Es final de mes y en administración se juntan las facturas de siempre: la luz, la gestoría, el alquiler. Entre ellas hay una que no le suena a nadie: «Renovación anual de su dominio», «Inscripción en el registro de marcas» o «Alta en el directorio empresarial». Tiene un logo serio, un número de expediente, un importe razonable y una fecha límite. Como todo parece en orden, alguien la paga. Semanas después descubrís que el dominio no caducaba, que la marca ya estaba registrada y que ese directorio no lo visita nadie. Son las facturas falsas a empresas, y llegan a pymes, autónomos y despachos de todos los tamaños. Lo bueno es que se detectan con un par de comprobaciones y, si ya habéis pagado, en muchos casos todavía se puede actuar.
Te contamos los tipos más habituales, las señales que las delatan, qué hacer si ya habéis pagado o firmado algo y cómo organizar a contabilidad para que no vuelva a pasar. Si lo que os ha llegado es una factura de un proveedor de verdad pero con un IBAN nuevo, ese es otro fraude y lo tienes en estafa del cambio de IBAN.
Respuesta rápida
Ante una factura que nadie recuerda haber pedido: no la paguéis hasta saber quién la contrató. Comprobad el remitente y leed la letra pequeña, porque muchas son ofertas disfrazadas de factura. Si habla de vuestro dominio o vuestra marca, entrad vosotros en vuestro proveedor o en la web oficial sin usar los enlaces del correo. Si ya habéis pagado, llamad al banco cuanto antes para pedir la devolución, guardad las pruebas y denunciad.
En este artículo
Qué son las facturas falsas a empresas y por qué funcionan
Una factura falsa es un cobro por algo que tu empresa nunca ha contratado, presentado para que parezca una factura más o un trámite obligatorio. No hace falta que nadie os hackee nada: los datos que usan (el nombre de la empresa, la dirección, el dominio, la marca que acabáis de registrar) suelen ser públicos.
Funcionan por cómo se trabaja en cualquier empresa. Quien paga no siempre es quien contrata, hay muchas facturas pequeñas que se repiten cada año y nadie tiene tiempo de preguntar por cada una. Los estafadores lo saben, así que ponen importes que no llaman la atención, plazos cortos y un aspecto oficial. La EUIPO, la oficina de marcas de la Unión Europea, explica que cuentan precisamente con que el destinatario no lea con calma la carta y la dé por buena de un vistazo.
Los tipos más habituales
Renovación de dominio o de la web
Llega un aviso de que vuestro dominio caduca, de que la renovación automática ha fallado o de que hay una factura pendiente del alojamiento web, con un enlace para pagar. INCIBE ha avisado de una campaña que suplantaba a OVH, un proveedor de alojamiento conocido, con el asunto «Aviso de factura sin pagar»: el enlace llevaba a una web que pedía los datos de la tarjeta y después el código del SMS para confirmar el pago.
Hay una variante muy extendida: os escriben porque «un tercero quiere registrar» vuestro nombre con otra extensión, por ejemplo el .eu de vuestro .com, y os ofrecen el «derecho preferente» a registrarlo vosotros durante varios años, con 24 horas para decidir. INCIBE la describe con detalle en su aviso sobre una campaña fraudulenta de registro de dominios. Nadie está obligado a avisaros de eso, y la prisa es parte del engaño.
«Registros» y «publicaciones» de marcas
Si acabáis de registrar una marca, es muy probable que os lleguen cartas o correos cobrando por publicarla, inscribirla en un registro o renovarla. La OEPM, la oficina española de patentes y marcas, avisa de varias formas:
- Correos con un falso título de registro que piden pagar una tasa por transferencia, con membretes, sellos y firmas copiados.
- Cartas de empresas privadas que usan los datos de las publicaciones oficiales para cobrar por incluir la marca en «registros» que no dan ninguna protección.
- Ofertas para gestionar la renovación usando el nombre y el logo de la oficina.
La OEPM recuerda que solo escribe desde direcciones @oepm.es y que no cobra ninguna tasa por finalizar el registro. La EUIPO, por su parte, dice que nunca envía facturas ni cartas pidiendo el pago directo de sus servicios, y publica en su web una lista de remitentes y copias de las facturas engañosas que conoce. Si os llega algo así, buscadlo allí antes de hacer nada.
Directorios de empresas y guías
Os llega un formulario para «actualizar los datos de vuestra empresa» en una guía o directorio, aparentemente gratis. Lo firmáis y lo devolvéis, y al tiempo llega la factura: en la letra pequeña, ese formulario era un pedido, a veces con permanencia de varios años. La EUIPO incluye el acceso a directorios comerciales entre los servicios por los que más se reciben solicitudes de pago engañosas.
Servicios que suenan obligatorios
Hay más variantes con la misma lógica: supuestas inscripciones en registros empresariales, certificados o «sellos» que nadie os ha pedido, publicidad que «ya estaba contratada» o suscripciones que llegan como renovación. Si nadie de la empresa sabe decir quién lo pidió, tratadlo como sospechoso.
Cómo detectar una factura falsa en un minuto
Antes de pagar cualquier factura que no os suene, repasad esta lista:
- ¿Quién lo pidió? Si nadie de la empresa puede decirlo, no se paga hasta averiguarlo.
- ¿Conocéis al remitente? Mirad el dominio completo del correo, no solo el nombre que aparece. Una letra cambiada o una dirección parecida a la de un organismo es mala señal.
