Contabila primește prin e-mail o factură de la un furnizor cu care firma lucrează de ani de zile. Antetul e corect, suma e corectă, doar IBAN-ul e altul — „ne-am schimbat banca”. Plata pleacă. Peste trei săptămâni, furnizorul cere banii. Sunt aceiași bani, dar au ajuns în alt cont, într-un alt stat, de unde au fost retrași în câteva ore. Nimeni nu a spart nimic: cineva a citit corespondența, a așteptat momentul potrivit și a schimbat douăzeci și patru de caractere.
Aceasta este, statistic, cea mai frecventă fraudă care lovește firmele românești — și cea mai prost gestionată juridic, pentru că prima reacție e furia, nu procedura. Materialul explică ce infracțiuni sunt implicate, cine suportă pierderea, ce faceți în primele ore și de ce firma-victimă poate deveni, fără să vrea, firmă-suspect. Este o analiză informativă, nu o consultanță, și nu conține nicio promisiune de rezultat.
Introducerea, modificarea sau ștergerea de date informatice, restricționarea accesului la ele ori împiedicarea funcționării unui sistem informatic, în scopul obținerii unui beneficiu material, dacă s-a cauzat o pagubă: închisoare de la 2 la 7 ani. Este textul-umbrelă pentru majoritatea fraudelor cu bani.
Retragerea de numerar, încărcarea/descărcarea unui instrument de monedă electronică ori transferul de fonduri, valoare monetară sau monedă virtuală, prin utilizarea, fără consimțământul titularului, a unui instrument de plată fără numerar sau a datelor care permit utilizarea lui: 2 la 7 ani. Transmiterea neautorizată către altă persoană a datelor de identificare, în vederea unei asemenea operațiuni: 1 la 5 ani.
Introducerea, modificarea sau ștergerea, fără drept, de date informatice ori restricționarea accesului la ele, rezultând date necorespunzătoare adevărului, în scopul de a fi utilizate în vederea producerii unei consecințe juridice: 1 la 5 ani. Este textul pentru factura falsificată sau pentru e-mailul contrafăcut — delimitat de falsul clasic în înscrisuri.
3 luni – 3 ani sau amendă; dacă fapta e comisă în scopul obținerii de date informatice, 6 luni – 5 ani; dacă privește un sistem la care accesul este restricționat prin măsuri de securitate, 2 la 7 ani.
Modificarea, ștergerea sau deteriorarea de date informatice ori restricționarea accesului la ele, fără drept: 1 la 5 ani. Este textul de bază în ransomware, alături de art. 249.
Producerea, importul, distribuirea sau punerea la dispoziție de dispozitive, programe, parole ori coduri de acces destinate comiterii infracțiunilor de la art. 360–364: 6 luni – 3 ani sau amendă; simpla deținere, fără drept, în același scop: 3 luni – 2 ani sau amendă.
ATENȚIE: Competența nu e la orice parchet. Infracțiunile informatice intră, ca regulă, în competența DIICOT. Nu depuneți plângerea „unde e mai aproape” fără să verificați — o plângere greșit adresată se declină, iar declinarea costă exact resursa care lipsește: timpul.
Trei mecanisme acoperă majoritatea dosarelor. Toate exploatează procedura, nu tehnologia.
Factura cu IBAN schimbat. Mecanismul e simplu și de aceea funcționează. Atacatorul compromite o cutie poștală — a dumneavoastră sau a furnizorului — citește corespondența săptămâni întregi, învață tonul, identifică facturile mari și intervine exact la momentul potrivit. Uneori nici nu compromite nimic: înregistrează un domeniu care diferă printr-o literă și trimite de acolo.
Juridic, cheia este aceasta: transferul este autorizat. Firma a ordonat plata; banca a executat un ordin valabil. Nu suntem în ipoteza tranzacției neautorizate, unde legislația serviciilor de plată obligă prestatorul să restituie suma. Consecința civilă e brutală: plata făcută altcuiva decât creditorului nu stinge datoria. Furnizorul poate cere, în continuare, prețul. Pierderea rămâne, ca regulă, la plătitor, care are apoi o acțiune în despăgubire împotriva autorului fraudei — persoană care, de regulă, nu poate fi identificată sau nu are patrimoniu.
