La risposta breve: verificare il metodo di pagamento e verificare il beneficiario sono due verifiche separate. Verificare il metodo di pagamento chiede se la carta, il conto o il portafoglio da cui paghi sia valido e utilizzabile. Verificare il beneficiario chiede se il conto su cui stai pagando appartenga alla persona o all'azienda che hai indicato. Servono entrambe, e non sono intercambiabili.
La confusione è comprensibile. Entrambe compaiono come un passaggio nello stesso checkout o nello stesso flusso bancario, entrambe vengono descritte come «verifica» ed entrambe danno una sensazione di sicurezza. Ma stanno sui lati opposti del pagamento: una protegge il denaro che esce, l'altra protegge il denaro che arriva.
Cosa controlla davvero la verifica del metodo di pagamento
Quando un negozio, un servizio in abbonamento o una pagina di pagamento verifica il tuo metodo di pagamento, sta controllando lo strumento con cui paghi. In genere si tratta di una combinazione dei seguenti controlli:
- Che il numero della carta sia ben formato e la data di scadenza sia nel futuro.
- Che la carta o il conto esista e sia aperto, tramite una piccola autorizzazione o un controllo a valore zero.
- Che lo strumento sia sotto il tuo controllo: un codice monouso, un'approvazione nell'app o una conferma biometrica.
- Che lo strumento sia ammesso per questo pagamento: la valuta giusta, il paese giusto, saldo o credito disponibile sufficiente.
Tutto questo è utile, e nulla di tutto questo ti dice chi stai pagando. Una carta può essere perfettamente valida, intestata a te, con molto credito disponibile, ed essere comunque usata per inviare denaro a un conto che non ha nulla a che fare con la fattura che hai davanti.
Due lati dello stesso pagamento
Il tuo metodo di pagamento è la porta da cui il denaro esce. Il conto del beneficiario è la porta in cui arriva. Verificare una porta non dice nulla sull'altra — e le frodi di solito entrano dalla seconda.
Cosa controlla davvero la verifica del beneficiario
Verificare il beneficiario è una domanda diversa, posta in un momento diverso. Nell'UE la verifica si chiama Verification of Payee (VoP). Funziona sullo schema SEPA e opera così: il tuo prestatore di servizi di pagamento (PSP) — la tua banca o istituto di pagamento — invia il nome del beneficiario e l'IBAN al PSP che detiene il conto di destinazione. Quella banca confronta il nome che hai fornito con il nome registrato sul conto e restituisce una risposta standardizzata, di solito in ben meno di un secondo.
Nulla sul tuo saldo, sulla tua carta o sull'importo viene condiviso. Viaggia solo il confronto dei nomi. Il risultato è uno di quattro esiti:
- Corrispondenza — il nome coincide con l'intestatario. Procedi con la normale fiducia.
- Corrispondenza parziale — i nomi sono simili ma non identici, per esempio un secondo nome mancante o una ragione commerciale contrapposta a una ragione sociale registrata. Il nome verificato torna indietro così puoi confermarlo o correggerlo.
- Nessuna corrispondenza — il nome non appartiene a quel conto. Fermati e ricontrolla i dati attraverso un canale di cui ti fidi.
- Verifica non possibile — la banca del beneficiario non ha potuto rispondere in quel momento. Non è né una buona né una cattiva notizia; tratta un nuovo beneficiario non verificabile con cautela extra.
La verifica è consultiva. Ti avvisa; non blocca il pagamento. È una scelta voluta, perché la decisione di inviare resta a te — ed è esattamente per questo che la verifica funziona contro le truffe che contano sul fatto che tu sia convinto.
Perché le due verifiche si confondono
Tre cose spingono le persone verso la verifica sbagliata. Primo, le parole: «verifica», «validazione» e «conferma» vengono usate per entrambe. Secondo, il momento: entrambe avvengono subito prima che tu prema paga, quindi sembrano un unico passaggio. Terzo, la rassicurazione: una spunta verde sulla tua carta sembra una spunta verde sul pagamento, e non lo è.
C'è anche una terza verifica che finisce nel calderone: la validazione dell'IBAN. Quella conferma solo che il numero di conto è ben formato — il prefisso paese giusto, la lunghezza e la cifra di controllo. Ti dice che l'IBAN potrebbe esistere. Non ti dice chi lo possiede. L'IBAN di un truffatore supera la validazione ogni volta.
L'ordine in cui eseguirle
- 1 Conferma chi stai pagando, non solo come. Leggi il nome del beneficiario sulla fattura o sul contratto e confrontalo con il nome che hai in archivio.
- 2 Esegui la verifica del nome del beneficiario e leggi l'esito prima di confermare, non dopo.
- 3 In caso di corrispondenza parziale, accetta il nome verificato restituito dalla verifica invece di sovrascriverlo.
- 4 In caso di nessuna corrispondenza, fermati. Chiama il beneficiario a un numero che avevi già, mai a uno preso dal messaggio che ti ha dato i nuovi dati bancari.
- 5 Poi completa la verifica del tuo metodo di pagamento — il codice, l'approvazione nell'app, la biometria — sapendo che la destinazione è giusta.
- 6 Conserva l'esito insieme al record del pagamento, così puoi dimostrare cosa hai verificato e quando.
L'ordine conta. Se ti autentichi prima e verifichi il beneficiario dopo, hai già fatto la parte che dimostra che sei tu — e una vittima di truffa supera quella parte perfettamente. Controllare prima la destinazione significa che l'autenticazione conferma un pagamento che vuoi davvero fare.
Se paghi come azienda
I team finanziari incontrano le stesse due domande su larga scala. La verifica del metodo di pagamento è di solito gestita dalla banca o dalla piattaforma di pagamento: il conto è aperto, il mandato è in essere, il file è autorizzato. La verifica del beneficiario è la parte che richiede un processo, perché gli IBAN di fornitori, stipendi e pagamenti cambiano, e un cambiamento è esattamente ciò che sfrutta la frode da dirottamento delle fatture.
Lo schema pratico è verificare l'intero file di pagamento prima dell'invio invece di controllare i beneficiari a mano, e riverificare quando cambiano i dati bancari di un fornitore. È così che si intercetta l'email che dice «il nostro conto è cambiato» prima che il pagamento successivo la segua.
Da dove nasce l'obbligo
La Verification of Payee è imposta dal Regolamento UE sui Pagamenti Istantanei. I PSP dell'area euro devono offrirla sui bonifici in euro dal 9 ottobre 2025, e i PSP degli Stati del SEE non euro seguono entro il 9 luglio 2027. Deve essere gratuita per il pagatore e copre i bonifici in euro avviati per via elettronica — sia i bonifici SEPA standard sia i pagamenti istantanei.
RoxPay eroga la Verification of Payee sullo schema SEPA attraverso un'unica API REST e una dashboard, restituendo gli esiti standardizzati — corrispondenza, corrispondenza parziale, nessuna corrispondenza e verifica non possibile — in ben meno di un secondo, con il nome verificato in caso di corrispondenza parziale, per un singolo pagamento o per un intero file di pagamento.