Pentru multe firme, phishing-ul nu mai arată ca mesajele vechi, pline de greșeli și promisiuni absurde. În 2026, una dintre cele mai costisitoare forme de fraudă online pentru companii rămâne cea în care atacatorii se dau drept furnizori, colegi sau directori și încearcă să grăbească o plată. De multe ori, mesajul pare banal: o factură „actualizată”, un IBAN „nou”, o cerere urgentă trimisă „înainte de închiderea zilei”. Tocmai această aparență normală face frauda periculoasă.
Ce se întâmplă, de fapt
INTERPOL explică fenomenul ca parte din frauda de tip Business Email Compromise: infractorii obțin informații despre fluxurile de plată ale companiei, apoi conving un angajat să trimită bani într-un cont controlat de ei. Uneori compromit un cont de email real. Alteori folosesc doar social engineering și adrese foarte asemănătoare cu cele legitime.
FTC avertizează că mesajele de phishing „spun o poveste” menită să împingă victima spre o acțiune rapidă: să deschidă un atașament, să apese pe un link, să confirme date financiare sau să plătească o factură care pare credibilă. În mediul de business, povestea se traduce simplu: „avem un nou cont bancar”, „refă plata azi”, „am schimbat datele de facturare”, „directorul cere discreție și viteză”.
Semne care trebuie să ridice imediat un semn de întrebare
Primul semnal de risc este schimbarea bruscă a datelor de plată. Dacă un furnizor cu care lucrați de luni sau ani trimite dintr-odată alt IBAN, alt beneficiar sau altă bancă, mesajul trebuie tratat ca suspect până la confirmare.
Al doilea semnal este urgența artificială. Formulări precum „plătește în următoarea oră”, „nu mai am acces la telefon”, „rezolvă fără să implici pe altcineva” sau „evităm penalități dacă faci transferul acum” sunt tipice în fraudele bazate pe presiune.
Al treilea semnal este contextul imperfect: adresă de email ușor modificată, semnătură diferită, atașament neașteptat, ton neobișnuit, factură fără comandă sau contract de referință, ori solicitarea de a ignora procedura internă.
Cum verifică angajații o factură înainte de plată
Verificarea utilă nu începe cu atașamentul, ci cu contextul. Angajatul trebuie să compare factura cu datele deja existente în companie: contractul, comanda, istoricul furnizorului, persoana de contact cunoscută și facturile anterioare. Dacă suma, serviciul, termenul sau beneficiarul diferă, plata se oprește până la clarificare.
Apoi se verifică identitatea expeditorului dincolo de numele afișat. Contează domeniul complet al adresei de email, adresa de răspuns și eventualele mici diferențe de scriere. Un mesaj poate afișa numele corect al furnizorului și totuși să vină de pe un domeniu fals.
O regulă sănătoasă este ca nicio factură nouă, neobișnuită sau modificată să nu fie plătită doar pe baza emailului primit. Dacă documentul cere accesarea unui link pentru „confirmare” sau „actualizare date”, linkul nu ar trebui folosit înainte de o verificare independentă.
Cum se verifică un IBAN schimbat
Aici regula trebuie să fie foarte clară: schimbarea IBAN-ului nu se validează niciodată doar prin reply la același email. INTERPOL recomandă ca, atunci când primiți o solicitare de schimbare a metodei de plată sau a contului bancar, să contactați destinatarul plății prin alt canal, de exemplu telefonic, folosind un număr cunoscut deja de companie, nu unul trimis în mesaj.
În practică, asta înseamnă trei pași simpli: oprirea plății, apelarea persoanei sau companiei la un număr din contract, CRM sau site-ul oficial și confirmarea explicită a noului IBAN. Ideal, confirmarea se notează intern, astfel încât decizia să poată fi verificată ulterior.
Ce facem cu cererile urgente venite „de la șef”
Acesta este unul dintre cele mai sensibile scenarii. Dacă mesajul cere confidențialitate, viteză sau ocolirea fluxului normal de aprobare, angajatul nu ar trebui să considere cererea drept excepție, ci exact motivul pentru care procedura trebuie respectată mai strict.
Pentru plățile urgente, firmele mici și medii au nevoie de o regulă simplă și repetabilă: confirmare verbală pe un număr cunoscut și, dacă este posibil, a doua aprobare internă. Chiar și o companie mică poate reduce riscul dacă nimeni nu poate schimba singur beneficiarul și autoriza imediat transferul.
Dacă plata a fost deja făcută
Timpul contează. INTERPOL recomandă alertarea imediată a băncii și raportarea rapidă a incidentului către autorități, împreună cu păstrarea documentelor relevante: emailuri, facturi, detalii de transfer și orice dovadă a conversației. Cu cât reacția este mai rapidă, cu atât cresc șansele de blocare sau recuperare a fondurilor.
Concluzia practică
În firme, phishing-ul financiar nu se oprește printr-un singur tool, ci printr-un reflex de verificare. O factură nu se plătește doar pentru că arată profesionist. Un IBAN nu se schimbă doar pentru că apare într-un email convingător. Iar o cerere urgentă nu devine legitimă doar fiindcă pare venită de la cineva important. Cea mai bună apărare rămâne combinația dintre atenție, verificare pe canal separat, reguli interne clare și oprirea plății atunci când ceva nu se leagă.
