Fraude del cambio de cuenta: cómo engañan a pymes con una factura
Llega un correo de tu proveedor de siempre: «hemos cambiado de banco, este es el nuevo IBAN». La factura es real, el logo también, pero la cuenta es de un estafador. Cómo funciona este fraude, cómo detectarlo y qué hacer si ya has pagado.
El fraude del cambio de cuenta es uno de los timos que más dinero cuesta a pymes y autónomos, y no necesita ningún virus. Llega un correo que parece de tu proveedor de siempre, a veces desde su propia cuenta, con una factura real y un aviso: «hemos cambiado de banco». Pagas, y el dinero va a otro sitio. INCIBE lo lleva años advirtiendo y sigue funcionando porque se aprovecha de algo muy humano: la prisa y la confianza. Te explicamos cómo funciona, las señales que lo delatan y el protocolo sencillo que lo frena.
Cómo funciona el fraude del cambio de cuenta
Hay dos variantes, y las dos acaban en una transferencia a una cuenta del estafador:
- Proveedor suplantado o comprometido. El estafador entra en el correo de tu proveedor, o crea un dominio casi igual (una letra cambiada), y te manda una factura auténtica con un IBAN nuevo. Como conoce las conversaciones anteriores, el mensaje encaja perfectamente.
- Falso CEO o falso jefe. Alguien que se hace pasar por el dueño o un directivo pide una transferencia urgente y confidencial: «estoy cerrando una operación, no se lo comentes a nadie». A veces lo refuerza con una llamada.
En los dos casos el mensaje tiene prisa y tiene secreto. Es lo que el estafador necesita para que nadie compruebe nada.
Señales de alerta del fraude del cambio de cuenta
| Señal | Qué mirar |
|---|---|
| Cambio de IBAN por correo | Ningún proveedor serio debería cambiar su cuenta solo con un email. Siempre hay que confirmarlo. |
| Dominio casi idéntico | proveedor-sa.com en lugar de proveedorsa.com, una «rn» en lugar de una «m», una letra de más. |
| Urgencia | «Hoy sin falta», «si no se bloquea el pedido», «penalización por retraso». |
| Confidencialidad | «No lo comentes», «estoy en una reunión, no me llames». |
| Cuenta en otro país | Un IBAN que no empieza por ES cuando el proveedor siempre ha cobrado en España. |
| Cambio de tono o de firma | Expresiones que esa persona no usa, firma distinta, otro teléfono en la firma. |
El protocolo que frena el fraude del cambio de cuenta
INCIBE recomienda medidas sencillas que cualquier pyme puede aplicar desde mañana:
- Confirma todo cambio de cuenta por teléfono, llamando al número que ya tienes en la ficha del proveedor o en un contrato antiguo. Nunca al que viene en el correo que pide el cambio.
- Doble firma: cualquier cambio de datos bancarios y cualquier transferencia por encima de un importe lo aprueban dos personas.
- Nada de transferencias urgentes y secretas: decidlo en la empresa por escrito. Si el dueño pide algo así, también se confirma por teléfono.
- Segundo factor en el correo (código en el móvil) para que no os roben la cuenta a vosotros y la usen contra vuestros clientes.
- Forma al equipo: quien paga facturas tiene que conocer este timo. Cinco minutos bastan.
Lo del segundo factor importa también al revés: si el estafador entra en tu correo, el fraude del cambio de cuenta lo sufrirán tus clientes con tus facturas.
Si ya has pagado: qué hacer en la primera hora
- Llama a tu banco ya y pide que intenten retener o devolver la transferencia. Cuanto antes, más posibilidades.
- Guarda el correo original, sin borrarlo ni reenviarlo modificado: hace falta para la denuncia.
- Avisa a INCIBE: la línea 017 es gratuita y atiende de 8 a 23 h, también por WhatsApp en el 900 116 117. Te dicen los siguientes pasos.
- Denuncia ante la Policía Nacional o la Guardia Civil.
