Frau de l'E-Rechnung a Alemanya: el correu electrònic és el punt feble
El mandat alemany de format va deixar el canal a les parts. La majoria va triar el correu. És allà on seuen ara la intercepció de factures i la substitució de dades bancàries. El patró de frau i el deure de verificació.
Frau de l'E-Rechnung a Alemanya: el correu electrònic és el punt feble
El KSeF polonès autentica la factura al node de l'Estat. El model de cinc vèrtexs espanyol posa una plataforma, i una còpia a l'AEAT, a cada enviament B2B. Alemanya va autenticar el format i va deixar el transport al mercat. El mercat va acabar al correu electrònic.
Aquesta és ara la superfície de frau.
El que fan realment els atacants
La càrrega útil continua sent una factura que el comprador espera. El delicte és substitució, no invenció.
Intercepció de bústia. Es compromet una bústia de proveïdor o una regla de reenviament. Les factures sortints es desvien. El comprador rep un fitxer que sembla el ZUGFeRD del proveïdor: logotip, línies, venciment. L'IBAN és el de l'atacant. Com que ZUGFeRD mostra una capa PDF, la persona llegeix el PDF. Pocs administratius de comptes a pagar obren l'XML. Si l'XML i el PDF discrepen, el PDF guanya el pagament.
Dominis d'imitació. rechnung@lieferant-gmbh.com no és rechnung@lieferantgmbh.com. SMTP lliurarà tots dos. L'adjunt pot ser una XRechnung d'aspecte vàlid amb un IBAN de PaymentMeans (BT-84) diferent i un nom de beneficiari diferent.
Fitxers estructurats falsos. Des de l'1 de gener de 2025 tota empresa alemanya ha d'acceptar fitxers EN 16931. Els atacants saben que als equips de comptes a pagar se'ls va dir que "l'XML és la factura de debò". Una XRechnung ben formada que no falla cap comprovació d'esquema pot continuar anomenant el creditor equivocat. La validesa d'esquema no és identitat.
Frau del segon correu a l'esquena d'un enviament real. Arriba la factura genuïna. Un segon missatge, minuts després, "corregeix les dades bancàries" per una "auditoria" o un "nou soci de factoring". El segon correu és el delicte. El primer era l'esquer.
És la mateixa família que la substitució de dades bancàries a les factures PDF poloneses, descrita en una nota anterior sobre aquest patró. El gir alemany: la factura legal ara són dades estructurades, de manera que l'IBAN viu en un camp que el programari de comptes a pagar importarà sense queixar-se.
El que no és un control
| Artefacte | Què prova | Què no prova |
|---|---|---|
| Confirmació de lectura o píxel d'obertura | Algú ha renderitzat un missatge | Identitat de l'emissor, integritat del fitxer, l'IBAN correcte |
| DKIM / SPF correctes | El domini d'enviament va autoritzar la sessió SMTP | Que el titular del domini volia aquesta factura, o que l'XML és inalterat després d'enviar |
| Capa PDF polida d'un ZUGFeRD | Presentació llegible | Que BT-84 coincideix amb les dades mestres del proveïdor |
| Fil de "confirmeu que heu rebut la factura" | Una conversa | La instrucció de pagament |
Els procediments de control intern, una signatura electrònica qualificada o un acord EDI són els mètodes que llista la BStBK per a autenticitat i integritat. Peppol afegeix una identitat de participant al punt d'accés. El correu no n'afegeix cap si no els afegiu vós.
Deures del receptor que mouen diners de debò
La deducció de l'IVA suportat continua exigint una factura correcta. Pagar a l'IBAN equivocat és pèrdua vostra, no de l'oficina tributària. Poseu la comprovació a comptes a pagar, no a una diapositiva de formació.
- Pagueu contra dades mestres, no contra la factura. L'IBAN de la factura és una proposta. L'IBAN del registre de proveïdor aprovat és la instrucció. Un canvi de BT-84 o del nom del beneficiari és una petició de canvi de proveïdor. Cal un segon canal: un telèfon ja conegut, una actualització de metadades Peppol, no una resposta al correu de la factura.
- Compareu l'XML, no el PDF. En ZUGFeRD, compareu
PaymentMeansde l'XML incrustat amb la fitxa de proveïdor. Si només mireu la capa PDF, llegiu l'anunci. - Bústia de factures dedicada, sense reenviament públic.
rechnungen@amb dues persones que se'n fan càrrec. No deixeu que les factures caiguin en un Gmail compartit i una bústia personal "per anar de pressa". - Retenció en el primer pagament i en canvi de beneficiari. Els proveïdors nous i els canvis d'IBAN esperen. Les factures recurrents a un IBAN inalterat es poden comptabilitzar soles.
- Peppol o EDI per a qualsevol a qui pagueu cada mes. Si un comprador representa més que una part trivial dels desemborsaments, treieu-lo de SMTP.
Els emissors tenen un deure simètric. Poseu els mitjans de pagament als camps estructurats, mantingueu-los alineats amb la capa PDF, i no envieu "dades bancàries actualitzades" des d'una bústia de màrqueting. Si cedeu els cobraments en factoring, el nou beneficiari ha d'aparèixer com a cessió documentada, no com a nota a peu d'un correu.
Per què un portal o un punt d'accés escurça la finestra
Un enviament Peppol s'adreça a un ID de participant, no a una bústia que internet pot endevinar. La relació amb el punt d'accés és contractual. Canviar BT-84 continua sent possible si l'emissor està compromès, però l'atacant ja no seu al fil entre dos servidors de correu de consum. L'EDI és la mateixa idea amb canonades més velles.
El correu hi continuarà durant 2027 i 2028 per a contraparts petites. Tracteu-lo com a canal de baixa garantia: retencions extra, cap canvi d'IBAN per aquest fil, comparació de l'XML amb les dades mestres. No compreu un producte l'únic relat de frau del qual és "seguim si han obert el correu".
Plandesk desa els IBAN de beneficiari a la fitxa de proveïdor, els escriu a l'E-Rechnung des d'aquest registre i marca un enviament quan els mitjans de pagament estructurats no coincideixen. La tria de canal és per comprador. El seguiment d'obertures no forma part de l'expedient d'evidències.
Aquest material és informació de caràcter general i no constitueix assessorament legal ni fiscal. Per a una situació concreta, verifiqueu la normativa vigent o consulteu un assessor qualificat.