Dare l’IBAN è sicuro? Rischi reali e tutele

Pubblicato 23 ottobre 2026

Dare il tuo IBAN serve a ricevere soldi, e di solito è sicuro: con il solo IBAN nessuno può fare bonifici dal tuo conto. Il rischio concreto è un altro, l’addebito diretto che non hai autorizzato, e la legge ti dà termini precisi per farti rimborsare. C’è poi un rischio per chi paga: la fattura falsa con l’IBAN cambiato. Ecco cosa può fare chi conosce il tuo IBAN e cosa fare se qualcosa va storto.

Cosa può fare chi conosce il tuo IBAN

• Mandarti soldi. È lo scopo dell’IBAN: stipendio, rimborsi, pagamenti di clienti, soldi da amici e parenti.
• Attivare un addebito diretto SEPA (SDD) sul tuo conto, per esempio per una bolletta o un abbonamento. Serve un mandato, cioè la tua autorizzazione. Un truffatore però può compilare un mandato con un IBAN che non è suo: è il motivo per cui la legge prevede il rimborso.
• Scriverlo in un documento, come un contratto o una fattura. Non è un dato segreto: le aziende lo stampano su ogni fattura perché i clienti possano pagare.

Cosa non può fare

• Vedere il saldo o i movimenti del tuo conto.
• Fare bonifici dal tuo conto: servono le credenziali dell’home banking e la conferma con la tua app o il tuo dispositivo.
• Prelevare contanti o pagare con la tua carta: la carta ha un numero diverso e codici propri.

L’IBAN somiglia a un indirizzo: chi lo conosce può mandarti qualcosa, non entrare in casa. Quello che va protetto sono le credenziali dell’home banking, i codici di conferma via SMS o app e i dati della carta. Non darli a nessuno, neppure a chi dice di chiamare dalla tua banca o di doverti fare un rimborso.

Addebiti diretti: 8 settimane e 13 mesi

Se trovi sull’estratto conto un addebito diretto SEPA che non riconosci, la direttiva europea sui servizi di pagamento (PSD2, direttiva (UE) 2015/2366) ti dà due tutele, con termini diversi:

Nelle prime 8 settimane il rimborso è incondizionato: la banca non può chiederti perché lo vuoi. Se invece non hai mai firmato un mandato, l’addebito è un’operazione non autorizzata: segnalalo alla banca appena te ne accorgi, e comunque entro 13 mesi. In tutti e due i casi muoviti subito: contesta l’addebito in app o in filiale, chiedi se puoi bloccare i futuri addebiti di quel creditore e conserva le comunicazioni.

Controlla l’estratto conto almeno una volta al mese. Un addebito di pochi euro passa facilmente inosservato, e i termini si contano dalla data di addebito, non dal giorno in cui te ne accorgi.

La verifica del beneficiario

Dal 9 ottobre 2025 le banche dell’area euro, quindi anche quelle italiane, devono offrire la verifica del beneficiario (Verification of Payee) prima dei bonifici in euro. Lo prevede il Regolamento (UE) 2024/886, art. 5c. La banca confronta il nome che hai scritto con il nome dell’intestatario del conto collegato all’IBAN e ti informa se non corrispondono, prima che tu confermi. Il servizio è gratuito. Nei paesi dell’Unione che non usano l’euro l’obbligo scatta entro il 9 luglio 2027.

Se ricevi un pagamento, comunica insieme all’IBAN il nome dell’intestatario esattamente come risulta alla banca. Per un conto cointestato o intestato a una ditta, scrivi il nome completo: un nome abbreviato può far scattare un avviso inutile a chi ti paga.

Se paghi, leggi l’esito prima di confermare. Se la banca ti dice che il nome non corrisponde, fermati e chiedi conferma al beneficiario usando un contatto che avevi già. Un bonifico partito è difficile da recuperare.

