Fraude de facturas por correo: detectar un IBAN falso

El fraude de facturas por correo es una estafa en la que alguien suplanta a un proveedor o cambia los datos de pago para desviar una transferencia legítima a una cuenta fraudulenta. En esta guía verás por qué funciona, qué señales observar y cómo establecer un proceso seguro antes de abrir un adjunto o autorizar un pago.

Por qué funciona aunque el correo parezca familiar

Este fraude suele aprovechar una relación comercial real. No hace falta inventar un proveedor desde cero. Basta con hacerse pasar por una empresa conocida, entrar en una conversación existente o enviar una factura que encaja con un pedido pendiente.

El mensaje puede incluir el nombre habitual del proveedor, el logotipo correcto y una firma parecida a la de otros correos. También puede aparecer dentro de un hilo real, si una cuenta ha sido comprometida. Por eso, reconocer el remitente no es suficiente.

El documento adjunto tampoco demuestra que la petición sea legítima. Una factura con el nombre, la dirección y el número de pedido correctos puede contener un IBAN manipulado. El archivo y el correo deben formar parte de la revisión, no ser la única prueba.

El momento elegido también influye. Un cambio de cuenta al final de mes, una compra urgente o una ausencia del responsable habitual pueden hacer que se pague sin comprobar. La presión no confirma que exista un problema, pero sí es una razón para detenerse.

La idea central es sencilla: no verifiques el pago dentro del mismo canal que te lo solicita. Si el correo dice que el proveedor ha cambiado de banco, llama a un número que ya tengas guardado o que aparezca en un contrato fiable. No uses el teléfono incluido en el mensaje sospechoso.

Señales de una factura falsa o de un IBAN cambiado

Ninguna señal aislada prueba una estafa. Varias juntas sí justifican una pausa y una comprobación independiente.

Cambios inesperados en los datos bancarios

Presta atención si la factura indica:

• Un IBAN distinto al de facturas anteriores.
• Una cuenta abierta en otro país sin explicación comercial clara.
• Un nuevo beneficiario en la banca electrónica.
• Un nombre del titular que no coincide con el proveedor.
• Una petición de pagar a una persona, intermediario o empresa diferente.
• Un cambio de banco comunicado solo por correo.

El IBAN permite identificar una cuenta, pero no convierte por sí solo el pago en seguro. Comprueba también el nombre del beneficiario que muestra tu banco y compáralo con los datos contractuales.

Un dominio o una dirección casi iguales

Un atacante puede usar una dirección muy parecida a la real. Por ejemplo, facturacion@materialesrios.es podría sustituirse por facturacion@materiales-ríos.es, con una variación difícil de ver, o por un dominio parecido.

Mira la dirección completa, no solo el nombre visible. Revisa también el campo “Responder a” si tu cliente de correo lo muestra. Una cuenta conocida puede haber sido tomada por otra persona, así que una dirección correcta tampoco elimina la necesidad de confirmar un cambio bancario.

Un tono que rompe las costumbres del proveedor

Hay señales de contexto que merecen revisión:

• “Paga hoy” o “evita el recargo” sin una razón habitual.
• Petición de mantener el cambio en secreto.
• Solicitud de saltarse el procedimiento interno.
• Mensaje escrito con expresiones o errores poco habituales.
• Factura que no coincide con un pedido, contrato o entrega.
• Varias modificaciones seguidas en el mismo correo.

El lenguaje profesional no garantiza autenticidad. Del mismo modo, un error ortográfico no demuestra que el mensaje sea falso. Lo importante es si la petición encaja con la relación comercial y con el proceso acordado.

Un adjunto que pide habilitar contenido

Desconfía de documentos que solicitan activar macros, contenido externo o permisos que no son necesarios para leer una factura. También conviene evitar la vista previa si el archivo resulta inesperado.

