Bezpieczne przelewy międzynarodowe: weryfikacja odbiorcy, IBAN i oszustwa

„Bezpieczny przelew międzynarodowy” to trzy pytania: czy pieniądze trafią pod właściwy adres, czy nikt po drodze nie podmienił danych i co zrobić, jeśli jednak trafiły do przestępcy.

Trzy kanały, trzy różne poziomy ochrony

Granica prawna jest ostrzejsza, niż sugeruje interfejs banku. Rozporządzenie 260/2012, na którym opiera się ochrona w SEPA, dotyczy wyłącznie przelewów w euro i tylko wtedy, gdy dostawcy obu stron są w Unii — przelew w dolarach czy funtach jest poza tym reżimem. Polską ustawę o usługach płatniczych, gdy jeden z dostawców jest poza UE, stosuje się tylko do części transakcji realizowanej w Unii (art. 5 ust. 3a).

Weryfikacja odbiorcy: nazwa wreszcie zaczyna się liczyć

Przez lata obowiązywała jedna twarda zasada: bank patrzy tylko na numer rachunku. Zmienia to artykuł 5c, dodany do rozporządzenia SEPA przez rozporządzenie (UE) 2024/886. Bank płatnika musi zaoferować usługę polegającą na zapewnieniu weryfikacji odbiorcy i wykonać ją „natychmiast po przekazaniu przez płatnika odpowiednich informacji o odbiorcy i przed zaoferowaniem płatnikowi możliwości autoryzacji” przelewu. Obowiązek obejmuje wszystkie polecenia przelewu objęte rozporządzeniem, nie tylko natychmiastowe, działa w każdym kanale, a usługa jest bezpłatna (art. 5b ust. 2). Przy niezgodności bank musi ostrzec, że autoryzacja „może prowadzić do przekazania środków na rachunek płatniczy, który nie należy do odbiorcy wskazanego przez płatnika”; przy zgodności częściowej pokazuje nazwę przypisaną do rachunku.

Warstwę techniczną dostarcza schemat Verification of Payee opracowany przez European Payments Council, uruchomiony 5 października 2025 r. Bank płatnika odpytuje bank odbiorcy, a ten odsyła jedną z odpowiedzi: zgodność, brak zgodności, zgodność częściowa wraz z nazwą albo informację, że weryfikacja nie jest możliwa. EPC podkreśla przy tym, że bank nie może na tej podstawie zablokować przelewu — przepis daje ostrzeżenie, nie zakaz.

Dla polskiego klienta oznacza to asymetrię. Gdy euro wysyła do ciebie Niemiec czy Hiszpan, jego bank już dziś sprawdza, czy nazwa pasuje do twojego IBAN-u. Gdy to ty wysyłasz euro za granicę, twój bank ma czas do 9 lipca 2027 r. — wcześniejsze wdrożenie to dobra wola dostawcy, nie twoje uprawnienie. Do tego czasu, i zawsze poza obszarem euro, obowiązuje art. 143 ustawy o usługach płatniczych: zlecenie wykonane zgodnie z unikatowym identyfikatorem uznaje się za wykonane prawidłowo „bez względu na dostarczone przez użytkownika inne informacje dodatkowe”.

IBAN i BIC: co da się sprawdzić przed wysłaniem

IBAN jest zbudowany według normy ISO 13616 i zawiera cyfry kontrolne, więc literówka zwykle zostanie odrzucona jeszcze w formularzu. To zabezpieczenie przed pomyłką, nie przed oszustwem: numer podstawiony przez przestępcę jest formalnie poprawny i przejdzie walidację bez mrugnięcia.

• Sprawdź, do kogo należy rachunek. Dla numerów prowadzonych w Polsce służy do tego wyszukiwarka NBP (ewib.nbp.pl) — pokazuje dostawcę obsługującego dany numer i powiązany kod BIC, nadawany przez SWIFT zgodnie z normą ISO 9362.
• Porównaj kod kraju. Dwie pierwsze litery IBAN-u to kod państwa; rozjazd z siedzibą kontrahenta wyjaśnij przed zapłatą.
• Nie kopiuj danych ze zdjęcia ani z załącznika przysłanego mailem — bierz je z dokumentu pobranego z portalu kontrahenta albo potwierdź telefonicznie.

