Frauda BEC: factură cu IBAN schimbat, ce faci acum

Frauda BEC (Business Email Compromise, compromiterea e-mailului de afaceri) înseamnă că un infractor intră într-o conversație comercială reală și cere plata într-un cont controlat de el. Dacă ați plătit deja, sunați imediat banca pentru rechemarea plății, păstrați e-mailurile în forma originală și nu ștergeți nimic din căsuța afectată până la analiza tehnică.

Pe scurt

Frauda BEC folosește conversații reale, furnizori reali și sume plauzibile; de aceea trece de verificările obișnuite.
Primele ore contează: banca poate încerca rechemarea sau blocarea fondurilor doar dacă este anunțată rapid.
De obicei, una dintre căsuțele de e-mail implicate (a dumneavoastră sau a furnizorului) a fost compromisă; investigația stabilește care.
Fapta poate fi încadrată ca fraudă informatică (art. 249 Cod penal, închisoare de la 2 la 7 ani).
Un apel telefonic de verificare pe un număr deja cunoscut oprește majoritatea tentativelor; apelurile video și vocile clonate cu AI fac acest control și mai necesar.

Cum funcționează o fraudă BEC?

Scenariul tipic are patru etape:

Accesul. Infractorul obține parola unei căsuțe de e-mail, de regulă prin phishing, sau înregistrează un domeniu aproape identic cu al unui partener.
Observarea. Citește în liniște corespondența săptămâni la rând: cine aprobă plăți, ce furnizori sunt, când vin facturile, cum scriu oamenii.
Interpunerea. La momentul potrivit, trimite un mesaj în firul real de discuție: „Am schimbat banca, vă rugăm să folosiți noul IBAN”, cu factura modificată atașată.
Ascunderea. Creează reguli care mută automat răspunsurile în foldere ascunse sau le redirecționează, astfel încât victima reală să nu vadă confirmările.

Variantele frecvente sunt factura furnizorului cu IBAN schimbat, mesajul „urgent și confidențial” de la director către contabilitate (frauda de tip CEO) și cererea de modificare a contului de salariu al unui angajat.

De ce este o pierdere financiară directă?

Spre deosebire de alte incidente, frauda BEC transformă imediat un e-mail în bani pierduți. Suma este, de obicei, mare, pentru că infractorul așteaptă o factură importantă. La pierderea directă se adaugă:

relația cu furnizorul, care nu și-a primit banii și poate cere plata din nou;
timpul echipelor financiare și de conducere;
costul investigației și al remedierii;
riscul ca aceeași căsuță compromisă să fi expus și alte date.

Raportul IBM Cost of a Data Breach 2025 arată un cost mediu global al unei breșe de 4,44 milioane USD și un ciclu mediu de viață al breșei de 241 de zile, de la producere până la izolare. Frauda BEC este adesea vârful vizibil al unei compromiteri care durează de mult.

Ce faceți în primele ore după ce descoperiți plata greșită

Sunați banca imediat, nu doar prin e-mail. Cereți rechemarea plății și blocarea fondurilor la banca beneficiarului. Notați numele persoanei și ora.
Anunțați furnizorul real pe un canal verificat (un număr de telefon deja cunoscut, nu cel din e-mail).
Nu ștergeți mesajele frauduloase și nu le redirecționați ca simplu text; păstrați-le în căsuță sau exportați-le în format original (.eml/.msg), cu antetele complete.
Schimbați parolele căsuțelor implicate, de pe un dispozitiv curat, și activați autentificarea multifactor, dar fără a șterge jurnalele.
Verificați regulile de e-mail: redirecționări către adrese externe, reguli care mută sau șterg mesaje.
Păstrați jurnalele de autentificare din platforma de e-mail; unele servicii le păstrează doar o perioadă limitată.
Strângeți documentele plății: ordinul de plată, extrasul, factura originală și cea falsificată.
Decideți sesizarea autorităților, împreună cu avocatul. Plângerea penală se depune la organele de urmărire penală.

Ce arată investigația căsuței de e-mail compromise?

Investigația tehnică răspunde la câteva întrebări simple, cu dovezi:

Unde a fost breșa: la noi sau la furnizor?

Antetele complete ale mesajelor arată pe ce servere au trecut, de pe ce domeniu au plecat și dacă au trecut verificările SPF, DKIM și DMARC. Un mesaj trimis de pe un domeniu aproape identic indică uzurparea, nu neapărat o căsuță compromisă. Un mesaj trimis din căsuța reală a furnizorului indică o compromitere la el.

De când avea infractorul acces?

Jurnalele de autentificare arată conectări din țări, rețele sau dispozitive neobișnuite, sesiuni păstrate după schimbarea parolei și aplicații terțe care au primit acces la căsuță.

Ce a văzut și ce a modificat?

Regulile de redirecționare, mesajele citite, atașamentele descărcate și documentele modificate arată ce informații au fost expuse. Asta contează și pentru obligațiile de protecție a datelor, dacă au fost expuse date cu caracter personal.

Unde a ajuns factura falsă?

Compararea metadatelor facturii falsificate cu factura originală arată ce s-a modificat, cu ce program și, uneori, când. Contul beneficiar, domeniile folosite și conturile de e-mail ale infractorilor devin indicatori care pot fi corelați cu alte cazuri.

Încadrarea faptei și competența

Frauda informatică (art. 249 Cod penal) incriminează introducerea, modificarea sau ștergerea de date informatice, restricționarea accesului ori împiedicarea funcționării unui sistem, în scopul unui beneficiu material, dacă s-a produs o pagubă, cu închisoare de la 2 la 7 ani. Accesul în căsuța de e-mail a altcuiva poate constitui și acces ilegal la un sistem informatic (art. 360), iar factura modificată poate ridica problema falsului informatic (art. 325).

