¿Cómo funciona el fraude del cambio de cuenta bancaria?
En cuatro pasos. Alguien entra en un buzón de correo, el tuyo o el de un proveedor, a menudo con una contraseña robada. Lee la conversación hasta que llega una factura. La reenvía con un IBAN nuevo, a veces desde un dominio casi igual. Y el dinero se mueve enseguida a otras cuentas.
Paso 1
Entran en un correo
El tuyo o el del proveedor, a menudo con una contraseña robada.
Paso 2
Esperan
Leen la conversación hasta que llega una factura.
Paso 3
Cambian la cuenta
Envían la factura real con un IBAN nuevo, a veces desde un dominio casi igual.
Paso 4
El dinero desaparece
Se transfiere enseguida a otras cuentas.
El Banco de España lo describe igual: los delincuentes «suplantan la identidad del proveedor», modifican la factura «cambiando el IBAN» y, para saber qué y a quién se factura, el delincuente «ha tenido que acceder previamente al correo de la víctima, posiblemente descifrando la contraseña». En inglés se conoce por sus siglas, BEC, de «Business E-mail Compromise»: compromiso del correo de empresa.
Por eso el correo falso no tiene faltas ni prisas raras: cita el pedido, el importe y a la persona de siempre, porque lo ha leído todo. La guía de cómo reconocer un correo trampa explica las señales generales; las de esta variante van en el apartado siguiente.
45.445
casos de fraude en línea gestionó INCIBE en 2025: 4 de cada 10 incidentes y un 19 % más que en 2024.
¿Qué señales delatan un cambio de cuenta bancaria falso?
Son cinco: un cambio de cuenta anunciado por correo, prisa por pagar hoy, un dominio parecido al del proveedor con una letra cambiada, un tono o una firma distintos de los habituales y un IBAN de otro país o de otro banco sin motivo. Una sola basta para parar el pago.
| Señal | Qué suele haber detrás | Qué haces |
|---|---|---|
| Cambio de cuenta anunciado por correo | Alguien que ha leído la conversación | Llamar al número que ya tenías |
| Prisa: «hay que pagar hoy» | Que no te dé tiempo a comprobar | Pagar más tarde, nunca sin comprobar |
| Dominio con una letra cambiada | Un dominio registrado para parecerse al del proveedor | Mirar la dirección completa, no el nombre que se muestra |
| Tono o firma distintos | Otra persona escribiendo | Preguntarlo por teléfono |
| IBAN de otro país o de otro banco sin explicación | Una cuenta abierta para cobrar el fraude | Exigir la confirmación antes de pagar |
El dominio parecido tiene su propia guía: qué es el typosquatting y qué hacer con un dominio parecido al tuyo o al de tu proveedor. Y la señal más peligrosa es la que no está: si han entrado en el buzón real del proveedor, el remitente es el auténtico. Lo cuenta el apartado sobre el correo del proveedor.
¿Cómo se para el fraude del cambio de cuenta bancaria?
Con una regla escrita: todo cambio de cuenta se confirma llamando al número que ya tenías del proveedor, nunca al que aparece en el correo, y lo aprueban dos personas. Se completa con el doble factor en el correo, que pone difícil leer tus conversaciones, y con la verificación del beneficiario de tu banco.
Llega un aviso de cambio de cuenta: por correo, en una factura o por mensaje.
¿Lo has confirmado llamando al número que ya tenías del proveedor?
- Sí
- Sigue al paso 3.
- No
- No cambies nada ni pagues. Llama al número de su ficha, nunca al del correo.
¿Lo confirma el proveedor?
- Sí
- Sigue al paso 4.
- No
- Es un intento de fraude: avisa al proveedor, guarda el correo y revisa tu buzón.
¿Han aprobado el cambio dos personas?
- Sí
- Actualiza la ficha con la fecha y el nombre de quien llamó.
- No
- Espera a la segunda aprobación.
En el primer pago, ¿la verificación del beneficiario da «coincidente»?
- Sí
- Paga y guarda el justificante.
- No
- Para y vuelve al paso 2.
