¿Qué hacer si un proveedor pide cambiar el IBAN por correo?

No cambies la cuenta bancaria ni autorices el pago basándote solo en ese correo. Pausa la operación y confirma la petición con el proveedor mediante un canal que ya conocías antes: su teléfono habitual, el contacto de un contrato anterior o una persona responsable distinta. No uses el número, el enlace ni los datos incluidos en el mensaje sospechoso.

Un cambio de IBAN puede ser legítimo, pero también puede indicar que han suplantado al proveedor, comprometido uno de los buzones o alterado una conversación real. En una pyme, una comprobación de pocos minutos puede evitar que una transferencia termine en una cuenta fraudulenta.

Si el pago ya salió, contacta inmediatamente con el banco para solicitar la revisión o recuperación de la transferencia, conserva las pruebas y activa el protocolo interno de incidente. La rapidez importa más que intentar resolver primero quién cometió el error.

¿Qué señales hacen sospechoso un cambio de cuenta bancaria?

La señal principal es la combinación de cambio financiero y urgencia. Desconfía si el mensaje pide sustituir el IBAN justo antes del vencimiento, insiste en pagar ese mismo día o solicita saltarse el procedimiento habitual.

• El dominio del remitente se parece al real, pero cambia una letra, un guion o la extensión.
• La dirección visible parece correcta, aunque «Responder a» apunta a otro buzón.
• El tono, la firma o la forma de nombrar facturas y pedidos no coincide con conversaciones anteriores.
• El PDF conserva el aspecto habitual, pero el IBAN es distinto.
• El mensaje pide confidencialidad, evita llamadas o afirma que el contacto habitual no está disponible.
• La conversación parece real porque incluye referencias, importes o mensajes anteriores.

Ese último caso es especialmente importante: que el correo esté dentro de un hilo auténtico no demuestra que la nueva cuenta sea válida. Un atacante con acceso a un buzón puede observar la conversación y actuar cuando se acerca un pago.

¿Cómo se verifica el nuevo IBAN sin frenar el trabajo?

1. Pausa solo la operación afectada

Marca la factura como «pendiente de verificación» y evita que otra persona la pague por error. No hace falta bloquear todos los pagos de la empresa, pero sí separar claramente el caso dudoso del circuito normal.

2. Llama a un contacto conocido

Usa un número guardado previamente, publicado en la web oficial o recogido en el contrato. Pide que confirmen el cambio y que identifiquen la factura o relación comercial. Si el supuesto proveedor contesta únicamente al mismo correo que generó la alerta, todavía no existe una verificación independiente.

3. Aplica una segunda aprobación

Para altas y cambios de cuentas bancarias, conviene que una segunda persona revise la petición, la identidad del proveedor y el documento justificativo. La doble aprobación no sustituye la llamada; evita que una sola persona pueda modificar y pagar sin control.

4. Registra la comprobación

Anota quién confirmó el cambio, a qué número se llamó, quién lo aprobó y desde qué fecha se aplica. Así contabilidad no tendrá que repetir la investigación y será más fácil detectar futuras contradicciones.

¿Basta con comprobar que el nombre del beneficiario coincide?

No conviene depender de una única señal. El nombre mostrado por la banca, el aspecto de la factura o una firma de correo pueden ayudar, pero no sustituyen la verificación directa. El control útil combina un contacto conocido, una segunda aprobación y un registro del cambio.

También es recomendable comparar el IBAN con facturas anteriores y revisar si han cambiado otros datos a la vez: razón social, dirección, teléfono o condiciones de pago. Varias modificaciones inesperadas elevan el riesgo.

¿Qué hacer si la transferencia ya se realizó?

1. Llama al banco de inmediato. Indica que puede tratarse de fraude y solicita que intenten detener, revisar o recuperar la operación.
2. No borres mensajes ni archivos. Conserva el correo original, cabeceras, PDF, justificante bancario, fecha, importe y conversación relacionada.
3. Avisa al proveedor por un canal fiable. Hay que saber si su correo fue comprometido, si el problema está en tu organización o si se utilizó un dominio parecido.
4. Protege las cuentas implicadas. Si hay indicios de acceso no autorizado, cambia credenciales, cierra sesiones, revisa reglas de reenvío y confirma que la autenticación multifactor sigue bajo control.
5. Documenta y comunica el incidente. Sigue las indicaciones de la entidad bancaria y de los organismos competentes. INCIBE publica orientación para empresas sobre el fraude del CEO y la suplantación en pagos.

No respondas al atacante diciendo que lo has descubierto antes de coordinarte con el banco y conservar las pruebas. Tampoco envíes contraseñas, códigos de verificación o capturas del panel bancario para «aclarar» la situación.

¿Qué procedimiento debería tener una pyme en Tenerife?

Un comercio, despacho, alojamiento, clínica o empresa de servicios de Tenerife no necesita un sistema burocrático. Sí necesita una regla breve que se aplique siempre, incluso en temporada alta o cuando falta la persona habitual de administración.

• Ningún cambio de IBAN se acepta solo por email o mensajería.
• La confirmación se hace mediante un dato de contacto ya validado.
• Una segunda persona aprueba el alta o modificación.
• El cambio queda registrado en la ficha del proveedor.
• Los pagos urgentes no eliminan los controles.
• Contabilidad sabe a quién escalar una sospecha y cómo contactar con el banco.

Conviene probar este procedimiento con un ejemplo realista. Si el equipo no sabe quién debe llamar, dónde está el teléfono correcto o quién puede detener el pago, el protocolo todavía no está listo.

¿Qué controles técnicos reducen este fraude?

La tecnología ayuda, pero debe acompañar al proceso. Protege los buzones de administración y dirección con autenticación multifactor, revisa accesos y reglas automáticas, separa las cuentas personales de las corporativas y configura correctamente el dominio de correo. Nuestra guía sobre SPF, DKIM y DMARC para empresas explica cómo reducir la suplantación del dominio.

Para entrenar al equipo frente a mensajes, QR y peticiones urgentes, consulta también el checklist de fraude por correo y QR. Este artículo se centra en un momento distinto: decidir si se acepta un cambio bancario concreto antes de pagar.

Preguntas frecuentes

¿Puede ser fraude aunque el correo venga de la dirección real?

Sí. El buzón del proveedor o el de tu empresa podría estar comprometido. Por eso la confirmación debe salir del propio canal de correo y utilizar un contacto conocido.

¿Sirve pedir un certificado bancario?

Puede formar parte de la comprobación, pero un documento adjunto también puede falsificarse o manipularse. Debe combinarse con verificación independiente y doble aprobación.

¿Hay que llamar para cada factura?

No. La llamada es especialmente necesaria cuando se crea un proveedor o cambia su IBAN. Una vez validado y registrado, las facturas normales siguen el circuito acordado.

¿Qué ocurre si el proveedor presiona por la urgencia?

La urgencia no debe anular el control. Explica que la empresa verifica todos los cambios bancarios. Un proveedor legítimo debería entender una medida que también protege su cobro.

¿BGR Solutions puede revisar el correo y el procedimiento?

Sí. BGR Solutions puede ayudar a una pyme de Tenerife a revisar cuentas de correo, autenticación, reglas sospechosas, dominio y pasos de aprobación para reducir el riesgo sin complicar la operativa diaria.

Fuente recomendada

• INCIBE: fraude del CEO, qué es y cómo evitarlo