El fraude del cambio de IBAN en facturas: cómo detectarlo antes de pagar

El fraude del cambio de IBAN en facturas: cómo detectarlo antes de pagar

Te llega un correo de un proveedor de siempre: «Hemos cambiado de banco. A partir de ahora, abonad las facturas en esta nueva cuenta». Viene con su logotipo y su firma, incluso responde a una conversación que ya teníais. Pagas, y semanas después el proveedor te reclama la factura. El dinero ha ido a parar a la cuenta de un ciberdelincuente. INCIBE lo llama fraude BEC (por *business email compromise*) y documenta casos reales con pymes y autónomos todos los años.

Cómo funciona

Hay dos variantes principales, según los casos que recoge INCIBE:

1. El delincuente entra en un buzón de correo: el tuyo, el del proveedor o el de un intermediario. Lee las conversaciones durante un tiempo y, cuando ve que viene un pago, cambia el número de cuenta en la factura o envía una «actualización de datos bancarios». A veces crea reglas en el correo para que las respuestas del cliente le lleguen a él.
2. El delincuente usa un dominio casi igual: por ejemplo, cambia una letra o la duplica en el dominio del proveedor. En uno de los casos atendidos por el 017, el remitente usaba dos «o» donde el dominio real tenía dos «e». A simple vista, en un móvil, parece el mismo.

Es parecido al fraude del CEO: alguien se hace pasar por un directivo y ordena a un empleado una transferencia urgente y confidencial (INCIBE). También puede llegar al revés: un supuesto empleado que pide que le paguen la nómina en otra cuenta (INCIBE).

Las señales de alarma

• Cambio de cuenta bancaria comunicado por correo, sobre todo si coincide con un pago importante.
• Prisa: «hoy sin falta», «si no, paralizamos el pedido».
• Pide discreción o te pide que no llames: «estoy en una reunión, solo por correo».
• Cuenta en otro país sin un motivo claro.
• Pequeños cambios en la dirección del remitente, en la firma o en la forma de escribir.
• Un PDF de la factura distinto de los anteriores en el formato, la tipografía o la numeración.

La verificación del beneficiario: úsala

Desde el 9 de octubre de 2025, el Reglamento (UE) 2024/886 obliga a los bancos a ofrecer gratis un servicio que compara el nombre del beneficiario que escribes con el titular real del IBAN en las transferencias en euros, ordinarias o inmediatas. Si no coinciden, o solo coinciden en parte, el banco te avisa antes de mandar el dinero y puedes cancelar.

Para sacarle partido:

• Escribe el nombre exacto del proveedor, tal como aparece en su NIF o razón social. No uses apodos.
• Si sale «no coincide», no sigas hasta haber confirmado los datos por teléfono.
• Si sale «coincide parcialmente», mira el nombre que te sugiere el banco. Si es de otra persona o de otra empresa, para.

Ten en cuenta que un validador de IBAN comprueba que el número está bien escrito y te dice de qué banco es, pero no quién es el titular. Una cuenta del delincuente puede ser un IBAN perfectamente válido.

Un procedimiento sencillo que te protege

INCIBE recomienda tener un procedimiento formal y documentado para cambiar datos bancarios. En un negocio pequeño puede ser así:

1. Ningún cambio de cuenta se acepta solo por correo.
2. Confirmación por teléfono con la persona de siempre, llamando a un número que ya tuvieras guardado, no al que aparece en el correo que pide el cambio.
3. Un certificado de titularidad de la nueva cuenta, emitido por el banco a nombre del proveedor.
4. Primer pago a la cuenta nueva por un importe pequeño, o con confirmación del proveedor de que lo ha recibido, si el importe es alto.
5. Anotar quién verificó y cuándo en la ficha del proveedor.

Y en tu correo:

• Activa el doble factor de autenticación.
• Revisa las reglas de reenvío y los filtros que no hayas creado tú.
• Contraseña distinta para el correo y para la banca online.

Si ya has pagado

El tiempo es fundamental:

1. Llama al banco ya mismo y pide que intenten recuperar la transferencia. Cuanto antes, más posibilidades hay de que el dinero siga en la cuenta de destino.
2. Guarda todas las pruebas: los correos con sus cabeceras completas, los PDF, el justificante de la transferencia.
3. Denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica que corresponda.
4. Llama al 017, la Línea de Ayuda en Ciberseguridad de INCIBE, gratuita y confidencial, para que te orienten.
5. Avisa al proveedor real: puede que su correo esté comprometido y que haya más clientes afectados.
6. Cambia las contraseñas y revisa los accesos a tu correo. Si el ataque ha expuesto datos personales, valora si debes notificarlo a la AEPD en 72 horas.

Qué hacer ahora

Escribe hoy, en media página, tu procedimiento para cambios de cuenta bancaria, con los cinco pasos de arriba. Compártelo con quien haga pagos en tu negocio y pídeselo también a tus proveedores habituales. Después haz el test de ciberseguridad para revisar contraseñas y doble factor. Y la próxima vez que pagues a un proveedor, fíjate en el resultado de la verificación del beneficiario antes de confirmar.