- ¿Es una factura o una oferta? Leed la letra pequeña. Muchas dicen, en un rincón y casi ilegible, que en realidad son una propuesta o un contrato.
- ¿Hay prisa? «24 horas», «se suspenderá el servicio», «último aviso». Los proveedores reales no os dan un día para decidir.
- ¿El enlace o la cuenta coinciden? No uséis el enlace del correo: entrad vosotros en la web de vuestro proveedor o del organismo escribiendo su dirección. Y si la cuenta bancaria no es la que tenéis registrada para ese proveedor, parad.
- ¿La fecha cuadra? Comprobad en vuestro proveedor cuándo caduca de verdad el dominio o en la web oficial cómo está la marca.
Un detalle útil para cualquier transferencia: desde octubre de 2025, los bancos de la zona euro comprueban que el nombre del beneficiario coincide con el titular del IBAN antes de enviar el dinero, y la propia EUIPO lo recomienda para verificar sus cuentas. Si el banco os avisa de que el nombre no coincide, tomadlo como una alarma, no como un trámite.
Si ya habéis pagado: qué hacer hoy
Que alguien haya pagado una de estas facturas pasa en empresas muy bien organizadas. Lo importante es moverse rápido, porque en muchos casos el dinero se recupera, sobre todo si se avisa al banco mientras sigue en la cuenta de destino.
- Llamad al banco por su teléfono oficial. Si fue una transferencia, pedid que solicite la devolución al banco receptor; si fue con tarjeta, bloqueadla y pedid la retrocesión del cargo.
- Si metisteis datos en una web, cambiad las contraseñas del panel del dominio, del alojamiento o del correo que usasteis, y activad la verificación en dos pasos. Si dejasteis las claves del dominio, revisad que nadie haya cambiado la configuración ni el correo, y seguid los pasos de phishing a un empleado.
- Guardad todas las pruebas: la factura, el sobre si llegó por correo postal, el correo con sus cabeceras, el formulario firmado, el justificante de pago y cualquier llamada o mensaje posterior.
- No sigáis pagando cuotas, «recargos» ni reclamaciones que lleguen después, y no firméis nada más hasta que alguien lo revise.
- Denunciad en la Policía Nacional o en la Guardia Civil con todas las pruebas. Si la factura usaba el nombre de la OEPM o de la EUIPO, avisadles también: ambas recogen estos casos. Te explicamos cómo hacerlo en cómo denunciar una estafa online.
- Avisad a INCIBE: las empresas pueden reportar el incidente a INCIBE-CERT y consultar sus dudas gratis en el 017.
Si firmasteis un formulario de un directorio
Es la situación más incómoda, porque hay una firma. Contestad por escrito que no reconocéis haber contratado ese servicio y que el formulario se presentó como gratuito, guardad el original y toda la correspondencia, y no os dejéis presionar por cartas de supuestas agencias de cobro. La EUIPO recuerda que en Alemania y en Suecia los tribunales ya han condenado por estafa a quienes enviaban este tipo de cartas. Cada caso depende de lo que se firmó y de cómo se presentó, así que merece la pena que lo revise un profesional antes de pagar nada más.
Cómo blindar a contabilidad para que no vuelva a pasar
No hace falta montar un departamento de seguridad, basta con unas costumbres sencillas:
- Ninguna factura sin dueño. Cada gasto tiene que tener a alguien en la empresa que lo pidió y lo puede confirmar.
- Una lista de proveedores habituales con su cuenta bancaria verificada, y alta de proveedores nuevos solo después de comprobar quiénes son.
- Doble firma para pagos fuera de lo normal o de proveedores nuevos.
- Un responsable del dominio y de la marca, que sepa con qué empresa están registrados, cuándo caducan y cómo se renuevan. Activad la renovación automática y la verificación en dos pasos en el panel del dominio.
- Formación corta y frecuente para quien recibe y paga facturas. Diez minutos enseñando ejemplos reales, como los que publican INCIBE, la OEPM y la EUIPO, valen más que cualquier manual.
Si queréis ir un paso más allá, en Kironic ayudamos a las empresas a revisar estos procesos con una auditoría de ciberseguridad para empresas: cómo se aprueban los pagos, quién tiene acceso al dominio y al correo, y una charla práctica para el equipo de administración.
Cuándo pedir ayuda profesional
Si el importe es alto, si habéis firmado un formulario y os reclaman pagos, si dejasteis las claves del dominio o de la tarjeta en una web falsa, o si os están presionando para pagar más, merece la pena una valoración profesional cuanto antes.
Contamos con un equipo de abogados y peritos especializados en estafas online, fraude a empresas y delitos informáticos, y cada caso lo atiende siempre un abogado o un perito. Envíanos lo que tengáis: la factura, el correo o la carta, el justificante de pago y quién lo gestionó. Lo revisamos gratis y te decimos qué pedir al banco, cómo denunciar y qué responder a quien os reclama. En muchos casos se puede recuperar el dinero o frenar los cobros, sobre todo si se actúa rápido. En Kironic hacemos todo lo posible por recuperar tu dinero.
Un último aviso: después de caer en una estafa así, a veces aparecen empresas que garantizan recuperar el dinero al 100 % a cambio de un pago por adelantado. Suele ser la segunda estafa. Te contamos cómo reconocerlas en cómo detectar falsas empresas de recuperación.
