Jak sprawdzić, że dane przelewu nie zostały sfałszowane

International Bank Account Number definiuje norma ISO 13616. Zaczyna się od dwuliterowego kodu ISO kraju, dwóch cyfr kontrolnych i BBAN charakterystycznego dla danego kraju — np. 28 znaków w Polsce, 22 w Niemczech, 27 we Włoszech. Łączna długość jest stała dla kraju.

Dwie cyfry kontrolne używają algorytmu mod-97: przenieś kod kraju i cyfry kontrolne na koniec, zamień litery na liczby (A=10 … Z=35), oblicz modulo 97. Poprawny IBAN daje zawsze resztę 1. Dlatego losowy ciąg znaków lub literówka niemal nigdy nie przechodzi kontroli. To nie dowodzi, że konto istnieje — jedynie, że numer ma poprawną formę.

BIC (kod SWIFT) identyfikuje sam bank: 8 lub 11 znaków dla instytucji, kraju i oddziału. W ramach SEPA BIC jest opcjonalny od 2016 — wystarczy IBAN — ale dla przelewów SWIFT poza SEPA nadal jest wymagany.

Oszustwo, które kosztuje europejskie firmy setki milionów euro rocznie, to nie zły IBAN, lecz Business Email Compromise (BEC), zwany też przekierowaniem faktur. Napastnicy uzyskują dostęp do skrzynki (płatnika lub dostawcy), obserwują otwarte faktury i wysyłają wiadomość łudząco podobną do prawdziwej, w której dostawca rzekomo informuje o 'zmianie danych bankowych'. Nowy IBAN jest autentyczny i przechodzi każdą kontrolę — należy jednak do oszusta.

Wzorzec łatwo rozpoznać: wiadomość przychodzi późno w procesie, często w ostatnim tygodniu przed dużą płatnością. Domena jest łudząco podobna (dodatkowa litera, .com zamiast .pl). Ton nalega na pośpiech i prosi, by nie dzwonić, tylko odpowiedzieć e-mailem. Prawdziwy pracownik dostawcy bywa w DW, ale nigdy nie otrzymuje wiadomości.

Stosuj te sześć kroków przed każdym pierwszym przelewem i przy każdej zmianie danych bankowych:

1. IBAN musi przejść kontrolę mod-97 — większość aplikacji bankowości online robi to automatycznie. Jeśli nie przechodzi — od razu odrzuć.

2. Zweryfikuj imię/nazwę posiadacza konta przez Weryfikację Odbiorcy tam, gdzie jest dostępna (w strefie euro obowiązkowa dla przelewów w euro od 9 października 2025).

3. Jeśli odbiorca właśnie zmienił dane bankowe, zadzwoń na numer uzyskany niezależnie — strona, stara faktura — nigdy nie z nowej wiadomości.

4. Przy dużych płatnościach wyślij najpierw mały przelew testowy i poczekaj na potwierdzenie.

5. Sprawdź domenę nadawcy znak po znaku i najedź na linki, by zobaczyć prawdziwy URL.

6. Nigdy nie zatwierdzaj zmiany danych bankowych na podstawie jednej wiadomości, nawet z zaufanego adresu — wymagaj drugiej pary oczu.