Factură falsă cu IBAN schimbat: cum pierde o asociație banii

Povestea sună aproape identic de fiecare dată. Administratorul primește marți dimineață un e-mail de la firma care tocmai a terminat hidroizolația terasei. Aceeași semnătură, același logo, aceeași factură ca în devizul aprobat, chiar și numărul de ordine se potrivește. Un singur rând e diferit: IBAN-ul. În corpul mesajului, o explicație banală — „am schimbat banca, vă rugăm să folosiți noul cont pentru factura 1472”. Administratorul plătește 42.800 de lei din Fondul de reparații. Peste zece zile sună firma reală și întreabă politicos de ce nu a intrat banii. Atunci începe coșmarul.

Nu e un scenariu exotic. E cea mai eficientă fraudă financiară care lovește asociațiile de proprietari din România, pentru că nu sparge nimic: nu forțează conturi bancare, nu cere parole, nu instalează viruși. Exploatează un singur lucru — faptul că nimeni nu verifică un IBAN atunci când restul facturii e perfect.

Cum arată atacul: o factură perfectă, cu un singur rând schimbat

Atacatorii lucrează în două variante. Prima, cea mai ieftină, e imitarea: își înregistrează un domeniu care seamănă cu cel al furnizorului — termoservice-sa.ro în loc de termoservice.ro, apanova-facturare.com în loc de domeniul oficial — și trimit de acolo un mesaj care copiază aspectul facturii. Costă 40 de lei pe an și nu cere nicio competență tehnică.

A doua variantă e mult mai periculoasă: compromiterea reală a cutiei poștale a furnizorului sau chiar a administratorului. Aici atacatorul nu mai imită nimic. Intră în contul de e-mail, citește corespondența de luni întregi, învață cum vorbesc oamenii între ei, află exact ce lucrare e în derulare și Cât costă, apoi setează o regulă de redirecționare și răspunde în firul de discuție existent. Mesajul fraudulos vine de la adresa adevărată, sub subiectul adevărat, ca răspuns la ultimul mesaj real.

Exact așa a fost jefuită Tohan SA, companie din grupul ROMARM: atacatorii au preluat două adrese de e-mail ale firmei, au configurat redirecționarea mesajelor și au modificat documentele din conversație, rezultatul fiind transferuri neautorizate de peste 20.000 de euro către conturile lor, potrivit raportului anual al Directoratului Național de Securitate Cibernetică. Dacă s-a întâmplat la o companie cu departament IT propriu, cât credeți că rezistă o asociație unde toată corespondența trece prin adresa personală a administratorului?

Al treilea element al atacului e cronometrul. Factura falsă nu vine la întâmplare. Vine în ianuarie, când factura de termoficare a blocului de 40 de apartamente sare de 25.000–45.000 de lei (sume orientative, dependente de oraș și de sistemul de încălzire), sau vine în ziua în care asociația trebuie să achite tranșa pentru o lucrare la terasă. Momentul în care administratorul se aștepta oricum la o sumă mare este momentul în care verifică cel mai puțin.

De ce asociațiile de proprietari sunt ținta ideală

Dintr-o perspectivă pur cinică, o asociație de proprietari e o victimă aproape perfectă. Are bani în cont — fondul de reparații al unui bloc mediu poate ține între 15.000 și 150.000 de lei, iar înaintea unei lucrări majore suma este cunoscută, pentru că s-a discutat în adunarea generală și s-a afișat la avizier. Are plăți mari și neregulate către furnizori, deci un transfer de 40.000 de lei nu pare nimic ieșit din comun. Și, cel mai important, are un singur om care decide, fără departament financiar, fără al doilea aviz, fără audit la fiecare operațiune.

Mai e și problema canalului. În majoritatea asociațiilor, comunicarea cu furnizorii se face pe un Gmail sau Yahoo deschis în 2014, cu o parolă folosită și în altă parte, fără autentificare în doi pași, accesată de pe telefonul personal și de pe calculatorul din ghena amenajată ca birou. Dacă vreți o evaluare serioasă a acestor riscuri, am detaliat în ghidul despre securitatea cibernetică a asociației de proprietari ce înseamnă parole unice, MFA și separarea conturilor de serviciu de cele personale.

