El fraude de las facturas falsas y el cambio de IBAN es una de las variantes más dañinas del compromiso del correo empresarial (BEC). El estafador se hace pasar por un proveedor real y comunica que sus datos bancarios han cambiado, o bien envía una factura auténtica en apariencia, pero con una cuenta de destino distinta. Como el proveedor existe, la relación es real y el importe es el esperado, el pago parece rutinario. Afecta a empresas de todos los tamaños, a autónomos y también a particulares que pagan obras, reformas o servicios profesionales.
Cómo funciona el fraude
- Acceso o suplantación: el estafador compromete el correo del proveedor (o el tuyo) y lee las conversaciones, o crea una dirección casi idéntica a la del proveedor.
- Observación: espera el momento adecuado, como una factura pendiente o un pago recurrente.
- El aviso: envía un mensaje del tipo «hemos cambiado de banco» o reenvía la factura con un IBAN modificado, a veces en el mismo hilo de conversación.
- El pago: tu empresa actualiza los datos y transfiere el dinero a la cuenta del estafador.
- El descubrimiento: semanas después, el proveedor real reclama la factura impagada.
Ejemplos de mensajes
- «Les informamos de que, por motivos de auditoría, a partir de ahora nuestras facturas deben abonarse en la nueva cuenta indicada».
- «Adjuntamos factura corregida con nuestros nuevos datos bancarios. Por favor, anulen la anterior».
- «Nuestra cuenta habitual está bloqueada temporalmente. Les rogamos que realicen el pago en esta cuenta alternativa».
Cuando el correo del proveedor ha sido comprometido, el mensaje llega desde su dirección auténtica, con su firma y en una conversación real. Por eso no basta con mirar el remitente.
Señales de alerta
| Señal | Qué comprobar |
|---|---|
| Comunicación de un nuevo IBAN | Verificar siempre por teléfono con un contacto conocido |
| IBAN de otro país o de un banco distinto al habitual | Motivo del cambio y titularidad de la cuenta |
| Titular de la cuenta distinto del proveedor | El nombre debe coincidir con la razón social |
| Urgencia por pagar o amenaza de recargos | Si el tono coincide con el habitual del proveedor |
| Pequeñas diferencias en el dominio del correo | Revisar la dirección completa del remitente |
| Factura con formato o datos ligeramente distintos | Comparar con facturas anteriores |
La verificación del beneficiario
El Reglamento (UE) 2024/886, sobre transferencias inmediatas en euros, obliga a los bancos a ofrecer un servicio de verificación del beneficiario: antes de ordenar una transferencia, el banco comprueba si el nombre que indicas coincide con el titular del IBAN y te avisa si no es así. En la zona euro, esta obligación se aplica desde octubre de 2025. Es una protección útil, pero no sustituye a tus propios controles: si ignoras el aviso de que el nombre no coincide y confirmas el pago, será muy difícil reclamar después.
Regla práctica: nunca cambies los datos bancarios de un proveedor solo porque te lo pidan por correo electrónico, aunque el mensaje parezca auténtico.
Procedimiento recomendado para cambiar datos bancarios
- Recibe la solicitud de cambio y no la apliques todavía.
- Llama al proveedor a un número que ya tuvieras registrado, no al que aparece en el correo.
- Pide un certificado de titularidad de la nueva cuenta emitido por el banco.
- Haz que una segunda persona revise y apruebe el cambio en el sistema.
- Considera hacer un primer pago de prueba de importe reducido y confirmar su recepción.
- Registra quién verificó el cambio, cuándo y cómo.
Qué hacer si has pagado a una cuenta fraudulenta
- Llama a tu banco inmediatamente para que intente retener o recuperar la transferencia contactando con el banco de destino.
- Avisa al proveedor real por teléfono: puede que su correo esté comprometido y que otros clientes estén en riesgo.
- Conserva los correos con sus cabeceras completas, las facturas y los justificantes de pago.
- Revisa tu propio correo: cambia contraseñas, activa la verificación en dos pasos y comprueba reglas de reenvío.
- Denuncia ante la Policía Nacional o la Guardia Civil.
- Analiza la responsabilidad: según cómo se produjo el fraude (en tu correo, en el del proveedor o por una verificación deficiente), puede haber cuestiones que plantear al proveedor o al banco.
Para entender qué gestiones son posibles con tu entidad, consulta la guía sobre reclamar una transferencia tras una estafa y la del fraude del CEO, que comparte muchos mecanismos. Si necesitas ordenar la documentación para reclamar, el servicio de revisión documental puede ayudarte.
