Dobavitelj želi spremeniti bančne podatke

Če imate pred sabo e-pošto dobavitelja, ki pravi, da so se njegovi bančni podatki spremenili, se ustavite, preden karkoli spremenite. Ta zahteva je daleč najpogostejša oblika prevare z računi v Evropi, različica, ki deluje, pa sploh ni videti sumljiva. Če je prošnja prišla po e-pošti, preverjanje e-pošte dobavitelja prebere to sporočilo v vašem brskalniku in pove, ali res prihaja z domene vašega dobavitelja.

Edino, kar morate storiti: pokličite jih na številki, ki ste jo imeli že prej. Ne na številki iz e-pošte, ne na tisti iz podpisa, ne na tisti z novega računa. Na številki s starega računa, iz računovodskega sistema ali z njihove spletne strani, do katere ste prišli sami. Vse spodaj pojasnjuje, zakaj je prav ta korak tisti, ki šteje.

Zakaj je e-pošta videti povsem običajna

Različica te prevare, ki uspe, ni neznanec s posnemovalno domeno. Je resnična e-pošta iz resničnega poštnega predala resničnega dobavitelja, ker je nekdo prišel v ta predal — običajno z geslom iz nepovezanega vdora ali prek lažne strani, ki ga je pobrala nekaj tednov prej.

Ko je enkrat notri, napadalec prebere korespondenco. Vidi vaše številke naročilnic, vaše plačilne pogoje, ime osebe, ki vam običajno piše, in kako se ta oseba podpisuje. Pogosto počaka, da je poslan pravi račun, nato pa se v isti korespondenci oglasi z novimi podatki o računu. Včasih nastavi pravilo v predalu, tako da so vaši odgovori pravemu dobavitelju skriti — zato »pisal sem in so potrdili« ni potrditev.

To pomeni, da običajna preverjanja uspejo:

• Domena pošiljatelja je pristna — je njihova domena, zato SPF in DKIM prestaneta.
• E-poštni naslov je pravilen, znak za znakom.
• ID številka za DDV na računu je resnična in registrirana, ker je njihova.
• Zgodovina korespondence je resnična, ker gre za resnično korespondenco.
• Novi IBAN prestane kontrolno vsoto, ker je bil za prejem denarja odprt delujoč račun.

Nič na računu ni ponarejeno. Spremenil se je samo cilj.

Zakaj klic ni formalnost

Vsako samodejno preverjanje odgovarja na vprašanje o identiteti: je to resnično podjetje, je to resnična registracija za DDV, je to pravilno oblikovana številka računa. Nobeno ne odgovori na edino vprašanje, ki tu šteje in zadeva pooblastilo: vas je to podjetje res prosilo, da denar pošljete drugam?

Noben javni vir podatkov na to ne more odgovoriti. Lastništvo bančnega računa v EU in Združenem kraljestvu ni javno — Poljska je edina izjema —, zato vam skoraj nobena poizvedba ne pove, na čigavo ime je račun. Človek pri dobavitelju to zmore v približno minuti.

Uporabite številko, ki ste jo imeli že prej — v tem je vse. Kdor nadzoruje poštni predal, nadzoruje tudi telefonsko številko v podpisu e-pošte, ki jo je poslal.

Kaj preveriti, medtem ko čakate na povratni klic

Nič od tega ne nadomesti klica. Koristno je, ker občasno spremeni »verjetno v redu« v očiten odgovor — in ker stane minuto.

• Se država IBAN ujema s tem, kje je dobavitelj registriran? Nemški dobavitelj, čigar račun je nenadoma v drugi državi, je vreden omembe med klicem. Pogosto je nedolžno — skupinsko zakladništvo, faktoring ali ponudnik plačilnih storitev, kot sta Wise ali Revolut —, a je dejstvo, ki ga je vredno izreči na glas. Glejte država IBAN se razlikuje od države DDV.
• Se ime v registru ujema z imenom na računu? Glejte veljavna ID številka za DDV, drugo ime.
• Je domena natanko pravilna? Preberite jo znak za znakom, od desne proti levi. rn je videti kot m, l je videti kot I, dodan ali izpuščen vezaj pa je neviden, ko besedo že poznate.
• Ali domena uveljavlja DMARC? Če ne, lahko kdorkoli ponaredi pošto z nje, kar razširi nabor poti, po katerih vas je ta e-pošta lahko dosegla. Glejte ni pravilnika DMARC.

ID številko za DDV, novi IBAN in domeno lahko preverite skupaj na začetni strani v enem koraku.