Există și contra-argumente reale, care se pun pe masă în negocierea cu furnizorul: dacă breșa a fost în sistemul furnizorului, culpa lui a contribuit la producerea prejudiciului, iar pierderea se poate împărți. Dacă banca a executat un transfer către un beneficiar al cărui nume nu corespundea IBAN-ului și avea obligația verificării, discuția se mută parțial acolo. Acestea sunt argumente de negociere și de proces civil, nu certitudini.
Frauda CEO (Business Email Compromise). Un e-mail „de la director”, trimis vineri la 16:30, cere un transfer urgent și confidențial pentru o achiziție care „nu trebuie să afle nimeni”. Presiunea ierarhică plus urgența plus secretul: cele trei ingrediente care dezactivează procedura. Încadrarea tipică este fraudă informatică în concurs cu fals informatic, iar dacă a existat pătrundere în cutia poștală, și acces ilegal.
Phishing-ul angajaților și conturile compromise. Un formular fals de login, o „actualizare de securitate”, un fișier atașat. Odată intrat, atacatorul are acces la e-mail, la aplicații și, uneori, la banking. Aici textul de bază e art. 360, iar dacă s-au făcut plăți, art. 249 și 250.
Întrebarea revine în fiecare dosar. Răspunsul, prudent: plata nu este, în sine, incriminată în dreptul român, dar nu este nici neutră. Riscurile reale sunt trei.
Dacă grupul de atacatori sau portofelul destinatar figurează pe listele de măsuri restrictive ale Uniunii ori ale altor jurisdicții, plata poate constitui o încălcare a regimului sancțiunilor.
Circuitul plății atrage obligațiile de raportare ale entităților implicate în intermediere și poate ridica, pentru firmă, discuția spălării de bani ori a finanțării terorismului.
Nici cheia de decriptare, nici nepublicarea datelor, nici absența unui al doilea atac.
ATENȚIE — regimul sancțiunilor s-a înăsprit. Prin Legea nr. 344/2025, care a modificat O.U.G. nr. 202/2008 privind punerea în aplicare a sancțiunilor internaționale, transpunând Directiva (UE) 2024/1226, încălcarea măsurilor restrictive ale Uniunii — între care punerea de fonduri sau resurse economice la dispoziția unei persoane, entități ori organism desemnat — a trecut din zona contravențională în cea penală, cu forme agravate în funcție de natura bunurilor și de valoarea implicată. Urmărirea penală a acestor fapte revine DIICOT. Decizia de a plăti sau nu se ia, prin urmare, după o verificare de sancțiuni și cu asistență juridică, nu în panica primelor ore. Independent de decizie, atacul generează obligații proprii de notificare.
Scenariul e mai frecvent decât pare. O firmă primește o plată neașteptată de la un client necunoscut, „din eroare”, urmată de o solicitare de restituire într-un alt cont. Sau un „partener” propune să folosească temporar contul firmei pentru un transfer, contra unui comision. În ambele cazuri, firma devine money mule — verigă în circuitul banilor proveniți din fraudă.
Consecința nu este că firma pierde banii. Consecința este că administratorul poate fi cercetat pentru spălare de bani, unde forma de vinovăție acceptată în practică include și situația în care făptuitorul trebuia să știe că bunurile provin din săvârșirea de infracțiuni. „Nu am întrebat” nu este o apărare; este, uneori, chiar proba. Modul în care se citește un circuit de bani este descris și în analiza despre circuitul banilor și riscul de spălare.
Ce faceți dacă primiți bani suspecți: nu îi transferați mai departe și nu îi cheltuiți; anunțați imediat banca în scris; documentați proveniența (cine, când, ce explicație a dat); dacă apare o cerere de restituire într-un cont diferit de cel din care au venit banii, refuzați și sesizați. Restituirea se face, dacă e cazul, în contul de origine, prin bancă.
Fereastra utilă se măsoară în ore, nu în zile. Banii trec, de regulă, prin unul-două conturi intermediare și sunt retrași sau convertiți rapid.
Telefonic, nu prin e-mail. Cereți recall-ul transferului și blocarea sumei la banca beneficiară. Cereți numărul de referință al solicitării.
Cererea către bancă, în aceeași zi.
Dar nu îl ștergeți și nu îl reinstalați: acolo sunt probele.
Și activați autentificarea în doi factori pe toate conturile de e-mail și de banking.