Fatture false con l’IBAN cambiato

Questo raggiro non colpisce chi dà l’IBAN, ma chi paga. Qualcuno intercetta o imita l’e-mail di un fornitore, di un’agenzia o di un professionista e manda una fattura identica a quella vera, con un IBAN diverso. A volte arriva solo un messaggio: «abbiamo cambiato banca, da ora pagate su questo conto».

L’IBAN falso è di solito un IBAN valido: è un conto vero, solo che non è del tuo fornitore. Supera ogni controllo di formato e di cifre di controllo. La nostra verifica non può accorgersene, e nessun calcolo può farlo. Funzionano invece queste abitudini:

• Chiama il fornitore a un numero che avevi già, non a quello scritto nell’e-mail, e fatti confermare l’IBAN a voce.
• Diffida dei cambi di IBAN comunicati solo per e-mail, soprattutto se accompagnati da fretta o da un tono insolito.
• Guarda il codice paese. Se un fornitore che hai sempre pagato su un IBAN IT ti chiede all’improvviso di pagare su un conto di un altro paese, chiedi il motivo. Un IBAN estero è del tutto legale; il cambio improvviso è il segnale.
• Usa la verifica del beneficiario: scrivi il nome del fornitore come lo conosci. Se il conto è intestato a qualcun altro, la banca te lo segnala.

Se hai sbagliato IBAN

Se il bonifico è partito verso un IBAN sbagliato ma valido, la banca lo esegue: l’IBAN è l’identificativo che conta. La PSD2, all’art. 88, dice che in questo caso la banca non è responsabile dell’esecuzione, ma deve fare sforzi ragionevoli per recuperare la somma. Contatta subito la tua banca con data, importo e IBAN usato. Il recupero non è garantito.

Un semplice errore di battitura, invece, di solito viene fermato prima: le cifre di controllo non tornano e la banca rifiuta l’IBAN già quando lo inserisci. Conviene comunque incollare l’IBAN nella Verifica IBAN prima di pagare, soprattutto se l’hai ricopiato a mano da una foto o da un PDF. Per un IBAN italiano la verifica controlla anche il CIN.

Controlla solo formato e cifre di controllo. Non conferma che il conto esista né chi ne sia il titolare. Fonte: registro IBAN di SWIFT, aggiornato al 17 settembre 2026. · Note legali

Un IBAN di un altro paese UE va accettato

A volte il problema è l’opposto: un datore di lavoro, un ente o un’azienda rifiuta il tuo IBAN perché non è italiano. Per i pagamenti in euro il Regolamento (UE) 260/2012, art. 9, lo vieta: chi paga con bonifico non può stabilire in quale paese dell’Unione debba trovarsi il conto del beneficiario, e chi incassa con addebito diretto non può pretendere che il conto del debitore sia in un certo paese. Un conto con IBAN tedesco, spagnolo o lituano vale quanto uno con IBAN IT. Questa pratica vietata si chiama «discriminazione IBAN».

Regole pratiche

1. Dai l’IBAN, e il nome esatto dell’intestatario, a chi deve pagarti. Non serve altro.
2. Non dare mai credenziali, codici di conferma o dati della carta, nemmeno a chi promette un rimborso.
3. Controlla l’estratto conto: 8 settimane per il rimborso incondizionato di un addebito diretto, 13 mesi per segnalarne uno non autorizzato.
4. Prima di pagare un IBAN nuovo o cambiato, chiedi conferma con un contatto che avevi già.
5. Leggi l’esito della verifica del beneficiario: è gratuita e serve proprio a fermare gli errori e le fatture false.

Sui nostri strumenti: verifica e calcolo girano nel tuo browser, quello che scrivi non viene inviato né salvato. I dettagli sono nella pagina privacy. Se vuoi capire cosa c’è dentro un IBAN, leggi Cos’è l’IBAN e, per il formato italiano, IBAN Italia; per la differenza con il codice SWIFT, IBAN e BIC.