Znaki, ki jih velja jemati resno

Nobeden ni dokaz, njihova odsotnost pa ni pomiritev. Premikajo verjetnost:

• Nujnost, vezana na spremembo. »Še pred koncem meseca«, »stari račun je od danes zaprt«, »plačilo ni uspelo, prosimo ponovite«. Nujnost obstaja zato, da vas odvrne od klica.
• Sprememba, ki pride skupaj z računom, namesto kot samostojno obvestilo iz računa, ki ga že poznate.
• Prošnja, naj spremembo obdržite zase, ali naj potrditev poteka po isti e-poštni korespondenci in ne po kakem drugem kanalu.
• Reply-to se razlikuje od From. Vredno pogleda v glavah sporočila, čeprav odsotnost tega ne pomeni nič, ko je vdrt predal sam.
• Znesek je nenavadno okrogel ali nenavadno visok glede na to, kar ta dobavitelj običajno zaračuna.
• Prvi stik je sprememba banke. Dobavitelj, ki mu še nikoli niste plačali in čigar prva vsebinska e-pošta so novi podatki o računu.

Če ste že plačali

O izidu odloča hitrost, zato to storite pred vsem drugim.

1. Takoj pokličite svojo banko in prosite za poskus preklica. Denar je včasih mogoče ustaviti v nekaj urah; po dnevu ali dveh ga običajno ni več. Uporabite izraz »prevara z odobrenim potisnim plačilom« — ta vas usmeri k pravi ekipi.
2. Pokličite dobavitelja na znano številko, da izve, da je njegov predal vdrt. Tudi on je tu žrtev, druge njegove stranke pa danes napadajo z isto e-pošto.
3. Prijavite. V Sloveniji policiji; večina policij v EU sprejema tudi spletne prijave. Številka prijave je običajno pogoj, preden banka sploh razmisli o povrnitvi.
4. Shranite vse — e-pošto s polnimi glavami, račun, potrdilo o plačilu in zapis, s kom ste govorili in kdaj.

Kaj Verification of Payee pokriva in česa ne

Od 9. oktobra 2025 mora vsaka banka v evrskem območju preveriti ime prejemnika glede na IBAN, preden potrdite nakazilo. Vnesete račun in banka vam pove, ali se ime na njem ujema s tistim, ki ste ga vpisali. Obveznost izhaja iz uredbe EU o takojšnjih plačilih in velja za običajna nakazila enako kot za takojšnja.

To je najboljši nadzor, kar jih je kdaj obstajalo proti prav tej prevari, in spremeni namen telefonskega klica, ne pa ga nadomesti.

Kaj ujame. Račun se glasi na nekoga drugega. To je običajna oblika te prevare in banka vam bo to zdaj povedala, preden denar odide.

Česa ne ujame — in to je del, ki ga je vredno vedeti:

• »Približno ujemanje«. Banke sporočajo tudi delna ujemanja, delno ujemanje pa izgleda natanko tako kot upravičena razlika v tržnem imenu — in enako kot namerno podobno ime računa. Zaslon ju ne loči.
• Slamnati račun, odprt na ime dobavitelja. Če se račun res glasi na to ime, preveritev uspe. Preverja račun, ne tega, kdo vas je prosil za plačilo.
• Vsega zunaj evrskega območja. Združeno kraljestvo ima Confirmation of Payee od leta 2020; velik del preostalega sveta nima ničesar.
• Plačila po katerikoli drugi poti. Spremembe direktne obremenitve, plačila s kartico, trajnika, spremenjenega v portalu.

Pravilo se torej ne spremeni: sprememba bančnih podatkov se potrdi po glasu, na številki, ki ste jo že imeli. Verification of Payee vam pove, čigav je račun. Ne more povedati, ali vas je dobavitelj prosil, da nakažete nanj, in prav to ostaja vprašanje.

Kaj bančno preverjanje imena prejemnika pokriva in česa ne to razdela v celoti.

Da se ne ponovi

Kontrola, ki deluje, je pravilo, ne navada: spremembe bančnih podatkov se vsakič potrdijo po telefonu na shranjeni številki, in to opravi nekdo drug kot tisti, ki je zahtevo prejel. Zapisano, veljavno za vse, brez izjem za ljudi, ki so vam pri srcu.

Telefonske številke dobaviteljev shranjujte v računovodskem sistemu in ne v poštnem predalu, da številke, ki jo pokličete, ne more urediti tisti, ki je poslal e-pošto. In spremembo, potrjeno le po e-pošti, obravnavajte kot sploh nepotrjeno — tudi če odgovor pride s pravega naslova.

Za to obstaja enostranski kontrolni seznam — kdo je koga poklical, na katero številko, kdo je odobril — za tisk in hrambo skupaj s plačilom.