Podmieniony rachunek na fakturze, czyli atak BEC

Najkosztowniejsze oszustwo przy przelewach zagranicznych nie wymaga włamania do banku — wystarczy dostęp do skrzynki pocztowej. KNF opisuje ten schemat jako Business e-mail compromise: mail rzekomo od prezesa z prośbą o pilny przelew, informacja o „nowym koncie firmy”, spreparowana faktura, a w kadrach — zmiana rachunku do wypłaty wynagrodzenia. Najgroźniejszy wariant to przejęcie oryginalnej korespondencji: przestępcy dopisują się do niej z adresu łudząco podobnego do prawdziwego i kopiują styl komunikacji, ze zwrotami po imieniu włącznie. Taka wiadomość nie ma klasycznych cech phishingu, więc obroną jest procedura, a nie czujność:

1. Każda informacja o zmianie numeru rachunku jest niepotwierdzona, niezależnie od tego, jak wygląda mail.
2. Potwierdzasz ją innym kanałem — telefonicznie, na numer z wcześniejszej umowy, nigdy z tej samej wiadomości.
3. Rozmawiasz z osobą znaną ze współpracy i odnotowujesz wynik przy fakturze.
4. Pierwszą płatność na nowy numer wysyłasz jako kwotę testową i prosisz o potwierdzenie.

Jeśli przelew już poszedł, KNF zaleca natychmiastowe powiadomienie banku i zawiadomienie o popełnieniu przestępstwa. Nadzór zwraca uwagę na czynnik ludzki: pracownicy z poczucia wstydu zwlekają ze zgłoszeniem, a każda godzina zwłoki zmniejsza szansę na odzyskanie środków.

Phishing, fałszywe strony banków i „inwestycje”

Drugi wektor to przejęcie twojego dostępu do bankowości. W 2025 r. CSIRT KNF zgłosił do blokady 41 751 domen, z czego 40 225 (ponad 96 proc.) było powiązanych z fałszywymi inwestycjami, a 256 z oszustwami na klientów bankowości elektronicznej. Powtarzają się dwie techniki: fałszywe komunikaty o „odrzuconym przelewie” wymagającym pilnej aktualizacji danych oraz Punycode — domeny z literami z innych alfabetów, nieodróżnialnymi wizualnie od łacińskich, przez co adres w pasku przeglądarki wygląda poprawnie, choć prowadzi gdzie indziej. Stąd nudne, ale skuteczne zasady: do banku wchodzimy z własnej zakładki lub aplikacji, a SMS autoryzacyjny czytamy do końca, porównując kwotę i rachunek z tym, co sami wpisaliśmy. Warto też sprawdzić na lista.cert.pl, czy operator korzysta z Listy Ostrzeżeń CERT Polska.

Osobna kategoria to oszustwa, w których nikt nie łamie zabezpieczeń: ofiara sama wykonuje przelew. KNF opisuje pełny schemat: reklama z hasłami o zysku bez ryzyka, często z wizerunkiem znanej osoby; formularz kontaktowy; telefon od rzekomego brokera; wreszcie numer rachunku do wpłaty, który — jak zaznacza nadzór — należy najczęściej do innego, wcześniej oszukanego inwestora. Przy próbie wypłaty „zysków” ofiara instaluje program do zdalnego pulpitu albo bierze kredyt na rzekomy podatek. Ten sam mechanizm działa w oszustwach opartych na relacji uczuciowej z sieci. Przed wysłaniem pieniędzy sprawdź listę ostrzeżeń publicznych KNF — publikowane są tam zawiadomienia Komisji o podejrzeniu przestępstwa, m.in. przyjmowania wkładów pieniężnych i prowadzenia działalności inwestycyjnej bez zezwolenia. Legalna firma nie prosi o wpłatę na rachunek osoby fizycznej i nie potrzebuje zdalnego dostępu do twojego komputera.

Pieniądze poszły do oszusta: co robić w pierwszych godzinach

1. Zadzwoń do swojego banku. Jeśli przelew nie wyszedł jeszcze do banku odbiorcy, można go zatrzymać wewnętrznie — to najszybsza droga.
2. Zgłoś przelew wykonany z użyciem nieprawidłowego numeru rachunku. Uruchamia to procedurę z art. 143a ustawy o usługach płatniczych: bank ma 3 dni robocze, by zawiadomić odbiorcę o możliwości zwrotu albo zwrócić się o to do jego banku. Jeśli w ciągu 30 dni środki nie wrócą, bank na pisemne żądanie udostępnia nazwę i adres odbiorcy, byś mógł dochodzić roszczenia samodzielnie.
3. Zawiadom policję lub prokuraturę. Bank, który poweźmie uzasadnione podejrzenie związku środków z przestępstwem, może na podstawie art. 106a Prawa bankowego zablokować je na maksymalnie 72 godziny i zawiadamia prokuratora; ten może przedłużyć blokadę do 6 miesięcy. Równolegle działa ustawa o przeciwdziałaniu praniu pieniędzy: po zawiadomieniu Generalnego Inspektora Informacji Finansowej transakcja nie jest przeprowadzana przez 24 godziny, a GIIF może zażądać blokady rachunku do 96 godzin.
4. Poproś bank o odwołanie płatności w kanale SWIFT. Służy do tego procedura Stop and Recall: bank nadawcy wysyła żądanie zatrzymania lub zwrotu, a banki pośredniczące i bank odbiorcy odpowiadają osobnymi komunikatami. To wniosek, nie polecenie — bez zgody odbiorcy zwrot nie nastąpi.
5. Zgłoś incydent. Fałszywe strony przekaż do CERT Polska (incydent.cert.pl), a gdy dotyczą rynku finansowego — do CSIRT KNF ([email protected]).

