A tu empresa le llega un correo del proveedor de siempre, con su firma, su forma de escribir y la factura del mes adjunta, pero esta vez os pide que a partir de ahora paguéis a un IBAN nuevo porque ha cambiado de banco. Puede que parezca el proveedor de siempre y contabilidad termina pagando. Días después el proveedor real se pone en contacto con tu empresa para reclamar la factura, pero el dinero ya está en la cuenta del estafador. Para tu empresa es casi imposible darse cuenta: los estafadores llevan semanas leyendo el correo. Es la estafa del cambio de IBAN, o del cambio de número de cuenta, y le pasa también a pymes muy bien organizadas. Lo más habitual es que se hagan pasar por un proveedor, aunque el mismo engaño puede llegar como si fuera un cliente o un empleado que pide cambiar la cuenta donde cobra su nómina. Si te ha pasado y estás leyendo esto con el estómago encogido, respira, porque hay cosas que se pueden hacer hoy mismo y muchas veces el dinero se recupera si se actúa rápido.
Si eres el gerente, llevas la administración o la contabilidad, o te encargas de la informática de la empresa, aquí te contamos con calma cómo funciona, qué hacer en las primeras horas, cómo denunciar y cómo evitar que os vuelva a ocurrir.
Respuesta rápida
Si ya habéis pagado: llamad al banco ahora por su teléfono oficial y pedid que reclamen la transferencia al banco de destino. Llamad al proveedor a su número de siempre. No borréis el correo falso: es la prueba principal. Denunciad ante la Policía Nacional o la Guardia Civil y revisad el correo de la empresa (contraseñas y reglas de reenvío). Si se han visto datos personales, valorad notificar a la AEPD en 72 horas.
En este artículo
- Cómo funciona la estafa del cambio de IBAN (fraude BEC)
- Señales de alerta de un falso cambio de número de cuenta
- Las primeras horas: qué hacer si ya habéis pagado
- Denunciar y avisar a quien corresponde
- ¿Quién asume la pérdida: tu empresa, el proveedor o el banco?
- Cómo evitar un falso cambio de número de cuenta bancaria en tu empresa
- Cuándo pedir ayuda profesional
Cómo funciona la estafa del cambio de IBAN (fraude BEC)
Es una de las formas más comunes del fraude que en inglés llaman BEC (business email compromise, correo corporativo comprometido). INCIBE la describe así: alguien suplanta a uno de tus proveedores, intercepta sus correos de facturación y cambia el número de cuenta para que paguéis a una cuenta que controla él. El Banco de España y la Policía Nacional han alertado de este mismo esquema.
Lo que la hace tan creíble es que no llega de la nada. Según INCIBE, los delincuentes suelen pasar semanas dentro de un buzón leyendo correos antes de actuar. Saben qué facturas están pendientes, cómo escribe tu proveedor y cuándo hay un pago grande. Suelen entrar de una de estas formas:
- Han entrado en el correo de tu empresa. Crean una regla oculta que reenvía los correos del proveedor a otra dirección y los esconde. Luego te escriben desde un dominio casi igual (una letra cambiada, como «proovedor.com»).
- Han entrado en el correo del proveedor. Entonces el correo falso sale de su dirección auténtica. Es el caso más difícil de detectar.
- Suplantan la dirección (spoofing) sin haber entrado en ningún buzón, con datos sacados de la web, de redes o de filtraciones.
Una variante muy parecida es el fraude del CEO: en lugar del proveedor, se hacen pasar por un directivo de tu empresa y piden una transferencia urgente. Los primeros pasos tras pagar son los mismos que verás aquí. Y si además están usando el nombre o el correo de tu empresa para engañar a vuestros clientes, te contamos cómo frenarlo en qué hacer ante una suplantación de identidad online.
Señales de alerta de un falso cambio de número de cuenta
Ninguna señal por sí sola demuestra el fraude, pero varias juntas son motivo para parar y verificar:
- Te piden un cambio de número de cuenta bancaria de un proveedor habitual por correo, «por una auditoría», «por cambio de banco» o «por un problema con la cuenta anterior».
- El remitente se parece, pero no es igual. Mira la dirección completa, no solo el nombre que muestra tu programa de correo.
- Hay prisa o secreto: «hay que pagarlo hoy», «no llaméis, estoy de viaje», «solo por correo».
- La cuenta nueva es de otro país o de un banco que no encaja con un proveedor que siempre ha cobrado en el mismo sitio.
