O regulamento europeu (UE) 2024/886, aplicável desde 9 de outubro de 2025, tornou obrigatória a verificação do nome do beneficiário associado a um IBAN para transferências em euros na zona SEPA. Esta obrigação modifica profundamente as práticas de controle, mas não elimina os limites estruturais relacionados ao sigilo bancário e à cobertura geográfica do dispositivo.
Verificação de Beneficiário SEPA: o que o regulamento muda concretamente
O mecanismo imposto pelo regulamento baseia-se em uma comparação automatizada entre o nome do beneficiário inserido pelo remetente e aquele registrado no banco receptor. O prestador de serviços de pagamento deve oferecer esse controle gratuitamente, tanto para transferências clássicas quanto para transferências instantâneas.
O resultado retornado se limita a quatro respostas possíveis: correspondência, correspondência próxima, ausência de correspondência ou verificação impossível. Nenhuma identidade completa é transmitida ao remetente. O dispositivo alerta, mas não bloqueia automaticamente a transferência.
Encontramos regularmente informações no Guide Banque que detalham os casos práticos dessa verificação para particulares e profissionais.
Um ponto técnico que a maioria dos artigos de grande público não aborda: os prazos de aplicação são escalonados de acordo com o país e o tipo de prestador. Todas as instituições da zona do euro ainda não estão operacionais nesse controle, o que cria disparidades temporárias dependendo do banco do beneficiário.
Escopo real da verificação de IBAN fora da zona SEPA
A obrigação de verificação nome-IBAN diz respeito exclusivamente aos prestadores estabelecidos na União Europeia ou no EEE, para transferências denominadas em euros e que se enquadram no quadro SEPA. Uma transferência para uma conta mantida em uma instituição localizada fora desse escopo pode não se beneficiar de nenhuma comparação automatizada.
Na prática, isso significa que uma transferência em euros para um IBAN suíço, britânico pós-Brexit, ou emitido por um prestador de moeda eletrônica não-EEE, potencialmente escapa a qualquer verificação de beneficiário. O risco de transferência fraudulenta permanece, portanto, integral nesses casos.
Para as empresas que tratam de fluxos internacionais, recomendamos não se apoiar apenas no dispositivo regulatório SEPA. As soluções de verificação por consulta bancária direta (SWIFT gpi, por exemplo) ou por open banking cobrem um escopo mais amplo, mas não são padronizadas e dependem dos acordos bilaterais entre instituições.
Limites do controle de IBAN frente à fraude por manipulação
O relatório 2025 do Observatório da segurança dos meios de pagamento destaca um aumento acentuado das fraudes por manipulação. O cenário clássico continua sendo a fraude do falso fornecedor ou do falso consultor bancário, onde a vítima transmite ela mesma um IBAN fraudulento após ter sido enganada por engenharia social.
A verificação do nome do beneficiário não protege contra esse tipo de fraude quando o fraudador abriu uma conta em seu próprio nome (ou em nome de uma empresa de fachada). O par nome-IBAN é então tecnicamente coerente, e o controle retorna uma correspondência positiva.
Três situações em que a verificação automatizada é insuficiente:
- O fraudador utiliza um IBAN virtual emitido por um prestador de moeda eletrônica, vinculado a uma identidade verificada, mas desviada de seu uso inicial.
- O beneficiário legítimo mudou de banco recentemente e o antigo IBAN foi reciclado ou reatribuído, o que gera uma correspondência próxima enganosa.
- A transferência tem como destino um país onde o prestador receptor ainda não implantou o mecanismo de verificação, retornando sistematicamente “verificação impossível”.
Um resultado “verificação impossível” não significa que o IBAN é fraudulento, mas impõe uma vigilância reforçada: chamada direta ao beneficiário em um número conhecido, cruzamento com um comprovante de identidade bancária (RIB) obtido por um canal distinto.
Controle manual do IBAN: o que a estrutura técnica revela
Antes de qualquer verificação de beneficiário, a própria estrutura do IBAN permite eliminar as coordenadas manifestamente inválidas. As duas primeiras letras identificam o país (FR para a França), seguidas de dois dígitos de controle calculados de acordo com a norma ISO 7064 (módulo 97). Um IBAN cuja chave de controle não corresponde à sequência do número da conta é necessariamente incorreto.
Na França, os caracteres seguintes permitem identificar a instituição bancária (código do banco com cinco dígitos) e o guichê (cinco dígitos). Essas informações são públicas e consultáveis nos diretórios de instituições do Banco da França. Identificar o banco não equivale a identificar o titular, mas isso permite detectar um IBAN incoerente com as informações declaradas por um fornecedor ou parceiro.
Para os IBANs estrangeiros, o comprimento varia de acordo com o país. Um IBAN alemão possui um número de caracteres diferente de um IBAN espanhol. Verificar o comprimento esperado em relação ao código do país detecta erros de digitação grosseiros antes mesmo de solicitar um serviço de validação.
Estratégia de verificação de IBAN em empresas: combinar as camadas
Observamos que as empresas mais bem protegidas sobrepõem vários níveis de controle em vez de se apoiar em um único mecanismo:
- Controle sintático automatizado (validade da chave, comprimento, código do país) na inserção no ERP ou no software de tesouraria.
- Verificação do beneficiário via o dispositivo SEPA obrigatório para transferências em euros intra-EEE.
- Cruzamento documental: solicitação de um RIB assinado ou carimbado, comparação com as coordenadas bancárias históricas do terceiro.
- Contra-chamada sistemática em qualquer mudança de coordenadas bancárias, em um número de telefone previamente registrado.
A mudança de coordenadas bancárias é o momento mais crítico do ciclo de pagamento. A maioria das fraudes ao falso fornecedor ocorre precisamente nesse estágio, quando a vigilância diminui diante de um pedido que parece administrativo.
O dispositivo regulatório SEPA representa uma rede de segurança adicional, não um substituto para o controle interno. Os resultados do tipo “correspondência próxima” ou “verificação impossível” devem desencadear um processo de investigação, nunca serem ignorados para acelerar um pagamento.
