Un protocolo de dos minutos puede evitar una transferencia a un delincuente
El mensaje parece rutinario: Un empleado comunica a Recursos Humanos que ha cambiado de banco, un proveedor envía una factura con un nuevo IBAN. El nombre es correcto, la firma coincide y el tono resulta familiar, si la empresa tramita la modificación sin verificarla por otra vía, la siguiente nómina o factura puede terminar en una cuenta controlada por un tercero.
INCIBE advirtió en marzo de 2026 sobre la suplantación de trabajadores para desviar nóminas. El fraude funciona porque no necesita un ataque técnico espectacular, aprovecha procesos cotidianos, equipos con prisa y la confianza que generan los datos reales. La misma lógica se utiliza en la suplantación de proveedores y en el fraude del falso directivo.
Hay señales que deben elevar la precaución: el mensaje procede de una cuenta personal o ligeramente distinta de la habitual, introduce urgencia, evita una llamada, adjunta documentación inesperada o pide saltarse un procedimiento. Sin embargo, la ausencia de estas señales no demuestra que el correo sea auténtico, si una cuenta legítima ha sido comprometida, el atacante puede responder dentro de una conversación real y conocer operaciones anteriores.
La regla que corta el fraude
Ningún cambio de cuenta bancaria debe ejecutarse únicamente a partir de un correo, un mensaje o una llamada entrante. La persona que tramita el cambio debe contactar con el empleado o proveedor mediante un dato de contacto ya conocido y distinto del incluido en la solicitud.
- Llama al número que figura en la ficha del proveedor o del empleado, no al que aparece en el nuevo mensaje.
- Registra quién confirmó el cambio, en qué fecha y por qué canal.
- Aplica una segunda autorización antes de modificar el maestro de proveedores o la cuenta de nómina.
- En el primer pago, revisa que el titular y el IBAN coinciden con la modificación validada.
Para particulares, el principio es idéntico: Si un familiar pide dinero con urgencia desde un número nuevo, si una empresa comunica por mensaje que debes pagar en otra cuenta o si alguien solicita códigos de acceso, interrumpe la conversación y usa un contacto que ya conocías.
Si la transferencia ya se ha realizado, el tiempo importa… Contacta inmediatamente con la entidad bancaria para intentar bloquear o recuperar los fondos, conserva el correo completo, los encabezados si es posible, capturas, justificantes, números de cuenta y conversaciones. Informa al responsable interno de seguridad y valora la denuncia. La línea 017 de INCIBE ofrece ayuda en ciberseguridad a ciudadanos y empresas.
Te recomendamos…
Escribe una norma de una sola frase y compártela con quienes gestionan pagos y nóminas: ningún cambio de cuenta se ejecuta sin confirmación por un canal conocido y una segunda autorización.
