Frauda prin email: cum pierd instituțiile bani pe facturi

Frauda prin email cu facturi false și conturi bancare schimbate este una dintre cele mai costisitoare forme de criminalitate informatică. Raportul anual al IC3, centrul FBI pentru plângeri privind infracțiunile online, a apărut în aprilie 2026. Potrivit lui, frauda prin compromiterea emailului de afaceri (Business Email Compromise, BEC) a produs în 2025 pierderi de aproximativ 3,05 miliarde de dolari, din 24.768 de plângeri. Este a doua categorie ca valoare a pagubelor, după fraudele cu investiții.

În firme și în instituții, schema este aceeași. Atacatorul fie preia contul de email al unui furnizor sau al unui coleg, fie creează o adresă aproape identică, apoi trimite un mesaj credibil: o factură, o actualizare de cont bancar, o cerere urgentă de plată. FBI notează că, în 2025, firmele au raportat și pierderi de peste 30 de milioane de dolari din fraude BEC în care s-a folosit inteligența artificială.

1Cum arată frauda prin email cu factură falsă

Un caz din Germania arată riscul pentru administrația locală. Primăria orașului Dülmen, care decisese în 2023 achiziția a două autospeciale de pompieri de peste 400.000 de euro, a plătit factura într-un cont indicat printr-un email fals. Costul total pentru oraș a ajuns la 606.900 de euro, iar poliția germană a indicat suspecți din România, potrivit presei din martie 2025.

2De ce instituțiile publice sunt ținte ușoare

Instituțiile publice fac publice multe informații: anunțuri de achiziție, contracte atribuite, nume de furnizori, adrese de email ale departamentelor. Pentru un atacator, aceste informații sunt materia primă a unui email credibil. ENISA arată, în raportul său din octombrie 2025, că administrația publică a fost cel mai vizat sector din Uniunea Europeană, cu 38,2% din incidente, iar phishingul a fost principala cale de intrare, în aproximativ 60% dintre intruziunile analizate.

În România, problema începe uneori chiar cu adresele folosite. O analiză a peste 12.000 de adrese de email ale funcționarilor din primării, spitale și școli, verificată de CERT-RO și publicată în 2021, arăta că 70% erau pe servicii gratuite. 40% fuseseră folosite pe platforme care suferiseră breșe de securitate. Un sondaj Zitec și Regista din 2020, la care au răspuns aproximativ 100 de primării, arăta că trei sferturi dintre ele foloseau în comunicarea cu publicul adresele personale ale angajaților, nu adrese pe domeniul instituției.

3Decizia rămâne la omul care citește emailul

Protocoalele SPF, DKIM și DMARC permit unui domeniu să declare ce servere au voie să trimită mesaje în numele lui și ce se întâmplă cu mesajele care nu respectă regula. Configurarea lor reduce falsificarea directă a adresei instituției. O analiză publicată de SANS Internet Storm Center în decembrie 2022 a constatat însă că doar 33 din 178 de domenii guvernamentale naționale de nivel superior, aproximativ 19%, aveau o politică DMARC validă. Când atacatorul folosește un domeniu nou, asemănător, emailul trece de verificările tehnice, iar decizia rămâne la omul care îl citește.

Încă din 2017, Poliția Română recomanda ca operațiunile neobișnuite, precum schimbarea contului bancar al unui partener, să fie confirmate telefonic, iar orice întrebare să fie trimisă partenerului într-un email nou, nu ca răspuns la mesajul primit. Pentru instituțiile publice, instruirea personalului este și o obligație legală: articolul 37 din Legea 58/2023 obligă autoritățile administrației publice centrale și locale să asigure formarea și instruirea personalului propriu în securitate cibernetică.

4Procedura de verificare a plăților

Un email suspect primit de instituție poate fi raportat gratuit pe cyberskill.ro. CyberSkill îl analizează și îl transmite platformelor și autorităților. Pentru angajați există și cursuri publice gratuite despre phishing și fraude, iar pagina organizației prezintă celelalte programe.

5Întrebări frecvente despre frauda prin email