Cât mai repede — cooperarea judiciară internațională pentru blocarea contului beneficiar depinde de existența unui dosar. Etapele ulterioare sunt cele din orice urmărire penală, iar recuperarea trece prin măsuri asigurătorii.
Furnizorul sau clientul, în scris: și el poate fi compromis, și el poate acționa. Dacă banii au ajuns în alt stat, sunt relevante și considerentele din analiza despre conturile din străinătate.
Dacă au fost afectate date cu caracter personal, ceasul de 72 de ore curge deja.
Dacă aveți poliță cyber: majoritatea polițelor impun notificarea în termene scurte, sub sancțiunea decăderii.
O plângere care spune „am fost înșelați, vă rog cercetați” produce, previzibil, o clasare. O plângere utilă conține probe tehnice, conservate corect.
Nu capturi de ecran, ci fișierul original al e-mailului, exportat — acolo se văd serverele prin care a trecut mesajul și adresa reală a expeditorului.
La cutia poștală și la sistemele afectate: adrese IP, ore, dispozitive. Solicitați-le furnizorului de e-mail imediat — au termene de păstrare limitate.
Cu ora exactă a executării.
Și factura originală, pentru comparație.
Cu partenerul real, care arată momentul intervenției.
Antivirus, EDR, firewall și, la nevoie, o copie criptografică a suportului afectat, făcută de un specialist.
Regula de aur: conservarea probelor primează asupra repunerii în funcțiune. Un IT-ist care „curăță” serverul ca să lucreze oamenii luni dimineață distruge, cu bună-credință, singura șansă de identificare a atacatorului.
Notificarea breșei de date. Dacă incidentul a afectat date cu caracter personal, operatorul are obligația de a notifica autoritatea de supraveghere — ANSPDCP — în cel mult 72 de ore de la data la care a luat cunoștință de încălcare (art. 33 din Regulamentul general privind protecția datelor), iar dacă riscul pentru persoanele vizate este ridicat, are și obligația de a le informa pe acestea (art. 34). Termenul curge de la momentul luării la cunoștință, nu de la finalizarea investigației interne — o notificare în etape este preferabilă unei notificări tardive.
NIS2. Directiva a fost transpusă prin OUG nr. 155/2024, aprobată prin Legea nr. 124/2025 (în vigoare din 10 iulie 2025), cu DNSC ca autoritate. Din 20 august 2025 au intrat în vigoare Ordinele DNSC nr. 1/2025 și nr. 2/2025, care reglementează procesul de notificare în vederea înregistrării (termen de 30 de zile) și criteriile de evaluare a riscului. Sancțiunile pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri anuală mondială pentru entitățile esențiale, respectiv 7 milioane de euro sau 1,4% pentru cele importante, iar conducerea răspunde personal pentru instruire și guvernanță.
Sunt esențiale întreprinderile mari — peste 250 de angajați ori venit net anual peste 50 de milioane de euro sau active de 43 de milioane de euro, echivalent în lei — din sectoarele de importanță critică ridicată (energie, transport, sănătate, apă, bancar, infrastructură digitală, gestionarea serviciilor TIC, spațiu, administrație publică ș.a.). Sunt importante întreprinderile mari și mijlocii din sectoarele de importanță critică ridicată și critică (poștă și curierat, deșeuri, chimice, alimente, fabricație, furnizori digitali, cercetare) care nu sunt identificate ca esențiale.
Calificarea nu depinde de dimensiune pentru entitățile administrației publice centrale, pentru entitățile critice și — categorii cu impact direct asupra pieței — pentru furnizorii de servicii DNS, registrele de nume TLD și prestatorii de servicii de încredere calificați. Verificarea se face, deci, în doi pași: întâi obiectul de activitate, apoi mărimea.
Regimul este etapizat și se măsoară în ore: o avertizare inițială, urmată de o notificare completă și de un raport final. Termenele exacte, pragurile de semnificație și canalul de raportare rezultă din OUG nr. 155/2024 și din reglementările DNSC și diferă pe categorii de entități — trebuie verificate punctual, înainte de incident, nu în timpul lui.
Majoritatea microîntreprinderilor și a firmelor mici rămân, ca regulă, în afara sferei NIS2 — dar nu toate: în categoriile de mai sus calificarea intervine indiferent de dimensiune, iar obligațiile pot ajunge la o firmă mică și pe cale contractuală, ca furnizor al unei entități reglementate.