- Avisa al proveedor real: puede que su correo esté comprometido y haya más clientes afectados.
- Cambia contraseñas del correo si sospechas que el problema está en tu lado.
Lo que la tecnología puede hacer (y lo que no)
Ningún programa sustituye a la llamada de confirmación, pero hay medidas técnicas que reducen mucho el riesgo:
- Correo con tu dominio bien configurado (SPF, DKIM y DMARC), para que nadie pueda enviar correos que parezcan tuyos.
- Filtro de correo que marque los mensajes de dominios parecidos a los de tus contactos.
- Segundo factor en el correo y en la banca online de todos los que pagan.
- Equipos actualizados y copias de seguridad, como explicamos en seguridad en el TPV.
Cómo te ayudamos en ibero TI
En ibero TI configuramos el correo de tu empresa con tu dominio y su protección contra suplantación, activamos el segundo factor en las cuentas de quien paga y revisamos que tus equipos estén al día. Lo hacemos dentro de nuestro soporte técnico y de consultoría TI para pymes. Pídenos una revisión del correo de tu empresa.
Preguntas frecuentes sobre el fraude del cambio de cuenta
¿Qué es el fraude del cambio de cuenta?
Un engaño en el que el estafador se hace pasar por un proveedor, o entra en su correo, y te pide que pagues una factura en un número de cuenta nuevo que es suyo.
¿Cómo sé si un cambio de IBAN es real?
Llamando al proveedor a un teléfono que ya tengas de antes, nunca al que aparece en el mensaje que pide el cambio. Si no puedes confirmarlo, no pagues.
¿El banco me avisa si la cuenta no es del proveedor?
Desde el 9 de octubre de 2025 los bancos de la zona euro comprueban si el nombre del beneficiario coincide con el titular de la cuenta y avisan si no. Ayuda, pero no sustituye a la llamada de confirmación.
¿Qué hago si ya he pagado?
Llama a tu banco de inmediato, guarda el correo, llama al 017 de INCIBE, denuncia ante la Policía o la Guardia Civil y avisa al proveedor real.
¿Qué es el fraude del CEO?
Una variante en la que alguien se hace pasar por el dueño o un directivo y pide una transferencia urgente y confidencial. Se frena igual: confirmando siempre por teléfono.
Fuentes oficiales: INCIBE: fraude del CEO, el engaño que puede vaciar la cuenta de tu pyme · INCIBE: Línea de Ayuda en Ciberseguridad 017 · Reglamento (UE) 2024/886 sobre transferencias inmediatas y verificación del beneficiario.
Lo revisamos contigo antes de que compres nada
Una llamada de quince minutos basta para saber si tu caja, tu programa y tus equipos cumplen, y qué cambiar si no. Si no hace falta cambiar nada, también te lo decimos.
Más del blog
Seguridad en el TPV: 10 medidas para proteger la caja y los datos
El TPV cobra, guarda las ventas, los datos de clientes y, a menudo, está conectado a la misma wifi que los clientes. Diez medidas sencillas para que un descuido no te deje sin caja ni sin datos.
1 de noviembre de 2026 · 5 min de lectura
Fin de soporte de Windows 10: qué hacer con los TPV y ordenadores del negocio
Windows 10 ya no recibe parches gratis y el ESU de particulares, aunque Microsoft lo ha alargado a 2027, no se puede usar en un negocio. Qué equipos de tu negocio se han quedado sin parches, por qué muchos TPV siguen cubiertos hasta 2032 y qué opciones tienes.
15 de octubre de 2026 · 6 min de lectura
Regla 3-2-1 de copias de seguridad: cómo proteger los datos de tu negocio
Tres copias, en dos soportes distintos y una fuera del local. Cómo aplicar la regla 3-2-1 en una pyme o un comercio, qué añade la versión 3-2-1-1-0 contra el ransomware y por qué una copia sin probar no es una copia.
7 de octubre de 2026 · 4 min de lectura