Como verificar se os dados de transferência não estão falsificados

O International Bank Account Number está definido na ISO 13616. Começa pelo código ISO do país (duas letras), seguido de dois dígitos de controlo e do BBAN específico do país — por exemplo 25 caracteres em Portugal, 22 na Alemanha, 27 em Itália. O comprimento total é fixo por país.

Os dois dígitos de controlo usam o algoritmo mod-97: passar país e dígitos de controlo para o fim, substituir letras por números (A=10 … Z=35) e calcular módulo 97. Um IBAN válido dá sempre resto 1. Por isso uma cadeia aleatória ou um carácter trocado quase nunca passa. Não prova que a conta existe — só que o número está bem formado.

O BIC (código SWIFT) identifica o próprio banco: 8 ou 11 caracteres para instituição, país e balcão. Dentro do SEPA o BIC é opcional desde 2016 — basta o IBAN — mas para transferências SWIFT fora do SEPA continua necessário.

A fraude que custa às empresas europeias centenas de milhões de euros por ano não é um IBAN errado, é o Business Email Compromise (BEC), também dito fraude de mudança de dados. Os atacantes acedem a uma caixa de correio (do pagador ou do fornecedor), vigiam faturas pendentes e enviam um e-mail quase idêntico ao original a anunciar 'alteração dos dados bancários'. O novo IBAN é autêntico e passa qualquer controlo — pertence porém ao autor da fraude.

O padrão é reconhecível: o e-mail chega tarde no processo, muitas vezes na semana antes de um pagamento grande. O domínio é quase igual (uma letra a mais, .com em vez de .pt). O tom pressiona pela urgência e pede para não telefonar mas responder por e-mail. Muitas vezes o contacto real do fornecedor está em cópia mas nunca recebe a mensagem.

Use estes seis passos antes de qualquer primeira transferência e sempre que os dados bancários mudem:

1. O IBAN tem de passar o controlo mod-97 — a maioria das apps de banca online fá-lo automaticamente. Se falhar, recusar de imediato.

2. Verifique o titular da conta com a Verificação do Beneficiário sempre que disponível (obrigatória na área do euro para transferências em euros desde 9 de outubro de 2025).

3. Se o beneficiário acabou de mudar de dados, ligue-lhe para um número obtido por outra via — website, fatura antiga — nunca o do novo e-mail.

4. Para pagamentos grandes, envie primeiro uma pequena transferência de teste e aguarde confirmação.

5. Verifique o domínio do remetente carácter a carácter e passe o rato sobre os links para ver o URL real.

6. Nunca aprove uma alteração de dados bancários com base num único e-mail, mesmo de endereço conhecido — exija dupla validação.