Fraude del cambio de cuenta bancaria: cómo funciona y cómo evitarlo
El fraude por correo electrónico comprometido afecta a las empresas que hacen transferencias: el ciberdelincuente se hace pasar por un proveedor, intercepta sus facturas y cambia el número de cuenta para que el pago llegue a una cuenta que él controla. No es un fallo del banco, sino del correo. INCIBE lo describe con detalle y propone medidas sencillas para evitarlo.
Cómo se produce
- Tu cuenta de correo comprometida: el atacante crea reglas que reenvían a una dirección externa los mensajes del proveedor y los oculta en una carpeta poco visible. También puede usar un dominio casi idéntico al del proveedor.
- La cuenta del proveedor comprometida: el atacante intercepta las facturas que ese proveedor envía y las modifica, mientras los correos siguen saliendo desde la cuenta legítima.
- Paciencia: pueden pasar semanas observando el correo y actúan cuando esperan una factura de importe alto o cuando el responsable está de vacaciones.
Cómo consiguen el acceso
Lo habitual es obtener las credenciales mediante contraseñas débiles o reutilizadas, filtraciones, phishing, malware, software desactualizado o redes wifi inseguras.
Cómo evitarlo
- Confirma los datos bancarios por otro canal, por ejemplo con una llamada a un teléfono que ya tenías, nunca al que viene en el correo.
- Contraseñas únicas y doble factor en todas las cuentas de correo.
- No uses el correo corporativo para registrarte en webs ajenas a la empresa ni compartas cuentas.
- Revisa periódicamente las reglas y filtros del correo en busca de reenvíos que no hayas creado.
- Mantén actualizado el software y el antimalware, y desactiva las macros de Office.
- Cuidado con enlaces y adjuntos inesperados: analízalos antes de abrir.
- Configura SPF, DKIM y DMARC en tu dominio para dificultar que lo suplanten.
Qué hacer si ya has transferido el dinero
- 1. Contacta con tu banco de inmediato para intentar revertir la transferencia.
- 2. Reporta el incidente a INCIBE-CERT, adjuntando el correo original con sus cabeceras.
- 3. Denúncialo ante las Fuerzas y Cuerpos de Seguridad del Estado.
- 4. Guarda las evidencias; después elimina las reglas maliciosas, cambia la contraseña y activa el doble factor.
- 5. Si han podido acceder a datos personales, notifica la brecha a la autoridad de protección de datos en 72 horas, según el RGPD.
- 6. Si hace falta, contrata un análisis forense.
Un procedimiento interno que lo frena
La medida más eficaz es organizativa: define que ningún cambio de cuenta bancaria se aplica sin verificación telefónica y que los pagos de importe elevado los aprueban dos personas. Un procedimiento escrito y conocido por administración y dirección evita decisiones con prisa.
¿Quieres comparar partners para tu proyecto?
Cuéntanos qué necesitas y te presentamos hasta tres especialistas con experiencia real en proyectos como el tuyo. Primera respuesta humana en menos de 24 h y sin coste para tu empresa.
Preguntas frecuentes
¿Es lo mismo que el fraude del CEO?
Son parientes: en ambos se suplanta a alguien de confianza para conseguir un pago. En el fraude por correo comprometido el atacante se interpone en conversaciones y facturas reales; en el del falso directivo, simula una orden urgente de la dirección.
¿Se puede recuperar el dinero?
A veces, si se actúa en las primeras horas y el banco logra frenar la transferencia. Por eso lo primero es llamar al banco.
¿Dónde puedo pedir ayuda?
La línea gratuita 017 de INCIBE orienta a empresas, y existe un servicio para reportar incidentes. Para reforzar tu seguridad, mira la guía de ciberseguridad para empresas.
Fuentes y recursos oficiales
Este artículo está redactado con palabras propias a partir de la información pública de INCIBE (Instituto Nacional de Ciberseguridad). Consulta siempre la versión vigente en su web: