Un cliente de toda la vida llama a tu empresa para preguntar por qué le seguís reclamando una factura que pagó hace diez días. Os manda el justificante y ahí lo veis: el dinero ha ido a un IBAN que no es el vuestro. Él recibió un correo desde vuestra dirección de siempre, con vuestra firma y vuestra forma de escribir, avisando de que habíais cambiado de banco. No tenía motivos para sospechar, porque el correo era vuestro de verdad. Lo que ha pasado es que alguien ha entrado en el correo de tu empresa, lleva un tiempo leyendo vuestras conversaciones y ha aprovechado para cobrar en vuestro nombre. Es el mismo fraude que se conoce como cambio de IBAN, pero visto desde el otro lado: aquí tu empresa no es la que paga, es el proveedor suplantado. Y sí, es un golpe duro, pero hay mucho que podéis hacer hoy mismo, y cuando se actúa rápido muchas veces el dinero se recupera.
Si te ha pasado justo lo contrario, que tu empresa ha pagado una factura falsa de un proveedor, lo tienes explicado en la estafa del cambio de IBAN. Aquí nos centramos en qué hacer cuando el buzón comprometido es el vuestro y quienes han pagado son vuestros clientes.
Respuesta rápida
Si han hackeado el correo de tu empresa y algún cliente ya ha pagado: llamad a los clientes con facturas recientes o pendientes, por teléfono, para que no paguen y para que el que ya pagó llame a su banco y pida la devolución. Cambiad la contraseña, cerrad las sesiones y activad la verificación en dos pasos. No borréis nada sin documentarlo antes, porque el buzón es la prueba. Denunciad y, si había datos personales en el correo, valorad notificar a la AEPD en 72 horas.
En este artículo
- Cómo pueden usar el correo de tu empresa para cobrar a tus clientes
- Señales de que han entrado en el correo de tu empresa
- Las primeras horas: qué hacer si han hackeado el correo de tu empresa
- Asegurar el correo sin borrar las pruebas
- Denunciar y avisar a quien corresponde
- Cómo contárselo a tus clientes
- ¿Quién asume la pérdida: tu empresa o el cliente que pagó?
- Cómo evitar que vuelvan a usar el correo de tu empresa
- Cuándo pedir ayuda profesional
Cómo pueden usar el correo de tu empresa para cobrar a tus clientes
Lo que se suele llamar fraude BEC (business email compromise, que viene a ser correo corporativo comprometido) empieza casi siempre con algo pequeño: una contraseña que alguien metió en una página falsa que imitaba a Microsoft 365 o a Google, una contraseña reutilizada que salió en una filtración de otra web, o un ordenador con un programa espía. INCIBE explica que, una vez dentro, los delincuentes pueden pasar varias semanas leyendo el correo antes de actuar. Esperan el momento bueno: una factura grande, un cliente nuevo o que el responsable esté de vacaciones.
Para que no los veáis, crean reglas en el buzón. INCIBE describe precisamente este caso: una regla que intercepta los correos salientes con facturas hacia clientes y los reenvía a una dirección desconocida. Así pueden coger vuestra factura real, cambiarle el IBAN y mandarla como si fuera vuestra. A veces también esconden las respuestas de los clientes en una carpeta que nadie mira, para que no os enteréis cuando alguien pregunta por la nueva cuenta.
Por eso este fraude hace tanto daño: el cliente no ve nada raro. El correo sale de vuestra dirección auténtica, con el hilo de la conversación de siempre. Para él es casi imposible darse cuenta, y para vosotros también, hasta que alguien reclama.
Puede que además los estafadores escriban desde un dominio casi igual al vuestro (una letra cambiada) cuando ya les habéis cerrado el acceso al buzón real, o que rematen con una llamada desde un número que parece el vuestro. Si os pasa eso, os contamos cómo funciona en vishing y spoofing.
Señales de que han entrado en el correo de tu empresa
Muchas empresas se enteran por un cliente, pero hay pistas que conviene conocer:
- Un cliente os pregunta por un cambio de cuenta que nadie ha pedido, o paga a un IBAN que no reconocéis.
- Reglas de reenvío o filtros que nadie ha creado, sobre todo los que mueven correos a carpetas como «RSS», «Archivo» o «Elementos eliminados».