Se adaugă un factor de context pe care atacatorii îl exploatează deliberat: schimbarea obiceiurilor de facturare. Trecerea facturilor de la furnizori în sistemul e-Factura al ANAF a creat o perioadă de confuzie în care administratorii primeau simultan PDF-uri pe e-mail, XML-uri în Spațiul Privat Virtual și notificări din aplicații. Când nimeni nu mai e sigur cum „ar trebui” să arate o factură legitimă, orice variantă pare plauzibilă.

Și, în sfârșit, relația de încredere. Instalatorul care vine de opt ani la bloc, firma de lift cu care președintele vorbește pe numele mic, administratorul care știe telefonul dispecerului de la termoficare — toate acestea construiesc exact tipul de familiaritate care face ca întrebarea „ce e cu acest IBAN nou?” să pară nepoliticoasă. Frauda trăiește din politețe.

Cifrele care explică de ce riscul a crescut brusc

Nu vorbim despre o amenințare teoretică. Raportul anual al DNSC pentru 2025, publicat în august 2026, arată o schimbare de scară în exact categoria de atacuri care produce facturi false: compromiterea conturilor de e-mail.

Detaliul cel mai relevant pentru noi e ultimul rând. În 2025, DNSC a trimis aproximativ 1.800 de notificări către firme de servicii contabile, pentru că acestea au devenit ținta preferată a atacurilor prin e-mail fals. De ce contabilii? Pentru că ei țin facturile, IBAN-urile și calendarul plăților mai multor clienți. Un administrator de bloc care gestionează cinci asociații e, din punctul de vedere al atacatorului, exact același tip de țintă: o singură cutie poștală spartă deschide cinci conturi de plătit.

Adăugați și profesionalizarea campaniilor. Mesajele nu mai sunt traduceri stângace cu greșeli gramaticale; sunt scrise corect, cu diacritice, în registrul firmei imitate, pregătite la scară cu instrumente automate. Vremea în care recunoșteai o fraudă după „Stimate domnule client, va rugam urgent plata” a trecut definitiv.

Semnalele de alarmă: ce trădează o factură falsă

Chiar și un atac bine făcut lasă urme. Nu toate apar simultan, dar oricare dintre ele justifică oprirea plății până la clarificare.

• Domeniul scris aproximativ. Verificați caracter cu caracter adresa expeditorului: o cratimă adăugată, un „rn” în loc de „m”, un .com în loc de .ro, un subdomeniu de tip facturi.furnizor-ro.net. Poliția Română atrage atenția și asupra extensiilor neobișnuite — .cc, .top, .vip — ca indicator clar de fraudă.
• Presiunea de urgență. „Astăzi e ultima zi”, „se suspendă furnizarea”, „intrăm în penalități de la miezul nopții”. Graba e instrumentul principal, pentru că scurtcircuitează verificarea.
• IBAN la altă bancă. Un furnizor mare care își schimbă banca anunță asta oficial, în scris, pe hârtie cu antet, de obicei cu luni înainte — nu printr-o notă într-un e-mail la o singură factură.
• Titular diferit de furnizor. Dacă în mesaj apare un nume de titular de cont care nu e exact denumirea din contract, sau dacă apare o persoană fizică, opriți totul.
• Cerere de confirmare pe alt e-mail sau pe WhatsApp. „Răspundeți-mi pe adresa mea personală, am probleme cu serverul.” Acesta e semnul că atacatorul vrea să scoată conversația din canalul monitorizat.
• Factura vine doar pe e-mail. Dacă pentru același serviciu nu există corespondent în Spațiul Privat Virtual, e un semnal foarte puternic.
• Diferențe mici de format. Alt font pe o linie, logo cu rezoluție mai slabă, lipsa numărului de înregistrare la Registrul Comerțului, un PDF care nu mai e generat de același program.
• Fir de discuție reînviat. Un mesaj care răspunde brusc la o conversație închisă de două luni, cu un atașament nou.