- Tu banco te avisa de que el nombre del beneficiario no coincide con el titular de la cuenta (lo vemos más abajo).
- Pequeños cambios en la factura: un formato algo distinto, un número que no sigue la serie, un tipo de letra diferente.
No te culpes si se os pasó: estos correos llegan justo cuando estáis esperando esa factura y están muy bien hechos.
Las primeras horas: qué hacer si ya habéis pagado
Aquí el orden importa y cada hora cuenta, así que haced esto cuanto antes, aunque todavía no sepáis cómo entraron:
- Llamad a vuestro banco por el teléfono oficial o el de vuestro gestor. Explicad que es un fraude, dad el importe, la fecha y el IBAN de destino, y pedid que soliciten la devolución al banco receptor (lo que en la práctica se suele llamar recall o retrocesión) y que le pidan bloquear los fondos. Pedid un número de incidencia y confirmadlo después por escrito.
- Avisad al proveedor llamando a un número que ya tuvierais. Así sabréis si su correo está hackeado y podrá avisar a otros clientes.
- No borréis nada. Guardad el correo falso tal cual (exportado en formato .eml o .msg, para que conserve las cabeceras), la factura adjunta, el justificante de la transferencia y la conversación anterior.
- Cerrad la puerta del correo. Cambiad la contraseña de la cuenta afectada desde un equipo de confianza, activad la verificación en dos pasos y revisad si hay reglas de reenvío o filtros que no hayáis creado, usuarios nuevos o accesos raros. INCIBE recomienda documentar esas reglas antes de borrarlas, porque son pruebas.
- Revisad otros pagos pendientes a ese proveedor y a cualquier otro que haya pedido cambiar de cuenta últimamente.
Consejo Kironic
Nombrad a una sola persona como «coordinadora del incidente» y abrid un documento donde apunte cada llamada: hora, con quién habló y qué le dijeron. En un momento de nervios, eso evita pasos duplicados y será oro para el banco, la denuncia y el abogado.
¿Se puede recuperar el dinero de la transferencia?
Muchas veces sí, sobre todo cuando se actúa en las primeras horas. El Banco de España recuerda que las transferencias son irrevocables y que el banco no puede devolverlas sin el consentimiento de quien las recibió. Pero también explica que el banco debe hacer esfuerzos razonables por recuperar el importe, contactando con el banco receptor. La ley de servicios de pago prevé algo parecido para cuando se paga con un IBAN equivocado: el banco tiene que esforzarse de forma razonable por recuperar el dinero y, si no lo consigue, darte por escrito la información que tenga para que puedas reclamar (art. 59 del Real Decreto-ley 19/2018).
En la práctica, lo que más ayuda es la rapidez: si el dinero sigue en la cuenta de destino, el banco receptor puede retenerlo y una denuncia puede llevar a que se bloquee. Con las transferencias inmediatas el margen es todavía más corto. Por eso, aunque aún no lo tengáis todo claro, llamad ya, porque es lo que más opciones os da.
Si queréis ver con más detalle cómo se recupera el dinero estafado por transferencia bancaria, os lo explicamos en ¿se puede recuperar el dinero de una estafa online?.
Denunciar y avisar a quien corresponde
La denuncia
Denunciad ante la Policía Nacional o la Guardia Civil, en comisaría o en el juzgado de guardia. La Guardia Civil permite iniciar la denuncia por internet con certificado digital o Cl@ve. Llevad:
- El correo falso y el original del proveedor, con sus direcciones completas.
- La factura, el justificante de la transferencia y el IBAN de destino.
- Una cronología breve: cuándo llegó el correo, quién lo tramitó, cuándo se pagó y cuándo os disteis cuenta.
- El número de incidencia del banco.
Pedid copia de la denuncia y enviádsela al banco: les ayuda a pedir el bloqueo. Tenéis una guía paso a paso en cómo denunciar una estafa online en España. Si os surgen dudas técnicas, la Línea de Ayuda en Ciberseguridad de INCIBE atiende gratis en el 017, también a empresas. INCIBE recomienda además reportarle el correo fraudulento con sus cabeceras originales para que se analice.
Si se han visto datos personales: AEPD en 72 horas
Si los delincuentes estuvieron dentro del correo de vuestra empresa, probablemente vieron datos de clientes, empleados o proveedores. Eso es una brecha de datos personales. El RGPD obliga a la empresa, como responsable del tratamiento, a notificarla a la AEPD en un plazo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, también hay que avisar a los afectados.