Si el adjunto es necesario, guárdalo sin abrir y pásalo por el sistema de seguridad de tu empresa. Mailamber, por ejemplo, incluye una comprobación del adjunto con análisis antivirus antes de abrirlo; puedes consultar cómo funciona en la guía de adjuntos seguros y antivirus integrado. Esta protección ayuda a revisar el archivo, pero no confirma que el IBAN sea correcto.

Un proceso seguro antes de abrir o pagar

El objetivo no es aprender a detectar todos los engaños a simple vista. Es tener una secuencia que funcione incluso cuando el correo parece normal.

1. 1Pausa y no respondas ni abras el adjunto por impulso.
2. 2Revisa el remitente, el hilo, la petición y el documento.
3. 3Contacta con el proveedor por un canal independiente y conocido.
4. 4Compara el IBAN con facturas y registros de confianza.
5. 5Reporta la incidencia o paga solo tras confirmar los datos.

1. Pausa la acción

No respondas al mensaje para pedir confirmación. Si la cuenta del proveedor está comprometida, la misma persona podría contestarte. Tampoco reenvíes el correo a un contacto que figure dentro de él sin advertirle por otro medio.

Anota qué se solicita: una primera factura, un cambio de IBAN, un pago urgente o una nueva versión del documento. Separar los hechos de la presión del mensaje ayuda a revisar con más calma.

2. Inspecciona el mensaje completo

Comprueba la dirección completa del remitente y cualquier dirección de respuesta diferente. Revisa el hilo desde el principio: ¿aparece realmente la conversación anterior o solo se ha imitado su formato?

Compara la factura con documentos que ya tengas guardados. Fíjate en la razón social, el NIF, la dirección, el número de factura, el pedido, el importe y el IBAN. Una coincidencia parcial no basta si el dato bancario ha cambiado.

También puedes pedir al equipo técnico que revise los encabezados del mensaje. Los controles de autenticación del correo pueden aportar contexto, pero no sustituyen la confirmación del proveedor. Un correo técnicamente bien entregado también puede proceder de una cuenta legítima comprometida.

3. Verifica por un canal independiente

Llama al proveedor con un teléfono de una factura anterior, del contrato, de su web oficial o de la libreta de contactos de la empresa. Explica que quieres confirmar una factura y un cambio de cuenta.

Pide que te confirmen, como mínimo:

• El número y el importe de la factura.
• El motivo del cambio de IBAN.
• El nombre exacto del titular de la cuenta.
• Los últimos datos bancarios acordados.
• El canal correcto para recibir futuras facturas.

No necesitas compartir más información de la necesaria. Si la persona que responde no conoce la operación, solicita hablar con administración o con tu contacto habitual.

4. Compara el IBAN con registros fiables

Busca la última factura pagada correctamente, el contrato, el pedido o el registro aprobado de proveedores. No copies el IBAN desde el correo sospechoso y no te limites a comparar los últimos cuatro caracteres.

Comprueba el IBAN completo y el nombre del beneficiario. Si el cambio es legítimo, actualiza el registro solo después de aplicar el procedimiento interno. Es recomendable que una segunda persona revise los cambios de datos bancarios antes de que se utilicen en un pago.

5. Decide, registra y comunica

Si todo coincide, sigue el procedimiento normal. Conserva la confirmación y la evidencia de la llamada o del canal utilizado, según las normas de tu empresa.

Si hay dudas, no pagues todavía. Informa al responsable, al proveedor real y a la entidad bancaria si ya se ha iniciado una transferencia. Guarda el correo original y el adjunto sin modificarlo. El equipo técnico puede necesitar los encabezados y los archivos para analizar el incidente.

Para mantener este proceso visible, puedes crear una carpeta de revisión y una regla interna: ningún cambio de IBAN se aprueba solo por correo. También ayuda organizar el correo electrónico con dos carpetas, por ejemplo, una para “Pendiente de verificar” y otra para “Pagado y confirmado”.