Potrivit Legii 508/2004, faptele de la art. 325 și art. 360-366 sunt de competența DIICOT, iar frauda informatică intră la DIICOT atunci când a fost săvârșită în scopul unui grup infracțional organizat. Încadrarea juridică exactă o stabilesc procurorul și avocatul; analiza tehnică le pune la dispoziție faptele verificabile.

Controale care opresc frauda BEC

Control	Ce oprește	Cost de implementare
Apel de verificare pe un număr cunoscut, pentru orice schimbare de IBAN	Factura cu IBAN schimbat, frauda de tip CEO	Foarte mic, doar procedură
Autentificare multifactor pe toate căsuțele	Accesul cu parola furată prin phishing	Mic
Alertă pe reguli noi de redirecționare externă	Ascunderea conversației	Mic
SPF, DKIM, DMARC configurate strict	Uzurparea propriului domeniu	Mic
Monitorizarea domeniilor asemănătoare	Domeniile clonă ale firmei	Mic-mediu
Dublă aprobare peste un prag de plată	Plățile decise de o singură persoană sub presiune	Mic
Instruirea echipei financiare	Toate variantele, inclusiv cele noi	Mediu

Atenție la vocea și imaginea clonate

Apelul de verificare rămâne cel mai eficient control, dar trebuie făcut corect: pe un număr deja cunoscut, nu pe cel din mesaj, și cu o întrebare de control. În ianuarie 2024, la Hong Kong, un angajat din finanțe al companiei Arup a făcut 15 transferuri, circa 25 de milioane USD, după un apel video în care ceilalți participanți erau deepfake-uri ale unor directori. Frauda BEC nu se mai oprește la e-mail.

Cum vă ajută ProDefence

Serviciul de investigare a infracțiunilor informatice acoperă exact acest tip de caz: preluăm ce s-a întâmplat, conservăm mesajele și jurnalele înainte să se piardă, analizăm căsuțele implicate și reconstituim acțiunile atacatorului. Rolul nostru este tehnic: să stabilim ce s-a întâmplat și să documentăm dovada. Primiți un raport tehnic, probele documentate într-o formă utilizabilă în procedura penală, indicatorii de compromitere (domenii, adrese, conturi) și un plan de remediere. Decizia de a sesiza autoritățile vă aparține.

Pentru fișierele atașate suspecte, analiza de fraude electronice și malware arată ce face fișierul și ce a putut colecta. Când dosarul ajunge la avocat, ProCIS ordonează corespondența, plățile și răspunsurile băncilor într-o cronologie factuală verificabilă. Pentru prevenție, auditul de securitate web și rețea verifică autentificarea, configurarea domeniului și regulile de e-mail, iar cursurile ProDefence pregătesc echipa financiară.

Pe partea de prevenție, oamenii care plătesc facturile sunt ținta directă a fraudei BEC. Pe CysGame există gratuit chestionare și misiuni interactive despre phishing, utile ca exercițiu scurt și repetat pentru departamentul financiar.

Întrebări frecvente

Pot recupera banii plătiți într-un IBAN fraudulos?

Uneori, dacă banca este anunțată foarte repede și fondurile nu au fost încă retrase sau transferate mai departe. Nu există o garanție. Cereți imediat băncii rechemarea plății, anunțați furnizorul real și păstrați toate documentele, pentru plângerea penală și pentru discuția cu banca beneficiarului.

Cine răspunde: noi sau furnizorul?

Depinde unde s-a produs compromiterea și ce prevede contractul. Investigația tehnică stabilește, pe baza antetelor și a jurnalelor, dacă mesajul fals a plecat din căsuța furnizorului, de pe un domeniu clonă sau din propria căsuță. Interpretarea juridică a acestor fapte revine avocaților.

Trebuie să ștergem mesajele frauduloase?

Nu. Păstrați-le în forma originală, cu antetele complete, sau exportați-le ca fișiere .eml sau .msg. Ștergerea, redirecționarea ca text sau „curățarea” căsuței distrug exact informațiile care arată traseul mesajului și momentul compromiterii.

Cum recunosc o cerere de schimbare a IBAN-ului falsă?

Semnalele frecvente sunt urgența, solicitarea de confidențialitate, o bancă sau o țară nouă, mici diferențe în adresa expeditorului și o factură care arată identic cu cele anterioare. Regula sigură: orice schimbare de cont se confirmă telefonic, pe un număr deja cunoscut.

Frauda BEC trebuie raportată și la DNSC?

Entitățile esențiale și importante sub OUG 155/2024 notifică DNSC incidentele semnificative: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final într-o lună. Dacă sunt expuse date cu caracter personal, poate fi necesară și notificarea ANSPDCP în 72 de ore.

Cât durează investigația unei căsuțe compromise?

Depinde de numărul de căsuțe, de perioada analizată și de jurnalele disponibile. Partea urgentă, conservarea mesajelor și a jurnalelor, se face în primele zile, pentru că unele platforme păstrează jurnalele doar o perioadă limitată.

Surse

Codul penal, art. 249, 325, 360: https://legislatie.just.ro/
Legea nr. 508/2004 privind DIICOT, art. 12: https://legislatie.just.ro/Public/DetaliiDocument/56888
OUG nr. 155/2024, text consolidat: https://legislatie.just.ro/Public/DetaliiDocument/293121
IBM, Cost of a Data Breach Report 2025: https://www.ibm.com/reports/data-breach
CNN, „Arup revealed as victim of $25 million deepfake scam involving Hong Kong employee”, 16.05.2024: https://www.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, a analizat numeroase campanii de phishing și fraude financiare care vizează companii și utilizatori din România.