Un proveedor comunica que ha cambiado de cuenta bancaria. El gerente solicita una transferencia urgente. Llega un aviso de Hacienda que pide acceder a una notificación. Son situaciones habituales en una empresa, pero también pueden ser la puerta de entrada de una estafa.
El balance del servicio 017 correspondiente al primer semestre de 2026 sitúa las suplantaciones por teléfono, SMS y correo electrónico en el 30,6 % de las consultas de empresas. El fraude del CEO representa otro 9,8 %. Son porcentajes de consultas atendidas, no de empresas estafadas, pero muestran la importancia de reconocer estos engaños.
1. El proveedor que cambia de cuenta bancaria
El mensaje parece proceder de un proveedor habitual e incluye una factura pendiente. La única novedad es un IBAN distinto, acompañado de una explicación convincente.
El delincuente puede utilizar una dirección muy parecida a la auténtica o una cuenta de correo comprometida. Por eso, una factura con el importe correcto y una conversación conocida no bastan para confirmar que el pago es seguro.
Cómo prevenirlo: verifica cualquier cambio de cuenta llamando al contacto habitual mediante un número que ya tengas registrado. No utilices el teléfono incluido en el propio mensaje sospechoso. Un certificado bancario adjunto tampoco sustituye esa comprobación: puede estar falsificado.
2. El falso jefe que necesita un pago urgente
En el llamado fraude del CEO, alguien suplanta al responsable de la empresa y pide una transferencia excepcional. Suele añadir urgencia, confidencialidad o una excusa para evitar comprobaciones.
La presión puede ser especialmente eficaz cuando el empleado quiere resolver rápidamente una petición de dirección.
Cómo prevenirlo: confirma la orden por un canal independiente y establece una segunda autorización para pagos excepcionales. Las instrucciones de un directivo también deben seguir el procedimiento de comprobación.
3. La solicitud falsa de cambio de cuenta de una nómina
INCIBE ha advertido en 2026 de otro engaño: un supuesto trabajador escribe a administración o recursos humanos para modificar la cuenta en la que recibe su salario.
El mensaje puede incluir su nombre real y otros datos que lo hagan creíble. Si el cambio se tramita sin comprobarlo, la nómina puede acabar en una cuenta del estafador.
Cómo prevenirlo: confirma la solicitud directamente con el trabajador a través de sus datos de contacto habituales o de un canal interno autenticado. Deja constancia de la verificación antes de modificar el IBAN.
4. Las falsas notificaciones de Hacienda
La Agencia Tributaria ha documentado en 2026 campañas que simulan notificaciones de factura electrónica, devoluciones o regularizaciones tributarias. Algunas buscan robar la contraseña del correo; otras solicitan datos personales o incluso pagos en criptomonedas.
Cómo prevenirlo: entra directamente en la sede electrónica oficial para comprobar si existe una comunicación pendiente, sin utilizar el enlace del mensaje. La AEAT advierte de que no solicita información confidencial por correo o SMS ni pide pagos mediante criptomonedas.
Medidas sencillas que conviene aplicar desde hoy
- Verificar por otra vía todos los cambios de cuenta bancaria.
- Exigir una segunda revisión para transferencias excepcionales.
- Activar la autenticación multifactor en el correo y otros servicios que la permitan.
- No compartir contraseñas ni códigos de autorización.
- Mantener actualizados los equipos y programas.
- Enseñar estos ejemplos al personal que gestiona pagos, nóminas y facturas.
La revisión del remitente ayuda, pero no garantiza la autenticidad. Un mensaje bien escrito, con un logotipo real o enviado desde una cuenta conocida también puede formar parte de un fraude.
Qué hacer si ya has pagado o facilitado datos
Contacta inmediatamente con el banco si has realizado una transferencia y solicita que intente detenerla o recuperar los fondos. La rapidez puede ayudar, aunque la recuperación no está garantizada.
Conserva los correos originales, justificantes, mensajes y datos de la operación para presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad.
Si has revelado una contraseña, cámbiala desde un dispositivo fiable y avisa al responsable informático para revisar los accesos y cerrar sesiones sospechosas. Advierte también a los contactos afectados si pueden recibir mensajes fraudulentos desde tu cuenta.
Puedes solicitar orientación al 017 de INCIBE, un servicio gratuito y confidencial que atiende también a empresas y profesionales.
Antes de pagar o cambiar una cuenta bancaria, detenerse y comprobar la petición debe formar parte del trabajo habitual.