Warto przy tym ustawić realistyczne oczekiwania. Ustawa nakazuje zwrócić kwotę nieautoryzowanej transakcji do końca następnego dnia roboczego (art. 46 ust. 1), ale przelew, który sam zleciłeś i zatwierdziłeś — nawet wprowadzony w błąd — jest transakcją autoryzowaną i przepis go nie obejmuje; działa on, gdy transakcję wykonał ktoś inny, np. po przejęciu dostępu do bankowości. Niezależnie od podstawy roszczenia obowiązuje art. 44 ust. 2: brak powiadomienia dostawcy w ciągu 13 miesięcy od obciążenia rachunku powoduje wygaśnięcie roszczeń.

Dlaczego bank pyta o cel przelewu i potrafi go wstrzymać

Pytania o cel transakcji i źródło środków nie są nadgorliwością. Ustawa o przeciwdziałaniu praniu pieniędzy zalicza do środków bezpieczeństwa finansowego „ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji na temat ich celu i zamierzonego charakteru” oraz badanie źródła pochodzenia majątku (art. 34 ust. 1). Progi są ustawowe: środki bezpieczeństwa stosuje się przy transferze przekraczającym równowartość 1000 euro (art. 35 ust. 1), a o transferze powyżej równowartości 15 000 euro bank informuje Generalnego Inspektora — także gdy pieniądze przychodzą z zagranicy (art. 72). Prawo dewizowe wymaga, by przekazy za granicę powyżej 15 000 euro szły przez uprawnione banki lub instytucje płatnicze (art. 25 ust. 1). Jeśli bank nie może zastosować choćby jednego środka bezpieczeństwa, nie przeprowadza transakcji przez rachunek bankowy (art. 41 ust. 1).

Osobne wymogi wynikają z rozporządzenia (UE) 2023/1113, stosowanego od 30 grudnia 2024 r. Transferowi muszą towarzyszyć dane płatnika: imię i nazwisko lub nazwa, numer rachunku oraz adres z nazwą państwa i numerem dokumentu tożsamości albo data i miejsce urodzenia. Wewnątrz Unii wystarczą numery rachunków obu stron, ale poza Unię komplet danych jest wymagany już powyżej 1000 euro, a bank odbiorcy ma obowiązek wykrywać braki i może transfer odrzucić albo wstrzymać. To najczęstsza przyczyna „zawieszenia się” przelewu poza SEPA.

Darowizna z zagranicy: dokumentacja decyduje o podatku

Zwolnienie z art. 4a ustawy o podatku od spadków i darowizn — dla małżonka, zstępnych, wstępnych, pasierba, rodzeństwa, ojczyma i macochy — wymaga dwóch rzeczy naraz: zgłoszenia nabycia naczelnikowi urzędu skarbowego w terminie 6 miesięcy oraz, gdy darowane środki przekraczają kwotę wolną, udokumentowania ich otrzymania dowodem przekazania na rachunek płatniczy nabywcy, na jego inny rachunek w banku lub SKOK albo przekazem pocztowym. Kwota wolna dla I grupy podatkowej to 36 120 zł, liczona od jednego zbywcy łącznie z darowiznami z roku bieżącego i pięciu lat poprzedzających (art. 9). Dwa błędy powtarzają się najczęściej: gotówka lub pośrednik, przy których nie ma dowodu wpłaty na rachunek nabywcy, oraz przelew na konto innej osoby, np. małżonka obdarowanego. Niedopełnienie warunków oznacza opodatkowanie na zasadach dla I grupy.

Checklista bezpiecznego przelewu

1. Ustal kanał: SEPA w euro daje najwięcej praw, przelew poza Unię najmniej.
2. Sprawdź, do kogo należy rachunek (numery polskie: ewib.nbp.pl) i czy kod kraju w IBAN zgadza się z siedzibą kontrahenta.
3. Wynik „brak zgodności” traktuj jako powód do zatrzymania się, a nie formalność do odklikania.
4. Nowy numer rachunku potwierdzaj telefonicznie, na numer z umowy; pierwszą płatność wyślij jako kwotę testową.
5. Nigdy nie instaluj programu do zdalnego pulpitu na prośbę osoby dzwoniącej w sprawie inwestycji czy „bezpieczeństwa konta”.
6. Przygotuj dane wymagane poza Unią (adres, dokument tożsamości) i zachowaj potwierdzenie przelewu — przy darowiźnie zgłoszenie składasz w 6 miesięcy.