- Correos en Enviados que nadie escribió, o correos que desaparecen de la bandeja de entrada.
- Avisos de inicio de sesión desde otro país o desde un dispositivo que no conocéis.
- Respuestas raras de clientes o proveedores a mensajes que nadie de la empresa les ha mandado.
No os culpéis si no lo visteis venir. Estos ataques están pensados justamente para que nadie se dé cuenta.
Las primeras horas: qué hacer si han hackeado el correo de tu empresa
Aquí el orden importa, y cada hora cuenta. No hace falta saber todavía cómo entraron para empezar a moverse:
- Llamad a los clientes, empezando por los que tienen facturas recientes o pendientes. Por teléfono, a un número que ya tuvierais, nunca respondiendo al correo. A los que aún no han pagado, decidles que no hagan caso de ningún cambio de cuenta. A los que ya pagaron al IBAN falso, pedidles que llamen ya a su banco.
- Que el cliente llame a su banco. La transferencia la hizo él, así que es su banco el que tiene que pedir al banco de destino que devuelva el dinero y que lo bloquee (lo que se suele llamar recall o retrocesión). Ayudadle con lo que necesite: el correo falso, el IBAN de destino, la fecha y el importe.
- Hablad también con vuestro banco. Contadle lo ocurrido, comprobad que nadie haya entrado en vuestra banca online (si la contraseña estaba en el correo o se reutilizaba, puede haber pasado) y pedid un certificado de titularidad de vuestra cuenta real, que os vendrá muy bien para tranquilizar a los clientes.
- Cerrad la puerta del correo, sin borrar las huellas. Lo vemos con detalle más abajo.
- Nombrad a una persona que coordine todo y apuntad cada llamada: a quién, a qué hora y qué os dijeron.
Consejo Kironic
Haced una lista con todas las facturas enviadas por correo en las últimas semanas: cliente, importe, fecha y si ya está pagada. Así sabréis enseguida a quién llamar primero y cuánto dinero puede estar en juego. Esa misma lista os servirá para la denuncia, para el banco y para el abogado.
¿Se puede recuperar el dinero que pagaron tus clientes?
Muchas veces sí, sobre todo cuando se actúa en las primeras horas. El Banco de España recuerda que una transferencia no se anula con un botón y que el banco no puede devolverla sin el consentimiento de quien la recibió, pero el banco del cliente sí puede contactar con el banco receptor para intentar recuperarla. Si el dinero sigue en la cuenta de destino, el banco receptor puede retenerlo, y una denuncia rápida ayuda a que se bloquee. Con las transferencias inmediatas el margen es más corto, así que no esperéis a tenerlo todo claro para llamar.
Tenéis más detalle sobre cómo se recupera una transferencia en ¿se puede recuperar el dinero de una estafa online?.
Asegurar el correo sin borrar las pruebas
Aquí hay que hacer dos cosas a la vez: echar a los delincuentes y no destruir lo que demuestra lo que hicieron. Lo ideal es que quien gestione vuestro correo (vuestro informático o el proveedor de Microsoft 365, Google Workspace o el que uséis) lo haga con vosotros:
- Cambiad la contraseña de la cuenta afectada desde un equipo de confianza, y la de cualquier otra cuenta donde se usara la misma.
- Cerrad todas las sesiones abiertas y activad la verificación en dos pasos (el código que llega al móvil o a una app), que es lo que más dificulta que vuelvan a entrar aunque tengan la contraseña.
- Revisad las reglas de reenvío, los filtros y el reenvío automático. Antes de borrarlos, haced capturas y apuntad a qué dirección mandan los correos. INCIBE recomienda conservarlos por si hacen falta en un juicio y eliminarlos después.
- Revisad quién más tiene acceso: usuarios nuevos, permisos delegados sobre el buzón, aplicaciones conectadas a la cuenta y el correo o teléfono de recuperación. Los delincuentes a veces dejan una puerta trasera por aquí.
- Mirad los registros de acceso (desde dónde y cuándo se entró). INCIBE aconseja revisar también los usuarios con permisos de administrador.
