Llega la factura de un proveedor de siempre, con su logotipo, su firma y el importe esperado. Solo hay una diferencia: «Hemos cambiado de entidad bancaria, por favor actualizad nuestros datos». Se paga, y semanas después el proveedor real reclama una factura que tú das por pagada. Es el fraude del cambio de IBAN, y en pymes es de los que más dinero cuestan.
Cómo lo hacen
Hay dos variantes, y la segunda es la más difícil de detectar:
- Un dominio parecido. El correo llega desde «proveedor-sl.com» en lugar de «proveedorsl.com», o con una «rn» donde había una «m». A simple vista, en el móvil, no se nota.
- El correo real del proveedor. El atacante ha entrado en el buzón de tu proveedor, ha leído vuestras conversaciones y responde dentro del mismo hilo, con su firma de verdad y en el momento en que esperas la factura. Aquí revisar el remitente no sirve de nada.
Señales de una factura falsa
- Cualquier cambio de cuenta bancaria, por bien redactado que esté el aviso.
- Un IBAN de otro país para un proveedor español. Los españoles empiezan por «ES».
- Urgencia o confidencialidad: «hay que pagar hoy», «no llaméis, estoy de viaje».
- La dirección de respuesta es distinta de la que envía el correo.
- Pequeños cambios en el PDF: tipografía, alineación o datos fiscales que no cuadran.
Novedad
Desde octubre de 2025, los bancos de la zona euro comprueban al hacer una transferencia si el nombre del beneficiario coincide con el titular del IBAN. Si tu banco te avisa de que no coincide, no lo ignores: es exactamente la señal de este fraude.
El protocolo que lo frena
La tecnología ayuda, pero lo que de verdad lo para es una regla sencilla que se cumpla siempre, también cuando hay prisa:
- Ningún cambio de cuenta de un proveedor se aplica sin llamarle al teléfono que ya teníais en vuestros registros. Nunca al que aparece en el correo o en la propia factura.
- El cambio lo confirma una persona y lo aplica otra distinta, y queda anotado: quién llamó, a quién y cuándo.
- El primer pago a una cuenta nueva se revisa dos veces, aunque el importe sea el habitual.
- Avisa a tus clientes de que tú nunca cambias de cuenta por correo. Así, si alguien intenta suplantarte a ti, tus clientes sabrán qué hacer.
Si ya has pagado
- Llama al banco en ese momento y pide que intente retener o recuperar la transferencia. Cada hora cuenta: una vez el dinero sale de la cuenta de destino, recuperarlo es muy difícil.
- Denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica, con los correos y la factura.
- Avisa al proveedor real. Si el fraude salió de su buzón, tiene un problema que puede afectar a más clientes.
- Revisa tu propio correo. A veces el atacante no estaba en el del proveedor, sino en el tuyo. Qué hacer si te han hackeado el correo.
Y que no puedan usar tu nombre
Lo mismo que te hacen a ti se lo pueden hacer a tus clientes en tu nombre. Si tu dominio no tiene DMARC en «quarantine» o «reject», cualquiera puede enviar una factura desde tu dirección real y llegará a su bandeja de entrada. Comprueba gratis si tu dominio está protegido.