Cele 9 verificări obligatorii înainte de orice plată

Lista de mai jos nu e un ideal teoretic. Sunt nouă pași care se fac în cinci minute și care, aplicați împreună, fac frauda aproape imposibilă.

1. Confruntarea cu e-Factura din SPV

Pentru facturile care intră obligatoriu în sistemul e-Factura, documentul real se află în Spațiul Privat Virtual al ANAF, în format XML. Deschideți SPV și comparați: furnizor, CUI, număr, dată, sumă. Un PDF primit pe e-mail nu înlocuiește niciodată documentul din SPV. Dacă factura nu există acolo, nu se plătește.

2. Apel telefonic la numărul din contract

Nu la numărul din semnătura e-mailului, nu la cel din factura atașată, nu la cel căutat pe Google. La numărul scris în contractul semnat și arhivat. Confirmarea se cere verbal, pe IBAN citit cifră cu cifră.

3. Verificarea IBAN-ului în contract

Fiecare contract de furnizare ar trebui să aibă IBAN-ul menționat explicit. Țineți un registru intern cu IBAN-urile validate ale tuturor furnizorilor și comparați mecanic, nu „din ochi”.

4. Verificarea titularului și a stării firmei

Numele titularului de cont trebuie să coincidă cu denumirea din contract. Verificați în paralel dacă firma e activă fiscal — o societate care a devenit brusc inactivă e un semn că cineva folosește o identitate reciclată.

5. Regula celor două canale pentru orice modificare de date bancare

Orice schimbare de IBAN se acceptă doar dacă e confirmată pe două canale independente: e-mail și telefon, sau adresă scrisă cu număr de înregistrare și telefon. Un singur canal nu e niciodată suficient.

6. Dublă semnătură peste un plafon aprobat

Plățile care depășesc un plafon stabilit în adunarea generală se execută doar cu două aprobări distincte — administrator plus președinte, sau administrator plus un membru al comitetului executiv.

7. Limită zilnică la internet banking

Setați în aplicația bancară un plafon zilnic de transfer corelat cu cheltuielile curente. O limită de 10.000 de lei pe zi nu împiedică plata facturilor obișnuite, dar transformă o fraudă de 40.000 de lei într-o întrebare pusă la timp.

8. Conturi separate pentru fondul de reparații

Fondul de reparații ținut în cont distinct, cu acces separat, nu se golește accidental la o plată curentă. Evidența se ține în registrul fondului de reparații, iar mișcările trebuie să corespundă hotărârilor luate. Cum se poate greși aici am explicat în articolul despre fondul de reparații folosit pentru plata facturilor curente.

9. Reconcilierea bancară lunară, fără excepții

Punctajul între extrasul de cont și evidența plăților prinde orice sumă dusă unde nu trebuia. Un ghid pas cu pas pentru reconcilierea bancară a asociației vă arată cum se face în 20 de minute pe lună.

Controale interne: plafoane, aprobări și decizii scrise

Verificările individuale țin cât ține atenția omului. Controalele interne funcționează și în ziua în care administratorul e răcit, grăbit și are 30 de apeluri de la locatari. Ideea e simplă: cu cât suma e mai mare, cu atât mai mulți ochi trec peste ea.

Plafoanele din tabel sunt o propunere de lucru, nu o cerință legală — fiecare asociație le calibrează după bugetul propriu. Important e să fie votate și scrise, nu înțelese pe cale amiabilă. O decizie a comitetului executiv care fixează plafoanele, canalele de confirmare și regula celor două semnături costă zero lei și valorează, la nevoie, cât întreg fondul de reparații.

Tehnologia ajută doar dacă impune procedura, nu dacă o ocolește. Într-o platformă de administrare cum este CondoFlow, plățile către furnizori merg pe un flux de aprobare configurabil, facturile din e-Factura ANAF intră automat în sistem, iar fiecare operațiune rămâne în registrul de bancă și în lista facturilor — adică exact trasabilitatea de care aveți nevoie când cineva întreabă, trei luni mai târziu, cine a autorizat transferul.