DORA. Regulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar se aplică de la 17 ianuarie 2025, este direct aplicabil și nu privește firmele obișnuite: vizează entitățile financiare — bănci, firme de investiții, instituții de plată, asigurători, furnizori de servicii de criptoactive — și, indirect, furnizorii lor TIC critici. Dacă firma dumneavoastră prestează servicii IT pentru o entitate financiară, DORA ajunge la dumneavoastră prin contract.
Pentru entitățile mici din sfera sa, Regulamentul nu prevede o exceptare, ci un cadru simplificat de gestionare a riscurilor TIC (art. 16), aplicabil unor categorii expres enumerate — între care firmele de investiții mici și neinterconectate, anumite instituții exceptate și microîntreprinderile financiare. Aceste entități rămân obligate să mențină un cadru documentat de gestionare a riscurilor, să își monitorizeze sistemele, să asigure continuitatea activității prin măsuri de back-up și recuperare și să raporteze incidentele majore — dar sunt scutite de o parte din arhitectura de guvernanță impusă entităților mari. Principiul proporționalității, consacrat de regulament, guvernează întreaga aplicare.
Nu e nevoie de un buget de securitate corporativ. E nevoie de o procedură scrisă, cu o singură regulă tare.
Orice schimbare de IBAN se confirmă telefonic, la un număr din baza de date proprie — niciodată la numărul din e-mailul care anunță schimbarea.
Pentru plăți peste un prag stabilit intern.
Pe e-mail și banking, fără excepții pentru conducere.
Regulă comunicată explicit de administrator — pentru ca angajatul să nu se teamă că întârzie o plată cerută de „șef”.
Un exercițiu de phishing simulat spune mai mult decât zece prezentări.
Multe polițe exclud tocmai frauda prin inginerie socială, dacă nu s-a achiziționat o extindere dedicată.
Ca regulă, nu. Restituirea obligatorie privește tranzacțiile neautorizate — cele făcute fără consimțământul dumneavoastră. Aici plata a fost ordonată de firmă, deci este autorizată; eroarea privește destinatarul, nu autorizarea. Pentru comparație, în ipoteza unei operațiuni cu adevărat neautorizate, art. 176 din Legea nr. 209/2019 privind serviciile de plată limitează la echivalentul a cel mult 30 de euro consecințele pe care le suportă plătitorul, atunci când operațiunea rezultă din folosirea unui instrument de plată pierdut, furat sau utilizat fără drept, iar plătitorul nu a acționat fraudulos și nu și-a încălcat cu intenție obligațiile. Rămân în discuție eventuale culpe ale băncii în executarea ordinului sau în verificările pe care le datora.
Din perspectivă strict juridică, plata către un terț nu vă liberează de datorie. Practic însă, discuția se poartă pe culpa fiecăruia: dacă breșa a fost în sistemul furnizorului, dacă el a trimis factura de pe un cont compromis, dacă a existat o procedură de verificare pe care una dintre părți nu a respectat-o. Multe astfel de situații se închid printr-o împărțire negociată a pierderii.
Da, din trei motive: obligațiile de notificare există independent de plată; plata către o entitate sancționată vă expune, iar un dosar în care ați sesizat imediat arată altfel decât unul în care ați tăcut; iar identificarea grupului poate deschide, prin cooperare internațională, o cale de recuperare.
Ca victimă, nu. Dar poate fi cercetat pentru fapte proprii conexe: dacă firma a primit și a rulat mai departe bani proveniți din fraudă (spălare de bani), dacă a ascuns o breșă de date pe care avea obligația să o notifice, sau dacă a distrus probe. Prezumția de nevinovăție rămâne, dar aceste riscuri se gestionează din prima zi, nu din prima audiere.
Material informativ, actualizat la 18 iulie 2026. Nu constituie consultanță juridică sau fiscală; situațiile individuale trebuie analizate punctual, pe probele fiecărui caz. Nicio afirmație din acest material nu reprezintă o promisiune de rezultat.
Termenele curg din momentul comunicării. O primă discuție clarifică ce vi se reproșează, ce trebuie să justificați și cum se construiește apărarea — înainte ca o estimare să devină o decizie de impunere.