Por qué conviene que un perito preserve el buzón
Un perito informático hace una copia del buzón y de los registros de acceso de forma que luego nadie pueda discutir que se ha manipulado. Para que se entienda: se genera una especie de huella digital de cada archivo (lo que técnicamente se llama hash), y si alguien cambiara una coma, la huella ya no coincidiría. Eso es lo que permite presentar el correo falso, las reglas y las conexiones como prueba ante un juzgado o en una negociación con un cliente.
Hay prisa por una razón práctica: los proveedores de correo solo guardan esos registros durante un tiempo limitado. Si se pierden, cuesta mucho más demostrar desde dónde entraron y qué hicieron. La parte buena es que, si se preserva a tiempo, esa información suele ser muy útil para rastrear el dinero y para defender a tu empresa.
Denunciar y avisar a quien corresponde
La denuncia
Hay dos cosas que denunciar. Por un lado, el acceso no autorizado al correo de tu empresa, que es delito aunque todavía no se haya pagado nada. Por otro, la estafa a cada cliente que pagó, que normalmente denuncia el propio cliente, porque es quien hizo la transferencia. Coordinaos con ellos para que las denuncias cuenten la misma historia.
Podéis denunciar ante la Policía Nacional o la Guardia Civil, en comisaría o en el juzgado de guardia, y la Guardia Civil permite empezar la denuncia por internet con certificado digital o Cl@ve. Llevad el correo falso exportado (en formato .eml o .msg, para que conserve las cabeceras), los IBAN de destino, las capturas de las reglas, una cronología breve y los números de incidencia de los bancos. Tenéis el paso a paso en cómo denunciar una estafa online en España. Si os surgen dudas técnicas, la Línea de Ayuda en Ciberseguridad de INCIBE atiende gratis en el 017, también a empresas.
La AEPD en 72 horas, si había datos personales
Si los delincuentes han estado dentro de vuestro correo, lo más probable es que hayan visto datos personales: nombres, teléfonos, direcciones o cuentas de clientes, nóminas de empleados, contratos. Eso es una brecha de datos personales. El RGPD (artículo 33) obliga a la empresa, como responsable de esos datos, a notificarla a la AEPD en un plazo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, el artículo 34 obliga además a avisar a los afectados.
Suena serio, y lo es, pero no tiene por qué asustar. La propia AEPD explica que notificar a tiempo es una muestra de diligencia y que no implica necesariamente abrir un procedimiento. Tiene una herramienta, Asesora Brecha, que ayuda a decidir si hay que notificar. Y si al final no hace falta, documentad igualmente qué pasó y qué medidas tomasteis.
Cómo contárselo a tus clientes
Da miedo llamar a un cliente para decirle que os han hackeado el correo, pero callarse es peor: cada día que pasa, más clientes pueden pagar al estafador. A un cliente le tranquiliza mucho más una llamada rápida y clara vuestra que enterarse por su cuenta.
Primero por teléfono a los que tienen facturas en curso, y después un aviso por escrito a todos. Ese aviso tiene que ser corto y verdadero: que habéis sufrido un acceso no autorizado al correo, que vuestro número de cuenta no ha cambiado, que no hagan caso de ningún correo que diga lo contrario y que, ante cualquier duda, os llamen al teléfono de siempre. No hace falta entrar en culpas ni en detalles técnicos. Si ya tenéis un abogado mirando el caso, que revise el texto antes de enviarlo, sobre todo si hay clientes que han perdido dinero.
Y si alguien está usando además el nombre de tu empresa para engañar a terceros, con perfiles o dominios falsos, os contamos cómo frenarlo en qué hacer ante una suplantación de identidad online.
¿Quién asume la pérdida: tu empresa o el cliente que pagó?
Es la pregunta que más preocupa, y conviene explicarla con calma porque no hay una respuesta automática. El Código Civil dice que el pago debe hacerse al acreedor o a quien él haya autorizado (artículo 1162), así que, en principio, si el dinero no os llegó, la factura no está cobrada. Pero el mismo Código protege también a quien paga de buena fe a quien parecía tener derecho a cobrar (artículo 1164). Y aquí el cliente puede decir, con cierta razón, que el correo salió de vuestra dirección auténtica.
En la práctica se mira sobre todo esto:
- Dónde estuvo el fallo. Si entraron en vuestro buzón, se valorará qué medidas de seguridad teníais (contraseñas, verificación en dos pasos, revisión de accesos).
