Substitució de dades bancàries a les factures: manual de prevenció

KSeF autentica l'emissor. No autentica el compte bancari de la factura. Una factura vàlida, acceptada per KSeF i amb UPO, pot continuar mostrant el número de compte d'un estafador. L'Estat verifica qui va emetre la factura. No verifica on ha d'anar els diners.

Aquesta bretxa s'explota. L'esquema de frau dominant per a les pimes a Polònia és la substitució de dades bancàries del proveïdor: un estafador intercepta la comunicació entre proveïdor i comprador, canvia el compte bancari a la factura o al correu i redirigeix el pagament. Les pèrdues documentades inclouen 40.000 EUR en un sol cas a Płońsk (octubre de 2025) i una transferència frustrada d'1 milió d'EUR a Varsòvia (març de 2026).

El model d'amenaça

1. Intercepció de correu: L'estafador accedeix al compte de correu del proveïdor o del comprador i intercepta els emails amb factures. Modifica el compte bancari al PDF o al cos del correu.
2. Correu fals del proveïdor: L'estafador registra un domini semblant al del proveïdor i envia al comprador un avís de "noves dades bancàries".
3. Factura KSeF amb compte equivocat: Menys comú però possible: l'estafador emet una factura KSeF vàlida amb el seu compte bancari al camp de dades de pagament.
4. Quishing amb QR: L'estafador substitueix el codi QR de KSeF en una visualització en PDF per un QR que apunta a un lloc de phishing.

Manual defensiu

Control 1: Biała lista el dia del pagament

La biała lista podatników VAT (llista blanca de contribuents d'IVA) és un registre del Ministeri d'Hisenda de comptes bancaris associats a cada NIP registrat a efectes d'IVA. Abans de pagar qualsevol factura de més de 15.000 PLN, comproveu el compte bancari del proveïdor contra la biała lista.

Si el compte no és a la biała lista:

• No pagueu
• Contacteu amb el proveïdor amb un número de telèfon ja conegut (no el de la factura)
• Si el compte ha canviat fa poc, espereu 7 dies (el període de regularització de l'estat ZAW-NR) abans de pagar

El llindar de 15.000 PLN és legal: els pagaments per sobre d'aquest import a un compte que no figura a la biała lista no es poden deduir com a cost fiscal.

Control 2: Període de refredament davant canvis de dades bancàries

Quan un proveïdor notifica un canvi de compte bancari, apliqueu un període de refredament abans del primer pagament al compte nou:

1. Verifiqueu el canvi. Truqueu al proveïdor amb un número de telèfon dels vostres registres, no el del correu de notificació.
2. Espereu 7 dies. L'estat ZAW-NR a la biała lista dura 7 dies. Passats els 7 dies, el compte nou hauria d'aparèixer a la llista.
3. Confirmeu per escrit. Envieu un correu de confirmació a l'adreça coneguda del proveïdor demanant-li que confirmi el canvi. No accepteu confirmacions des de l'adreça de correu nova.

Control 3: Trucada obligatòria per a nous destinataris

Per a qualsevol primer pagament a un proveïdor nou, o el primer pagament a un compte modificat:

1. Truqueu al proveïdor. Feu servir un número de telèfon de la vostra base de dades de clients, no el de la factura.
2. Verifiqueu el compte bancari verbalment. Repetiu en veu alta els últims 4 dígits del número de compte.
3. Registreu la verificació. Anoteu qui va verificar, quan i com.

Control 4: Detecció de duplicats

Si rebeu dues factures amb el mateix número però comptes bancaris distints, tracteu la segona com a fraudulenta. Contacteu directament amb el proveïdor. No pagueu cap de les dues fins a confirmar el compte legítim.

El que KSeF no fa

KSeF no:

• Verifica que el compte bancari de la factura pertanyi a l'emissor
• Creua els comptes bancaris amb la biała lista
• Avisa el comprador si el compte bancari d'una factura KSeF difereix de factures anteriors
• Impedeix que s'emetin factures fraudulentes dins de KSeF (una factura falsa assignada al NIP de la víctima és un vector documentat)

Són funcions del producte, no de la plataforma. L'Estat comprova la forma. El producte ha de comprovar el fons.

El relat de confiança

"Verifiquem el que l'Estat no verifica" és el posicionament que habilita aquesta bretxa. El compliment de KSeF és el mínim exigible. La prevenció del frau és el diferenciador. El segment de les pimes ha estat desatès en controls antifrau: els departaments de comptes a pagar de les grans empreses executen detecció de duplicats, alertes de canvis bancaris i confirmació de nous destinataris. Les petites empreses no, perquè les eines no estan empaquetades per a elles.

Plandesk empaqueta l'arsenal antifrau de les grans empreses per a les pimes: alertes de canvi de dades bancàries amb període de refredament, confirmació de nous destinataris, detecció difusa de duplicats i comprovació de la biała lista el dia del pagament. Els controls s'executen automàticament. La persona confirma.

Aquest material és informació de caràcter general i no constitueix assessorament legal ni fiscal. Per a una situació concreta, verifiqueu la normativa vigent o consulteu un assessor qualificat.