Prima oră după ce banii au plecat

Dacă ați plătit și ați realizat eroarea, viteza e singura resursă care vă mai rămâne. Un transfer interbancar nu e instantaneu-irevocabil în toate cazurile; dacă prindeți fereastra de procesare, banca expeditoare poate încerca blocarea sau rechemarea sumei. După ce banii sunt retrași de la celălalt capăt — de regulă în câteva ore, uneori prin două-trei conturi intermediare — șansele scad brutal.

Două precizări care doare să le afli târziu. Prima: nu ștergeți nimic. E-mailul fraudulos, cu anteturile complete, este proba principală; dacă îl ștergeți „ca să nu-l mai apese pe nimeni”, ancheta rămâne fără punctul de plecare. A doua: nu scrieți atacatorului. Orice răspuns îi confirmă că adresa e activă și că ați plătit.

Cine suportă pierderea: administrator, președinte sau asociație

Aici încep discuțiile grele la ședință. Răspunsul scurt: depinde de cât de bine au fost respectate propriile proceduri ale asociației. Atribuțiile administratorului, răspunderea pentru gestiunea fondurilor și rolul comitetului executiv și al cenzorului sunt reglementate de Legea 196/2018 — pentru formularea exactă aplicabilă cazului dvs., verificați textul legii și consultați un avocat sau un expert contabil, pentru că de nuanțe depinde totul.

În practică, se conturează trei scenarii. Dacă asociația avea o procedură scrisă de verificare a plăților și administratorul nu a aplicat-o — a plătit 42.800 de lei fără nicio confirmare telefonică, fără a deschide SPV-ul, fără a cere a doua semnătură — discuția privind răspunderea lui personală devine foarte serioasă. Dacă asociația nu avea nicio procedură, nici plafoane, nici reguli votate, responsabilitatea se diluează spre organele care trebuiau să le stabilească: comitetul executiv și adunarea generală. Iar dacă procedura exista și a fost respectată integral, iar frauda a trecut totuși — se întâmplă, când e compromis e-mailul furnizorului —, pierderea rămâne, de regulă, a asociației, cu recuperare doar pe calea penală.

De aceea asigurarea de răspundere civilă profesională a administratorului nu e un lux birocratic. Legea 196/2018 prevede posibilitatea ca asociația să solicite administratorului o astfel de poliță — verificați formularea exactă în textul legii — iar costul este, orientativ, între 300 și 800 de lei pe an pentru limite modeste, cu polițe de răspundere profesională care pornesc de la aproximativ 157 lei/an pe piața românească. Atenție însă: multe polițe acoperă erorile profesionale, nu neapărat pierderile din fraudă informatică. Cereți explicit, în scris, confirmarea asigurătorului pe scenariul „plată efectuată către un IBAN fraudulos în urma unui e-mail fals” și verificați franșiza, limita per eveniment și excluderile.

Un al treilea element: dacă în urma fraudei asociația nu mai poate plăti la timp furnizorii, apar penalități contractuale și restanțe. Reținețí distincția — penalizările pe care asociația le aplică proprietarilor restanțieri sunt plafonate la maximum 0,2% pe zi de întârziere, conform art. 77 din Legea 196/2018, în timp ce penalitățile cerute de un furnizor urmează contractul comercial. Dacă ajungeți în această situație, ghidul despre eșalonarea datoriilor către furnizori vă arată cum se negociază o convenție de plată înainte să se ajungă la întreruperea serviciului.

Ce puneți în contractul de administrare pentru 2027

Dacă prelungiți sau semnați un contract de administrare cu o firmă specializată, folosiți ocazia pentru a adăuga un capitol de securitate a plăților. Nu e nimic exotic — sunt clauze pe care orice administrator serios le acceptă, pentru că îl protejează și pe el.

