Una pyme recibe la factura que esperaba de su proveedor habitual, con el logo de siempre y el importe pactado. Paga. Días después, el proveedor reclama el dinero: el número de cuenta del correo no era el suyo. El ejemplo lo usa INCIBE en su guía para empresas y resume uno de los fraudes más rentables que existen.
Esta guía es para autónomos, gestorías y pequeñas empresas que pagan facturas por transferencia. Explica las dos variantes más comunes, el fraude del cambio de cuenta bancaria y el del falso CEO, qué ha cambiado con la verificación obligatoria del beneficiario en las transferencias en euros y un protocolo de comprobación que cualquier oficina puede aplicar mañana.
¿En qué consiste el fraude del cambio de cuenta bancaria?
El delincuente se hace pasar por un proveedor y cambia el IBAN de una factura para que la transferencia acabe en una cuenta que controla él. En inglés se llama BEC (Business Email Compromise), compromiso del correo corporativo.
El Portal del Cliente Bancario del Banco de España lo explica así: al intercambiar facturas por correo, los delincuentes suplantan al proveedor y modifican el número de cuenta. Para saber qué facturas hay en juego y a quién escribir, antes han tenido que entrar en el correo de la víctima.
INCIBE detalla las dos formas habituales de hacerlo:
- Un dominio casi idéntico. La factura llega desde una dirección que cambia una letra respecto a la real (en su ejemplo, «proovedor» en lugar de «proveedor»).
- Un buzón comprometido. El atacante crea reglas ocultas que reenvían las facturas a su cuenta o las mueven a carpetas que nadie revisa. En ese caso el correo falso sale de la dirección legítima y no hay error tipográfico que delate nada.
Lo más inquietante es la paciencia. Según INCIBE, los delincuentes suelen pasar varias semanas dentro del correo estudiando las operaciones y esperan el momento oportuno: una factura alta, un cliente nuevo o el responsable de vacaciones.
¿Y el fraude del falso CEO?
Aquí no se suplanta a un proveedor sino a alguien de dentro, normalmente un directivo, para que un empleado haga un pago urgente fuera de los cauces habituales. La urgencia y la autoridad sustituyen a la factura.
INCIBE recoge un caso atendido en su línea de ayuda que muestra hasta dónde llega la presión. Un empleado de una tienda recibió en el fijo una llamada de una supuesta Agencia Tributaria que reclamaba un pago inmediato de su jefa para evitar una multa. Casi a la vez le llamó al móvil un supuesto empleado de Correos para darle instrucciones. Con dos llamadas simultáneas y creyendo oír la voz de su jefa, se dirigió a pagar. Se cruzó con ella por el camino y ahí se deshizo el engaño.
La lección que extrae INCIBE es la misma que sirve para cualquier variante: ante la duda, cuelga y llama tú directamente a la persona por la vía que ya conoces.
¿Cuánto dinero se mueve con este fraude?
Mucho, y en Estados Unidos, donde hay estadística pública detallada, es la segunda modalidad que más pérdidas causa. El informe anual del IC3 del FBI correspondiente a 2025 atribuye al BEC 24.768 denuncias y pérdidas de 3.046 millones de dólares (unos 2.719 millones de euros), solo por detrás del fraude de inversión. En 2024 fueron 21.442 denuncias y 2.770 millones de dólares.
Son datos estadounidenses y no se pueden trasladar tal cual a España, pero el patrón que describen INCIBE y el Banco de España es el mismo. Y hay un dato del Banco de España que conviene grabarse: las transferencias son mandatos de pago irrevocables. Tu banco no puede devolverte el dinero sin el consentimiento de quien lo ha recibido; lo que se le exige es hacer esfuerzos razonables para recuperarlo contactando con el banco de destino. Por eso cada hora cuenta.
¿Qué cambia la verificación del beneficiario en las transferencias?
Desde el 9 de octubre de 2025, los bancos de la zona euro tienen que comprobar, antes de que autorices una transferencia, si el nombre del beneficiario que escribes coincide con el titular del IBAN. Lo exige el artículo 5 quater que el Reglamento (UE) 2024/886 de transferencias inmediatas añadió al reglamento de pagos en euros, el (UE) 260/2012.
Si el nombre no coincide, el banco debe avisarte de que la transferencia podría ir a una cuenta cuyo titular no es quien crees. Si la coincidencia es casi exacta, te mostrará el nombre real asociado a la cuenta. Para empresas, el reglamento permite verificar también con otros identificadores, como el número fiscal, cuando el banco lo ofrezca.
Contra el cambio de IBAN es una barrera real: si el estafador cobra en una cuenta a nombre de otra persona o sociedad, el aviso salta. Pero tiene dos letras pequeñas que me parecen importantes:
- Las empresas y autónomos pueden renunciar a la verificación cuando envían pagos agrupados, las típicas remesas de proveedores. Justo el circuito donde se cuela una factura manipulada.
- Si el banco cumplió y tú autorizaste pese al aviso, el reglamento le exime de responsabilidad por un identificador incorrecto. Ignorar la alerta te deja en peor posición para reclamar.
Mi lectura: la norma traslada parte del peso al usuario. El banco te avisa; lo que hagas con el aviso es cosa tuya.
Un protocolo de verificación que cabe en una hoja
Ninguna de estas medidas exige comprar nada. Combinan las recomendaciones de INCIBE y el Banco de España con sentido común administrativo:
- Ningún cambio de cuenta se acepta por correo. Se confirma llamando al proveedor a un teléfono que ya tengas en tu ficha, nunca al que aparece en el mensaje que pide el cambio.
- Doble firma para pagos nuevos o modificados. Quien prepara la transferencia no es quien la aprueba cuando cambia un IBAN o el importe supera el umbral que fijéis.
- No desactives la verificación del beneficiario en las remesas, y trata cualquier aviso de «no coincide» como una alarma, no como un trámite.
- Urgencia y secreto son señales de fraude. Ningún pago legítimo exige saltarse el procedimiento porque el jefe «está en una reunión» o Hacienda «cierra hoy».
- Protege el correo. INCIBE recomienda cambiar a contraseñas robustas, activar el doble factor y no reutilizar claves personales en cuentas corporativas, porque los atacantes prueban credenciales de filtraciones. Comprueba si tus direcciones aparecen en las 180 millones de cuentas expuestas en Have I Been Pwned.
- Revisa periódicamente las reglas y filtros del buzón en Outlook o Gmail. Una regla de reenvío que nadie creó es la huella clásica de este fraude.
Si ya has pagado, el orden que marcan INCIBE y el Banco de España es: llama a tu banco de inmediato, conserva el correo con sus cabeceras originales y envíalo a INCIBE-CERT, y denuncia ante la Policía Nacional o la Guardia Civil. Si los atacantes tuvieron acceso a datos personales de clientes, INCIBE recuerda que puede tratarse de una brecha que hay que notificar a la AEPD en un plazo de 72 horas.
Mi postura es que este fraude no se gana con tecnología sino con procedimiento. Las pymes suelen pagar con una sola persona, un solo correo y mucha confianza, que es exactamente lo que el estafador necesita. La verificación del beneficiario ayuda, pero solo si nadie la apaga para ir más rápido. Una llamada de dos minutos al número de siempre sigue siendo el control más barato que existe.