- Si el cliente pudo sospechar. Un IBAN de otro país, un banco que no encaja o un aviso de su banco de que el nombre del beneficiario no coincidía con el de tu empresa pesan en la balanza.
- Qué hizo cada uno al enterarse. Avisar rápido y colaborar cuenta a favor.
Muchas veces la salida es un acuerdo, y a veces la pérdida se reparte. Por eso no conviene ni reclamar la factura de malas maneras ni darla por perdida el primer día. Revisad también si tenéis un seguro de ciberriesgo, porque algunas pólizas cubren este tipo de fraude, y avisad pronto a la aseguradora, que suele tener plazos. Antes de decidir nada con un cliente, que lo mire un abogado: suele haber más salidas de las que parece.
Imagina una empresa de climatización a la que le hackean el correo un viernes. El lunes, dos clientes han pagado sus facturas a un IBAN nuevo. Si esa misma mañana llama a todos los clientes con facturas abiertas, los dos que pagaron llaman a su banco y denuncian, y un perito preserva el buzón antes de tocar nada, es muy posible que parte o todo el dinero siga en la cuenta de destino y se pueda retener. Y la relación con esos clientes sale reforzada, porque vieron que la empresa reaccionó rápido.
Cómo evitar que vuelvan a usar el correo de tu empresa
La buena noticia es que la mayoría de estos ataques se frenan con costumbres sencillas, las mismas que recomiendan INCIBE y el Banco de España.
Para prevenirlo, no hagáis ningún cambio de IBAN por correo. Decidles a vuestros clientes, desde ya y por escrito, que nunca vais a cambiar vuestra cuenta por email, y que si algún día les llega un correo así, os llamen al teléfono de siempre antes de pagar. Si os acostumbráis a decirlo, el próximo intento se queda en nada.
Y por dentro, en el correo de tu empresa:
- Activad la verificación en dos pasos en todas las cuentas, también en la del gerente y en las genéricas tipo «facturacion@» o «info@», que suelen ser las más olvidadas.
- Usad contraseñas únicas para el correo, que no se repitan en ninguna otra web, y no uséis el correo de la empresa para registraros en servicios que no tienen nada que ver con el trabajo.
- Revisad cada cierto tiempo las reglas de reenvío y los accesos. Cinco minutos al mes bastan para pillar una regla extraña a tiempo.
- Pedid a quien gestione vuestro dominio que configure SPF, DKIM y DMARC, unos ajustes técnicos que dificultan que otros manden correos haciéndose pasar por vosotros.
- Poned vuestro IBAN en un sitio que el cliente pueda comprobar sin depender del correo, por ejemplo en el contrato o en el portal de clientes. Y recordadles que, desde octubre de 2025, sus bancos les avisan si el nombre del beneficiario no coincide con el titular de la cuenta: si les sale ese aviso, que paren.
- Contadlo al equipo. Que todo el mundo sepa que una página que pide la contraseña del correo después de abrir un enlace merece una llamada al informático antes de escribir nada.
Cuándo pedir ayuda profesional
Si hay clientes que han pagado importes grandes, si el banco no consigue bloquear los fondos, si no sabéis cuánto tiempo han estado dentro o si algún cliente os exige responsabilidades, merece la pena una valoración profesional cuanto antes. Un perito informático puede preservar el buzón y los registros y averiguar por dónde entraron, y un abogado puede pedir medidas para bloquear las cuentas de destino, ayudaros con la AEPD y negociar con los clientes.
Somos abogados y peritos especialistas en estafas online, criptomonedas y delitos informáticos. Cada caso lo atiende siempre un abogado o un perito. Envíanos lo que tengáis, aunque esté desordenado: el correo falso que recibieron tus clientes, los justificantes y lo que hayáis visto en el buzón. Lo revisamos gratis y te decimos qué hacer hoy y qué pasos dar después. En muchos casos el dinero se recupera, sobre todo si se actúa rápido. En Kironic hacemos todo lo posible por recuperar tu dinero.
Un último aviso: después de un incidente así, a veces aparecen «recuperadoras» que garantizan el 100 % a cambio de un pago por adelantado. Suele ser la segunda estafa. Te contamos cómo reconocerlas en cómo detectar falsas empresas de recuperación.
