespundeau persoanei pe care plătitorul credea că o plătește.

Aceste rezultate nu înseamnă că aceleași procente vor fi reproduse automat în întreaga Uniune Europeană, deoarece infractorii își modifică permanent metodele și diferențele dintre piețele bancare sunt importante. Miza devine însă și mai mare odată cu extinderea plăților instant, unde banii pot ajunge în contul beneficiarului în doar câteva secunde. După primirea sumei, aceasta poate fi transferată rapid către alte conturi, retrasă sau convertită prin diferite servicii, ceea ce face recuperarea mult mai dificilă. Într-un asemenea sistem, prevenirea înainte de autorizare devine considerabil mai valoroasă decât încercarea de recuperare după executarea plății.

De ce un rezultat pozitiv nu înseamnă că plata este sigură

Cea mai importantă limitare a Verification of Payee este faptul că mecanismul verifică identitatea titularului contului, nu legitimitatea motivului pentru care îi trimiți bani. Dacă un infractor te convinge să îi faci un transfer chiar în contul deschis pe numele său și îți comunică numele corect, banca poate raporta o potrivire perfectă. Din perspectiva VoP, sistemul funcționează exact așa cum a fost conceput: numele introdus corespunde IBAN-ului. Faptul că beneficiarul te minte în legătură cu investiția, serviciul, produsul sau urgența pentru care solicită banii nu poate fi dedus doar din această corespondență.

Această limitare devine evidentă în fraudele cu investiții fictive, criptomonede, produse inexistente, false oportunități de afaceri sau relații sentimentale construite pentru obținerea banilor. Un atacator poate promite acces la o investiție cu randament spectaculos și poate solicita un transfer de câteva mii de euro într-un cont care îi aparține în mod legitim. Dacă victima introduce chiar numele respectiv, verificarea va confirma beneficiarul, deși întreaga poveste din spatele tranzacției este falsă. VoP poate confirma cine primește banii, dar nu poate confirma că promisiunea făcută de persoana respectivă este autentică.

Problema este asemănătoare în fraudele în care cineva se prezintă drept angajat al unei bănci și îi spune victimei că trebuie să își mute economiile într-un „cont securizat”. Atacatorul poate furniza inclusiv numele real al titularului contului, iar verificarea nu va identifica automat înșelătoria. Tocmai de aceea un rezultat de tip „match” nu trebuie interpretat ca un certificat că tranzacția este lipsită de risc. El spune doar că informațiile privind beneficiarul sunt coerente între ele, nu că banca garantează scopul operațiunii sau buna-credință a persoanei care primește banii.

Există și problema avertismentelor pe care utilizatorul le poate ignora. O nepotrivire nu înseamnă automat că transferul trebuie blocat, deoarece pot exista explicații legitime pentru diferențele dintre numele introdus și cel asociat contului. Infractorii pot exploata tocmai această flexibilitate, pregătind victima înainte de plată cu explicații precum „contul este al companiei-mamă”, „banca afișează numele contabilului” sau „este normal să primești o avertizare”. Pe măsură ce verificarea beneficiarului devine cunoscută, este probabil ca asemenea justificări să intre tot mai des în scenariile de inginerie socială.

Din acest motiv, o nepotrivire între nume și IBAN trebuie să reprezinte un motiv real pentru oprirea temporară a plății și verificarea informațiilor printr-un canal separat. Dacă un furnizor anunță prin e-mail că și-a schimbat contul bancar, poți confirma informația folosind datele de contact cunoscute anterior, nu numărul de telefon sau adresa furnizată în mesajul care solicită modificarea. Verification of Payee funcționează cel mai bine atunci când avertismentul tehnic este combinat cu proceduri interne și cu un comportament prudent al utilizatorului, nu atunci când este tratat ca o simplă formalitate înaintea butonului de confirmare.

