El 25 de septiembre de 2026, la Agencia de Ciberseguridad de Cataluña alertó de un fraude para desviar nóminas cambiando la cuenta de cobro. Su aviso recomienda doble verificación también para proveedores y clientes. ¿Tu proveedor te pide ahora pagar a otro IBAN? Antes de actualizar el beneficiario y ordenar la transferencia, confirma el cambio por un canal independiente que ya tengas contrastado. El riesgo específico de una factura enviada desde un correo legítimo comprometido lo explica INCIBE.
La factura puede corresponder a una compra real y el importe puede ser correcto. La duda adicional es quién controla la instrucción que desvía el dinero a otra cuenta.
Un remitente conocido no demuestra quién está escribiendo
En el fraude del correo electrónico comprometido, conocido como BEC, el atacante puede acceder a la comunicación de una empresa y aprovechar su relación con clientes o proveedores. No necesita inventar desde cero una compra desconocida: puede intervenir cuando ya existe una factura pendiente y una conversación reconocible.
Por eso revisar únicamente el nombre visible, el diseño del PDF o el tono del mensaje deja una parte de la comprobación sin hacer. Un correo con antecedentes auténticos no acredita que el cambio de cuenta lo haya autorizado quien debe cobrar.
Presta atención a la novedad concreta: una cuenta diferente, un beneficiario distinto o una insistencia inusual en pagar inmediatamente. Esas señales no prueban por sí solas que haya fraude; justifican detener la modificación hasta contrastarla fuera del mensaje que la solicita.
La llamada sirve cuando el contacto no procede del correo dudoso
INCIBE recomienda confirmar los cambios de cuenta bancaria por una vía ajena al correo electrónico. Utiliza el teléfono que ya tenías contrastado en la relación comercial u otro canal independiente cuya autenticidad puedas verificar.
Si llamas al número añadido en la firma del mensaje sospechoso, puedes continuar dentro de la misma maniobra. Lo mismo ocurre si respondes al hilo y aceptas como prueba la confirmación que llega desde esa cuenta. El objetivo no es acumular dos mensajes, sino obtener una confirmación independiente.
Explica qué factura vas a pagar y qué cambio has recibido. Pide que confirmen el beneficiario y la cuenta por la vía acordada. Si la persona contactada desconoce la modificación, conserva la instrucción como incidencia y avisa al proveedor para que examine su comunicación.
Un ejemplo: la compra existe, pero el destino del pago sigue sin validar
Supuesto ilustrativo: una pequeña empresa espera pagar una factura real de material. Recibe, dentro del hilo habitual, un mensaje que pide utilizar otra cuenta por una supuesta reorganización bancaria. El PDF adjunto conserva el concepto y el importe de la compra.
La persona que prepara pagos no cambia todavía la ficha del proveedor. Llama al contacto habitual guardado antes del mensaje y pregunta si se autorizó esa cuenta. El proveedor responde que no ha comunicado ningún cambio. Coincidir en la factura no había validado el nuevo destino del dinero.
El resultado es una orden retenida antes de enviarla y un cambio de beneficiario que no se incorpora como dato válido. Ambas empresas pueden investigar el origen del mensaje sin que la comprobación se haya convertido ya en una transferencia al destinatario dudoso.
Si necesitas separar la validación de la compra de la del pago, consulta con Alexis cómo revisar la instrucción recibida antes de actualizar la cuenta del proveedor.
Actualizar la ficha y autorizar el pago son dos decisiones
Una vez contrastada la modificación, conserva quién la confirmó y por qué vía. Después comprueba que la orden utiliza el beneficiario y la cuenta verificados. Que alguien haya corregido la ficha no demuestra que un pago preparado anteriormente haya tomado el dato nuevo correcto.
Si no existe confirmación suficiente, mantén visible la incidencia y comunica internamente que el cambio no está validado. No uses la urgencia del vencimiento como sustituto de la comprobación. Tampoco marques la factura como pagada mientras solo exista una orden pendiente de ejecutar.
| Comprobación | Qué resuelve | Qué deja pendiente |
|---|---|---|
| La mercancía y la factura son reales | El origen comercial de la deuda | La autorización del nuevo destino del dinero |
| El correo sigue un hilo conocido | El contexto de la comunicación | Quién controla actualmente esa cuenta de correo |
| El proveedor confirma por un canal independiente | El cambio concreto que se ha contrastado | Que la orden bancaria utilice esos datos |
| Existe justificante de transferencia | La operación efectuada y sus referencias | Que una solicitud de recuperación vaya a prosperar |
Si el dinero ya salió, contacta primero con el banco
La guía de INCIBE indica contactar con la entidad bancaria para intentar cancelar o recuperar la transferencia. Actúa con rapidez, facilitando los datos de la operación. Pedir esa actuación no garantiza que el dinero pueda recuperarse.
Conserva el correo, los adjuntos y la información que permita reconstruir el intercambio. La guía oficial recomienda reunir pruebas, denunciar los hechos y utilizar sus canales de ayuda. No elimines la conversación intentando limpiar la bandeja antes de guardar la evidencia.
Un IBAN que tu propio negocio escribió mal en una factura plantea una corrección distinta. Aquí la cuestión es verificar una instrucción potencialmente manipulada antes de aceptarla como válida.
La guía de trámites digitales de Taxea aporta contexto operativo. Si el cambio no está claro, explica a Alexis qué se ha verificado y si la transferencia sigue pendiente o ya se ejecutó.
Fuente oficial: INCIBE, fraude del email comprometido y recomendaciones de prevención y respuesta, leída íntegramente el 20 de octubre de 2026.