Por escrito
- La regla de la llamada está escrita y la conoce quien paga
- Dice a qué número se llama: el de la ficha del proveedor
- Dice quién es la segunda persona que aprueba
En cada cambio
- Se llama al número de siempre, nunca al del correo
- Se anota quién llamó, a quién y cuándo
- Aprueba una segunda persona antes del primer pago
En el correo
- El doble factor está activado en todos los buzones
- Nadie tiene reglas de reenvío que no haya creado
- Un filtro de correo retiene los mensajes que suplantan dominios
En el equipo
- Administración ha visto un correo de cambio de cuenta de ejemplo
- La dirección ha dicho que nadie se salta la regla, tampoco por ella
El doble factor frena el primer paso: con él, una contraseña robada no basta para entrar en el buzón (cómo activarlo). Para que tu equipo reconozca el correo antes de que llegue uno de verdad sirve un simulacro de correo trampa. En Talvit, el filtro de correos trampa de Microsoft 365 va en la cuota, y la formación y los simulacros se presupuestan aparte; el diagnóstico gratuito de tu dominio te dice si hay dominios parecidos al tuyo en uso y con correo.
¿Ayuda la verificación del beneficiario de tu banco contra el cambio de IBAN?
Sí, si escribes el nombre del proveedor que ya tenías. Desde el 9 de octubre de 2025, tu banco compara ese nombre con el titular del IBAN antes de que autorices y te avisa si no coincide. No bloquea el pago, y en las remesas tu empresa puede haber renunciado a ella.
Es el artículo 5 quater del Reglamento 260/2012, añadido por el Reglamento (UE) 2024/886. Si la cuenta nueva es de otra persona, el banco te lo dirá con un «no coincidente» o un «casi coincidente». Pero el aviso se puede desatender, y si copias el nombre del mismo correo que trae el IBAN comprobarás lo que el estafador quiere. Las cuatro respuestas, qué hacer con cada una y qué pasa en las remesas están en la guía de la verificación del beneficiario.
¿Qué hacer si ya has pagado a una cuenta falsa?
Llama a tu banco en ese momento y pide que intente retener o recuperar la transferencia. Después avisa al proveedor por teléfono, al número de siempre, denuncia con los correos y justificantes, llama al 017 de INCIBE si necesitas orientación y revisa tu correo: contraseñas, sesiones abiertas y reglas de reenvío.
En el momento
Llama a tu banco
Pide que contacte con el banco que recibió el dinero para intentar retenerlo o recuperarlo. El Banco de España pide hacerlo «lo antes posible».
En la primera hora
Llama al proveedor
Al número de su ficha. Confírmale el fraude y avísale: quizá el buzón robado es el suyo.
El mismo día
Denuncia
En la Policía Nacional o la Guardia Civil, con los correos, la factura y el justificante de la transferencia.
El mismo día
Pide ayuda
Al 017 de INCIBE, gratis, de 8:00 a 23:00, y a tu aseguradora si tienes ciberseguro.
Antes de pagar nada más
Revisa tu correo
Cambia contraseñas, cierra sesiones, borra las reglas de reenvío que no creaste y comprueba si alguien ha leído información de clientes.
Guarda todo: el correo con sus cabeceras, la factura modificada, el justificante y el resultado de la verificación del beneficiario si lo tienes. No borres nada del buzón. Si el intruso leyó datos personales de clientes o empleados, puede haber una brecha que notificar en 72 horas (brecha de datos: qué hacer). La Línea de Ayuda en Ciberseguridad de INCIBE, el 017, atiende a ciudadanos, empresas y menores todos los días, de 8:00 a 23:00.
¿Te devuelve el banco una transferencia hecha a una cuenta falsa?
Tu banco no está obligado, porque el IBAN lo diste tú. El artículo 59 del Real Decreto-ley 19/2018 da por bien ejecutada la orden que sigue el IBAN, aunque le obliga a esforzarse razonablemente por recuperar el dinero. Si no te ofreció la verificación del beneficiario y por eso salió mal, te reembolsa.
El texto del artículo 59: cuando una orden se ejecuta de acuerdo con el identificador único, «se considerará correctamente ejecutada». Si el identificador era incorrecto, el banco no responde, pero «se esforzará razonablemente por recuperar los fondos», el banco del beneficiario cooperará y, si no se recuperan, te facilitará por escrito la información que tenga para que reclames por la vía legal. Puede cobrarte esa gestión si tu contrato lo prevé.
El Banco de España añade el motivo: «las transferencias son mandatos de pago irrevocables y las entidades no están facultadas para ordenar la devolución sin el consentimiento del titular que se ha beneficiado». Por eso conviene llamar en el momento: mientras el dinero siga en la cuenta de destino, hay algo que retener.
| Situación | Qué dice la norma | Quién asume el pago |
|---|---|---|
| La verificación dio «coincidente» porque copiaste el nombre del correo falso | Orden bien ejecutada según el IBAN (art. 59) | Tu empresa. El banco intenta recuperarlo |
| El banco avisó de «no coincidente» y autorizaste igual | El banco cumplió y no responde (art. 5 quater.8) | Tu empresa. El banco intenta recuperarlo |
| Remesa en la que tu empresa renunció a la verificación | Sin verificación, por decisión tuya (art. 5 quater.6) | Tu empresa |
| El banco no te ofreció la verificación debida | Incumplimiento del banco (art. 5 quater.8) | Tu banco: reembolsa sin demora |
| Pagaste antes del 9 de octubre de 2025 | Solo el artículo 59 | Tu empresa. El banco intenta recuperarlo |
¿Por qué el correo del cambio de cuenta puede venir del proveedor real?