• Canal unic de comunicare cu furnizorii: o adresă de e-mail dedicată asociației, cu autentificare în doi pași obligatorie, interzisă folosirii pentru altceva.
• Procedura de modificare a datelor bancare: orice IBAN nou se validează pe două canale independente, cu consemnare scrisă; e-mailul singur nu produce niciun efect.
• Plafoane și dublă aprobare: sumele și semnăturile necesare, preluate din decizia comitetului executiv, menționate explicit în contract.
• Obligația de notificare în 24 de ore a președintelui și a cenzorului pentru orice incident de securitate sau tentativă de fraudă, chiar nereușită.
• Asigurare de răspundere civilă profesională cu limită corelată cu disponibilul maxim al asociației și cu acoperire verificată pentru fraudă prin substituire de identitate.
• Dreptul asociației de a audita fluxul de plăți și de a cere extrasele de cont la cerere, fără preaviz, inclusiv accesul la evidența IBAN-urilor validate.
• Interdicția de a păstra credențialele bancare în fișiere, agende sau browsere nesecurizate.

Un argument în plus pentru 2027: regulamentul european privind plățile instant introduce verificarea beneficiarului (Verification of Payee) — adică potrivirea automată între numele titularului și IBAN înainte de executarea plății. În zona euro funcționează din 9 octombrie 2025, iar pentru statele din afara zonei euro, inclusiv România, termenul anunțat este 9 iulie 2027. Când va fi activ la banca dvs., o bună parte din acest tip de fraudă devine mult mai greu de executat — întrebați-vă banca unde stă cu implementarea. Până atunci, procedura internă rămâne singurul filtru.

Și încă o verificare care nu are legătură directă cu e-mailul, dar ține de aceeași igienă financiară: asigurați-vă că banii proprietarilor circulă prin canale legitime. Am scris despre ce s-a întâmplat când o platformă de plată a întreținerii a fost oprită de BNR — un motiv bun să verificați periodic și intermediarii, nu doar furnizorii.

Întrebările care revin cel mai des

Furnizorul meu chiar și-a schimbat banca. Cum procedez?

Cereți o adresă oficială, pe hârtie cu antet, semnată și înregistrată, apoi confirmați telefonic la numărul din contract. Abia după aceea actualizați registrul intern de IBAN-uri și, dacă se poate, încheiați un act adițional la contract. Prima plată pe contul nou faceți-o cu o sumă mică, de test, dacă furnizorul acceptă.

Pot ține toți banii într-un singur cont, e mai simplu?

Simplu, da. Sigur, nu. Separarea fondului de reparații de contul operațional limitează pierderea maximă la o singură plată frauduloasă și face evidența mult mai curată. Diferența de efort e de câteva minute pe lună.

Dacă factura e falsă, mai datorez banii furnizorului real?

Da. Obligația de plată rezultă din contract și din serviciul prestat, nu din e-mailul primit. Asociația rămâne datoare furnizorului real, iar suma pierdută se recuperează separat, pe calea penală. Practic, blocul plătește de două ori — exact de aceea prevenția e atât de ieftină în comparație.

Cine trebuie să informeze proprietarii?

Administratorul și președintele, imediat, printr-un anunț la avizier și o informare în ședința comitetului executiv. Ascunderea incidentului până la adunarea generală anuală e cea mai rea decizie posibilă: proprietarii au dreptul să consulte documentele asociației, inclusiv printr-o cerere de consultare a documentelor în baza art. 28, iar un fond dispărut se observă oricum la prima verificare a soldurilor.

Merită să cer ajutorul autorităților de securitate cibernetică?

Da. Pe lângă plângerea penală, raportarea incidentului către autoritatea națională de securitate cibernetică ajută la cartografierea campaniei și, uneori, la identificarea rapidă a domeniilor folosite. Nu costă nimic și durează un sfert de oră.

O factură falsă nu arată niciodată ca o fraudă. Arată ca o zi obișnuită de muncă, în care cineva vă cere exact banii pe care îi datorați oricum. Singurul lucru care o deosebește de realitate e un șir de 24 de caractere — și singurul moment în care îl mai puteți verifica e înainte să apăsați „trimite”.