Reconocer una estafa de cambio de IBAN
Un correo electrónico anuncia nuevos datos bancarios, llega una factura con un IBAN distinto, un «directivo» reclama una transferencia urgente y confidencial. Este fraude afecta tanto a las microempresas como a las grandes empresas, y una sola transferencia puede salir muy cara.
Equipo editorial de Kayzen Security4 min de lectura
Los escenarios más frecuentes
- El falso proveedor: un mensaje, a veces enviado desde el buzón real y pirateado del proveedor, anuncia un «cambio de banco» y adjunta un nuevo IBAN.
- El falso directivo (o «fraude del CEO»): un supuesto directivo pide una transferencia urgente y confidencial para una operación delicada.
- La factura falsa: una factura idéntica a la habitual, pero con un IBAN modificado, a veces insertada en un hilo de correos real.
- El falso empleado: una solicitud de cambio de IBAN para el pago de la nómina, dirigida al departamento de nóminas.
Las señales que deben hacerle parar
- Una solicitud de modificación de datos bancarios, sea cual sea la justificación.
- Presión sobre el plazo («antes de esta noche», «si no, la entrega queda bloqueada»).
- Una petición de discreción o de saltarse el procedimiento habitual.
- Una dirección de remitente ligeramente distinta (una letra cambiada, otro nombre de dominio) o una respuesta que se dirige a otra dirección.
- Un IBAN de un país inusual para ese proveedor, o un titular de la cuenta que no coincide exactamente con la empresa.
El procedimiento de verificación que conviene adoptar
La defensa más eficaz es una regla sencilla, escrita y conocida por todos: no se registra ningún cambio de datos bancarios sin una llamada de verificación.
- Llamada de verificación sistemática al número que figura en su ficha de proveedor o en un contrato anterior, nunca al del mensaje.
- Doble validación: la persona que introduce el nuevo IBAN no es la que valida el primer pago.
- Periodo de espera: ningún pago importante en los días siguientes a un cambio de datos.
- Verificación del beneficiario: desde el 9 de octubre de 2025, los bancos de la zona del euro deben indicar, antes de una transferencia SEPA, si el nombre del beneficiario coincide con el IBAN (reglamento (UE) 2024/886). Lea con atención ese resultado: es una salvaguarda, no una garantía. En las transferencias agrupadas enviadas mediante fichero, una empresa puede haber renunciado a esta verificación: infórmese en su banco.
- Sensibilización: explique estos escenarios a contabilidad, nóminas y asistencia de dirección, que son los más atacados.
Si la transferencia ya ha salido
- Llame de inmediato a su banco para solicitar la retrocesión de los fondos: las posibilidades de recuperación disminuyen hora a hora.
- Conserve todas las pruebas (correos con sus encabezados, facturas, extractos) sin modificarlas.
- Presente una denuncia ante la policía o la gendarmería.
- Avise al proveedor o al directivo auténtico: quizá su correo haya sido pirateado y otros clientes puedan ser objetivo.
- Pida orientación a 17Cyber (17cyber.gouv.fr) y avise a su aseguradora si tiene una cobertura cibernética o de fraude; en el caso de una cobertura cibernética, la indemnización puede exigir una denuncia presentada en un plazo de 72 horas (código de seguros francés, article L.12-10-1 du code des assurances, que debe validarse con su aseguradora).
Fuentes oficiales
- Cybermalveillance.gouv.fr (nueva pestaña) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- 17Cyber (nueva pestaña) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- EUR-Lex (nueva pestaña) — Règlement (UE) 2024/886 (virements instantanés, vérification du bénéficiaire)
Los recursos citados los publican sus autores en su idioma original. Kayzen no está afiliado a ninguno de estos organismos.
Esta guía es informativa y general. No sustituye un asesoramiento jurídico ni la intervención de un profesional de la seguridad informática.