Un correo de cambio de cuenta puede salir del buzón real del proveedor si alguien ha entrado en él: el remitente es auténtico, la firma también y la conversación sigue donde la dejasteis. Por eso la regla es llamar al número que ya tenías, no fiarse del remitente. SPF y DMARC no lo detectan.
SPF, DKIM y DMARC comprueban que un correo sale de los servidores autorizados del dominio que dice y que nadie lo ha alterado. Un correo enviado desde el buzón robado del proveedor sale de esos servidores y pasa las tres comprobaciones. Protegen contra quien se hace pasar por un dominio desde fuera (qué hace cada registro), no contra quien ya está dentro.
Si el buzón robado es el tuyo, el problema es doble: tus clientes pueden recibir de ti una factura con un IBAN falso. Una señal es una regla de reenvío que no creaste. Si un cliente te pregunta por un cambio de cuenta que no has pedido, trátalo como un incidente: recupera la cuenta de correo y avisa a quien te paga.
¿Pasa también el fraude del cambio de cuenta con las nóminas?
Sí. Un «empleado» escribe a administración o a la gestoría para cambiar la cuenta de su nómina. Se para con el mismo procedimiento: el cambio se confirma cara a cara o en el teléfono de siempre del empleado, y lo aprueba alguien más antes de la siguiente nómina.
La nómina es el mismo fraude con otro remitente: quien pide el cambio dice ser un empleado y lo que se desvía es su sueldo. Si la gestoría lleva las nóminas, que el procedimiento también sea suyo: ningún cambio de cuenta por correo sin confirmarlo con la empresa. Y si la remesa de nóminas pasa por la verificación del beneficiario, el banco avisará si el titular de la cuenta nueva no se llama como el empleado. Más fraudes que llegan por correo, en correo y fraude.
Lo que esta guía no cubre
- La orden urgente de un falso directivo: está en la guía del fraude del CEO.
- Cómo recuperar el control de un buzón robado, paso a paso: tiene su propia guía.
- Asesoramiento jurídico sobre un pago concreto.
Preguntas frecuentes
¿Me lo cubre el banco?
En general no, porque la transferencia la ordenaste tú al IBAN que diste: el artículo 59 del Real Decreto-ley 19/2018 la da por bien ejecutada. Tu banco sí tiene que intentar recuperarla, y te reembolsa si no te ofreció la verificación del beneficiario y el pago salió mal por eso.
¿Y si el correo viene del dominio real del proveedor?
Puede pasar si han entrado en su buzón. Por eso la regla es llamar al número que ya tenías, no fiarse del remitente.
¿Sirve pedir al proveedor un certificado de titularidad de la cuenta?
Ayuda, pero un documento también se falsifica y puede llegar por el mismo correo. Lo que confirma un cambio es la llamada al número que ya tenías; el certificado se pide en esa llamada o por un canal que ya conocías.
¿Hay que denunciar aunque no se recupere el dinero?
Sí. Con los correos, la factura y el justificante de la transferencia, la denuncia es lo que permite investigar a dónde fue el dinero. Si dudas de cómo hacerla, el 017 de INCIBE te orienta gratis.
Fuentes
- Banco de España, Portal del Cliente Bancario, «Cómo protegerte de la estafa del pago de las facturas» (5 de julio de 2022), consultado el
- BOE, Real Decreto-ley 19/2018, de servicios de pago, artículo 59, consultado el
- Reglamento (UE) 2024/886, que añade el artículo 5 quater al Reglamento (UE) 260/2012, consultado el
- Banco de España, Portal del Cliente Bancario, «Nuevo servicio gratuito de verificación del beneficiario a partir del 9 de octubre de 2025» (7 de octubre de 2025), consultado el
- INCIBE, Tu Ayuda en Ciberseguridad, 017, consultado el
- INCIBE, «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025» (9 de febrero de 2026), consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: qué responde el banco según el artículo 59 del Real Decreto-ley 19/2018, la verificación del beneficiario, las primeras horas tras pagar y el procedimiento de cambio de cuenta.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
