El aviso de BBVA: comprobar el IBAN antes de pagar
BBVA ha actualizado sus recomendaciones sobre el fraude del CEO, una estafa en la que los delincuentes suplantan a directivos, empleados o proveedores para conseguir transferencias o información sensible. Dentro de esas variantes, el banco señala una especialmente peligrosa para empresas: interceptar correos legítimos con facturas y sustituir la cuenta de pago del proveedor por otra controlada por los atacantes.
La clave no está solo en revisar si el correo “parece raro”. En muchos casos, el mensaje puede encajar con una relación comercial real: un proveedor conocido, una factura esperada y un importe que tiene sentido. Precisamente por eso funciona. El punto que debe encender la alarma es el cambio de IBAN, sobre todo si llega por correo y pide pagar con rapidez.
BBVA recomienda verificar siempre que la cuenta de pago de una factura es la acordada previamente con el proveedor y aplicar protocolos de “doble check” cuando haya cambios en números de cuenta. También aconseja mantener los procedimientos internos de autorización y activar el doble factor de autenticación en correos y sistemas de la empresa.
Por qué este fraude golpea directamente a la caja
Para un autónomo o una pequeña empresa, una transferencia mal enviada no es un susto menor. Puede ser el pago de mercancía, una reforma, una campaña de publicidad, una maquinaria o una factura de servicios. Si el dinero sale hacia una cuenta falsa, el problema entra de lleno en la liquidez.
El Banco de España explica que el fraude del correo electrónico corporativo, conocido como BEC, afecta a empresas que pagan facturas por transferencia. El mecanismo es claro: los delincuentes suplantan al proveedor, modifican la factura y cambian el IBAN al que debe enviarse el dinero.
Aquí hay un matiz importante para cualquier negocio: el Banco de España recuerda que las transferencias son mandatos de pago irrevocables y que las entidades no pueden ordenar la devolución sin el consentimiento del titular beneficiario. Eso no significa que no haya que actuar; significa que hay que hacerlo rápido, contactando con el banco cuanto antes para intentar recuperar el importe.
La señal que debe parar la transferencia
La señal más clara no siempre es una falta de ortografía. Puede ser algo más simple: “hemos cambiado de cuenta”, “usa este nuevo IBAN”, “paga hoy para no retrasar el pedido” o “esta factura va por otra vía”. Un cambio de cuenta bancaria de un proveedor debe verificarse por un canal distinto al correo recibido.
INCIBE describe este fraude como una suplantación o interceptación de correos de facturación en la que el atacante cambia la cuenta bancaria para que la empresa haga la transferencia a una cuenta bajo su control. También advierte de casos en los que la cuenta comprometida puede ser la del proveedor, lo que hace que el correo parezca legítimo.
La revisión no tiene que ser sofisticada, pero sí disciplinada: llamar al proveedor usando un teléfono ya guardado, no el que aparece en el correo sospechoso; dejar constancia interna de quién confirmó el cambio; y exigir una segunda validación cuando el importe sea relevante. Al revisar la operativa bancaria del negocio, no basta con mirar comisiones: conviene comparar también controles, alertas, autorizaciones y facilidad para gestionar pagos, igual que se hace al elegir entre bancos para autónomos o entre bancos para pequeñas empresas.
Qué hacer si el dinero ya ha salido
Si el pago ya se ha hecho al IBAN falso, lo peor es seguir negociando dentro del mismo hilo de correo. Puede que el atacante siga dentro de la conversación. Lo urgente es contactar con el banco por canales oficiales, conservar pruebas y presentar denuncia cuanto antes.
La guía de BBVA para reportar fraude indica que, ante un fraude digital con transferencias o Bizum, el cliente debe comunicarlo por canales oficiales, denunciar ante las autoridades y entregar documentación como denuncia y justificantes. También recomienda aportar capturas de comunicaciones sospechosas, datos de la operación e información sobre posibles llamadas, SMS, correos o enlaces recibidos.
Para un negocio pequeño, la lección práctica es sencilla: antes de pagar una factura con un IBAN nuevo, hay que parar y comprobar. La transferencia puede tardar segundos; recuperar el dinero, si se consigue, puede llevar mucho más. La caja manda, y en este fraude el mejor control no es tecnológico: es no saltarse nunca la verificación del proveedor.