Suena serio, y lo es, pero no tiene por qué asustar: la propia AEPD explica que notificar a tiempo es una muestra de diligencia y que no implica necesariamente abrir un procedimiento. Tiene una herramienta, Asesora Brecha, que ayuda a decidir si hay que notificar. Si decidís que no, documentad igualmente qué pasó y qué medidas tomasteis.
¿Quién asume la pérdida: tu empresa, el proveedor o el banco?
Es la gran pregunta, y la respuesta honesta es que depende de dónde estuvo el fallo. El Código Civil (art. 1162) dice que el pago debe hacerse al acreedor o a quien él haya autorizado. Por eso, en principio, si el dinero no llegó al proveedor, la factura sigue pendiente. Pero entran en juego más cosas:
- Si el correo hackeado era el del proveedor y no avisó a sus clientes, o no tenía medidas razonables, puede haber margen para negociar o reclamarle.
- Si el banco cometió errores, por ejemplo no ofreció la verificación del beneficiario o ignoró señales muy claras, puede haber base para una reclamación.
- Revisad vuestro seguro. Algunas pólizas de ciberriesgo o de fraude cubren la ingeniería social. Leed la letra pequeña y avisad pronto a la aseguradora: suelen tener plazos.
Antes de pagar la factura por segunda vez o de cortar la relación con el proveedor, conviene que un abogado mire los correos y el contrato. Muchas veces hay más salidas de las que parece a primera vista.
Imagina una distribuidora que paga 18.000 euros a un «nuevo IBAN» de su proveedor de embalajes y se entera al día siguiente, cuando el proveedor le reclama la factura. Si en menos de una hora llaman al banco, ponen la denuncia esa misma mañana y se la envían al banco, es muy posible que el dinero siga en la cuenta de destino y que el banco receptor lo pueda retener. Por eso moverse rápido marca tanto la diferencia.
Cómo evitar un falso cambio de número de cuenta bancaria en tu empresa
La buena noticia es que esto se frena con costumbres muy sencillas, y son las mismas que recomiendan INCIBE, el Banco de España e INTERPOL:
- Para prevenirlo, no hagáis ningún cambio de IBAN sin antes hacer una llamada de teléfono al proveedor o al titular del correo, a un número que ya tuvierais y con una persona que conozcáis, nunca al que aparece en el propio correo ni respondiendo a ese mismo mensaje.
- Usad la verificación del beneficiario. Desde el 9 de octubre de 2025, los bancos de la zona euro deben ofrecer gratis un servicio que comprueba si el nombre del beneficiario coincide con el titular del IBAN. Si sale «no coincide» o «casi coincide», parad. Para pagos en remesa o fichero, el Banco de España indica que el servicio es opcional para empresas: pedid a vuestro banco tenerlo activado.
- Doble autorización para altas de proveedores, cambios de cuenta y pagos por encima de un importe.
- Pide un certificado de titularidad de la cuenta nueva, y comprueba que está firmado por el banco.
- Protege el correo: verificación en dos pasos en todas las cuentas, contraseñas únicas y revisión periódica de reglas de reenvío. Pedid a quien gestione vuestro dominio que configure SPF, DKIM y DMARC, que dificultan que otros envíen correos en vuestro nombre.
- Forma al equipo de administración. Cinco minutos al trimestre repasando estas señales evitan muchos sustos.
Cuándo pedir ayuda profesional
Si el pago fue grande, si el banco no consigue bloquear los fondos, si no sabéis por dónde entraron o si el proveedor os exige pagar otra vez, merece la pena una valoración profesional cuanto antes. Un perito informático puede analizar el buzón y las cabeceras para saber qué correo estaba comprometido, y un abogado penalista puede pedir medidas para bloquear la cuenta de destino y reclamar a quien corresponda.
Somos abogados y peritos especialistas en estafas online, criptomonedas y delitos informáticos. Cada caso lo atiende siempre un abogado o un perito. Envíanos la factura, el correo falso y el justificante aunque esté todo desordenado: lo revisamos gratis y te decimos qué pedir al banco hoy y qué pasos dar después. En muchos casos el dinero se recupera, sobre todo si se actúa rápido. En Kironic hacemos todo lo posible por recuperar tu dinero.
Y un aviso final: después de un fraude así, a veces llaman «recuperadoras» que garantizan el 100 % a cambio de un pago por adelantado. Suele ser la segunda estafa. Te contamos cómo reconocerlas en cómo detectar falsas empresas de recuperación.