Ce se schimbă pentru România și transferurile europene

Pentru România, ideea verificării beneficiarului nu este complet nouă, deoarece sistemul bancar local utilizează deja Serviciul Afișare Nume Beneficiar, dezvoltat de TRANSFOND. Lansat în 2022 și extins ulterior către numeroase instituții financiare importante, mecanismul permite verificarea unor informații asociate beneficiarului înainte de finalizarea transferului. Numărul conturilor care pot fi interogate a crescut rapid, iar serviciul a ajuns să fie utilizat în zeci de milioane de verificări, ceea ce înseamnă că o parte importantă dintre clienții băncilor românești sunt deja familiarizați cu ideea de a vedea cine se află în spatele unui IBAN.

Avantajul cadrului european este însă interoperabilitatea. O soluție națională poate funcționa foarte bine atunci când ambele instituții implicate fac parte din aceeași infrastructură locală, dar transferurile internaționale sunt mai dificile. Dacă trimiți euro către o companie din Germania, Franța, Italia sau alt stat european, verificarea trebuie să funcționeze între instituții și infrastructuri diferite. Regulile europene încearcă să transforme această procedură într-un standard comun, astfel încât aceeași logică de confirmare să poată fi utilizată și atunci când beneficiarul se află în altă țară.

Pentru furnizorii de servicii de plată din statele UE care nu utilizează euro, calendarul este mai lung decât pentru zona euro, iar termenul general relevant pentru introducerea obligațiilor de verificare este 9 iulie 2027. România pornește însă dintr-o poziție relativ favorabilă deoarece infrastructura locală și experiența acumulată prin SANB pot simplifica tranziția. Impactul cel mai vizibil ar trebui să apară în cazul plăților transfrontaliere și în uniformizarea experienței dintre diferite bănci, astfel încât verificarea beneficiarului să nu mai depindă atât de mult de combinația exactă dintre instituția plătitorului și cea a destinatarului.

Noul cadru introduce și o dimensiune importantă legată de responsabilitatea instituțiilor financiare. Dacă verificarea trebuie furnizată conform regulilor europene, banca nu se mai poate limita în orice situație la argumentul că utilizatorul a introdus singur IBAN-ul. În anumite cazuri, nerespectarea obligațiilor privind verificarea poate genera responsabilități suplimentare pentru furnizorul de servicii de plată. În același timp, utilizatorul păstrează o parte importantă din responsabilitate: dacă banca avertizează explicit că numele nu corespunde contului, iar plata este autorizată în continuare, recuperarea ulterioară a banilor poate deveni mult mai complicată.

Verification of Payee nu va elimina frauda bancară și nici nu este proiectat să facă acest lucru. Poate elimina însă una dintre cele mai surprinzătoare slăbiciuni ale transferurilor tradiționale: posibilitatea de a introduce numele unei companii cunoscute, de a utiliza IBAN-ul unui străin și de a trimite banii fără ca această contradicție să fie semnalată. Pentru fraudele cu facturi modificate, conturi bancare înlocuite și e-mailuri compromise, diferența poate fi majoră, deoarece atacatorul nu mai trebuie doar să falsifice documentul sau mesajul, ci trebuie să depășească și verificarea identității asociate contului.

Pentru fraudele în care victima este convinsă să trimită de bunăvoie bani exact persoanei care o înșală, protecția rămâne limitată. Marele avantaj al sistemului european nu este că poate decide dacă o plată este bună sau rea, ci faptul că introduce un moment suplimentar de verificare exact înainte ca transferul să devină foarte greu de reversat. În era plăților instant, în care banii pot traversa Europa în doar câteva secunde, acel avertisment afișat înainte de autorizare poate reprezenta diferența dintre o tentativă de fraudă oprită la timp și o pierdere financiară care devine aproape imposibil de recuperat.

Pensia anticipată pentru femei în 2026. Ce acte trebuie depuse și când sunt necesare certificatele de naștere ale copiilor