Fałszywy włoski dostawca i zmiana numeru IBAN: jak się chronić

W skrócie: przy prośbie włoskiego dostawcy o zmianę numeru IBAN nie płać, dopóki nie potwierdzisz zmiany telefonicznie pod numerem z wcześniejszej umowy, porównaj nazwę i numer VAT w VIES i sprawdź domenę nadawcy. Polskie banki muszą zacząć weryfikować odbiorcę przelewu najpóźniej od 9 lipca 2027 r., więc dziś sama ostrożność jest najlepszą ochroną.

Wszystkie poradniki: Poradniki.

Zobacz też: Weryfikacja włoskiej firmy: poradnik dla polskich przedsiębiorców.

Jak wygląda ten rodzaj oszustwa

Oszust podszywa się pod znanego dostawcę, wysyła fakturę lub „aktualizację danych bankowych” z nowym numerem rachunku i liczy na to, że przelew zostanie zlecony bez dodatkowego sprawdzenia. Wiadomość często pochodzi z domeny podobnej do prawdziwej albo z przejętej skrzynki. Kluczowe sygnały to nagła zmiana IBAN, presja czasu i adres e-mail, którego wcześniej nie używano.

Lista kontrolna przed zmianą IBAN

1. Zadzwoń pod numer zapisany w umowie lub w wcześniejszej korespondencji, nie pod numer z podejrzanej wiadomości.
2. Wpisz włoski numer P.IVA w VIES i porównaj zarejestrowaną nazwę z fakturą.
3. Sprawdź nazwę, siedzibę i osoby w Registro Imprese.
4. Porównaj domenę e-mail z dotychczasową i ze stroną internetową firmy.
5. Sprawdź, czy kod kraju IBAN (np. IT) zgadza się z krajem siedziby dostawcy; jeśli nowy rachunek jest w innym kraju, wymagaj wyjaśnienia na piśmie.

Fakty lokalne, które warto znać

Weryfikacja odbiorcy: terminy dla polskich banków. Art. 5c rozporządzenia (UE) 2024/886 nakazuje dostawcy usług płatniczych płatnika zaoferować płatnikowi usługę weryfikacji odbiorcy natychmiast po podaniu danych i przed możliwością autoryzacji przelewu. Dostawcy w państwach, których walutą jest euro, stosują ten artykuł najpóźniej od 9 października 2025 r., a dostawcy w państwach, których walutą nie jest euro (jak Polska), najpóźniej od 9 lipca 2027 r. (EUR-Lex). Gdy usługa zgłosi niezgodność, dostawca ma poinformować, że autoryzacja może skierować środki na rachunek nienależący do wskazanego odbiorcy (art. 5c ust. 7). Akt zmienia m.in. rozporządzenie (UE) nr 260/2012 „w odniesieniu do poleceń przelewu natychmiastowego w euro” (tytuł rozporządzenia); zakres przelewów objętych usługą sprawdź w tekście lub u swojego banku.

Oszustwo w polskim prawie karnym. Art. 286 § 1 Kodeksu karnego opisuje oszustwo (wprowadzenie w błąd w celu korzyści majątkowej) i przewiduje karę od 6 miesięcy do lat 8 (Kodeks karny).

Gdzie zgłaszać. CERT Polska działa w strukturach NASK i zajmuje się reagowaniem na incydenty bezpieczeństwa komputerowego; zgłoszenia przyjmuje przez incydent.cert.pl. Na stronie cert.pl znajdziesz też opis oszustw polegających na fałszywych prośbach o szybki przelew.

Jak pomaga Veryfy

Do każdego produktu dla firm Veryfy dodaje w prezencie check antyoszustwo (numer P.IVA w VIES z zarejestrowaną nazwą, adres e-mail, wiek domeny, zgłoszenia malware i phishing, SPF i DMARC, P.IVA na stronie, wycieki danych, poprawność IBAN).

Usługa i raport są po włosku i opierają się na oficjalnych włoskich źródłach: nazwy firm, funkcje i procedury są pokazywane tak, jak figurują w rejestrze. Veryfy nie oferuje przetłumaczonego raportu, a płatność odbywa się na razie w języku włoskim.

Najczęstsze pytania

Czy polski bank sprawdzi, czy IBAN należy do właściwego odbiorcy?

Rozporządzenie (UE) 2024/886 wprowadza taki obowiązek (art. 5c), ale dostawcy płatności w państwach członkowskich, których walutą nie jest euro, mają go stosować najpóźniej od 9 lipca 2027 r. Do tego czasu nie zakładaj, że bank to zrobi: sprawdź, czy Twój dostawca oferuje usługę już teraz.

Czy fałszywy dostawca i zmiana numeru rachunku to przestępstwo?

Kto w celu osiągnięcia korzyści majątkowej doprowadza inną osobę do niekorzystnego rozporządzenia mieniem przez wprowadzenie w błąd, popełnia oszustwo z art. 286 § 1 Kodeksu karnego, zagrożone karą pozbawienia wolności od 6 miesięcy do lat 8. Kwalifikację konkretnego zdarzenia ocenia organ ścigania.

Gdzie zgłosić incydent związany z oszustwem internetowym?

CERT Polska, zespół działający w strukturach NASK, przyjmuje zgłoszenia incydentów przez serwis incydent.cert.pl. Zgłoszenie nie zastępuje powiadomienia policji ani banku.

Źródła

Oficjalne źródła otwarte i przeczytane 2026-10-24. Przepisy polskie według tekstów jednolitych dostępnych w ELI Sejmu; późniejsze nowelizacje mogą zmieniać brzmienie, dlatego sprawdź aktualny tekst.

• EUR-Lex: rozporządzenie (UE) 2024/886, weryfikacja odbiorcy
• Komisja Europejska: VIES, potwierdzenie numeru VAT
• Registro Imprese (InfoCamere): włoski rejestr przedsiębiorców
• Dz.U. 2026 poz. 1342: Kodeks karny (tekst jednolity)
• CERT Polska (NASK): fałszywe prośby o szybki przelew
• CERT Polska: zgłaszanie incydentów

Informacja ogólna, nie porada prawna. Źródła zweryfikowane 2026-10-24.