Fraude BEC: US$3.046M al año y cómo blindar tu pyme

Una factura con el logo de siempre y un IBAN que no es el suyo

24.768 denuncias y US$3.046 millones en pérdidas. Ese es el saldo que el informe anual del IC3 del FBI correspondiente a 2025 atribuye al fraude de compromiso de correo corporativo (BEC, por Business Email Compromise), la segunda modalidad que más pérdidas causa en Estados Unidos, solo por detrás del fraude de inversión. Para una pyme hispanohablante el dato importa por una razón concreta: este fraude no ataca un servidor, ataca el proceso con el que pagas facturas.

INCIBE abre su guía para empresas con el ejemplo exacto. Una pyme recibe la factura que esperaba de su proveedor habitual, con el logo de siempre y el importe pactado. Paga. Días después, el proveedor reclama el dinero: el número de cuenta del correo no era el suyo. El delincuente se había hecho pasar por él para desviar la transferencia a una cuenta que controla.

¿En qué consiste el fraude del cambio de cuenta bancaria?

El Portal del Cliente Bancario del Banco de España lo describe sin rodeos: al intercambiar facturas por correo, los delincuentes suplantan al proveedor y modifican el número de cuenta. Para saber qué facturas hay en juego y a quién escribir, antes han tenido que entrar en el correo de la víctima.

INCIBE detalla las dos vías habituales:

• Un dominio casi idéntico. La factura llega desde una dirección que cambia una letra respecto a la real; en el ejemplo del instituto, «proovedor» en lugar de «proveedor».
• Un buzón comprometido. El atacante crea reglas ocultas que reenvían las facturas a su cuenta o las mueven a carpetas que nadie revisa. El correo falso sale entonces de la dirección legítima y no hay errata que delate nada.

Lo más incómodo es la paciencia. Según INCIBE, los delincuentes pasan varias semanas dentro del correo estudiando las operaciones y esperan el momento oportuno: una factura alta, un cliente nuevo o el responsable de vacaciones.

El fraude del falso CEO: cuando la urgencia sustituye a la factura

Aquí no se suplanta a un proveedor sino a alguien de dentro, normalmente un directivo, para que un empleado haga un pago urgente fuera de los cauces habituales. La urgencia y la autoridad hacen el trabajo que haría una factura falsa.

INCIBE recogió en su línea de ayuda un caso que muestra hasta dónde llega la presión. Un empleado de una tienda recibió en el teléfono fijo una llamada de una supuesta Agencia Tributaria que reclamaba un pago inmediato de su jefa para evitar una multa. Casi a la vez le llamaron al móvil haciéndose pasar por un empleado de Correos para darle instrucciones. Con dos llamadas simultáneas y creyendo oír la voz de su jefa, se dirigió a pagar. Se cruzó con ella por el camino y ahí se deshizo el engaño.

La lección que extrae INCIBE sirve para cualquier variante: ante la duda, cuelga y llama tú directamente a la persona por la vía que ya conoces. La mecánica se replica en otros circuitos. Diario de León recogió el caso de una consultoría cuyo departamento de Recursos Humanos recibió un correo convincente pidiendo cambiar la cuenta donde se domiciliaba la nómina de un empleado; el pago se hizo y el trabajador avisó al no cobrar. INCIBE recomendó entonces recopilar pruebas, denunciar el fraude y la suplantación, y reclamar al banco, con la vía del Banco de España como siguiente paso si la respuesta no era satisfactoria.

¿Cuánto dinero se mueve con este fraude?

El informe del IC3 correspondiente a 2025 cifra el BEC en 24.768 denuncias y US$3.046 millones de pérdidas (unos 2.719 millones de euros). En 2024 fueron 21.442 denuncias y US$2.770 millones. Son datos estadounidenses y no se pueden trasladar tal cual a España, pero el patrón que describen INCIBE y el Banco de España es el mismo.

Un análisis de los registros del IC3 elaborado por Opstream y publicado por SF Weekly pone el peso del BEC en perspectiva: en 2025 concentró casi nueve de cada diez dólares perdidos por ciberdelitos contra empresas estadounidenses cuando se compara con brechas de datos, ransomware y robo de propiedad intelectual, y las víctimas empresariales reportadas subieron un 18% hasta 34.728, con pérdidas totales de unos US$3.540 millones.

En España no existe una estadística pública equivalente por modalidad, pero sí señales. El Mundo recogió el informe de BioCatch sobre confianza digital: algo más de la mitad de las entidades españolas encuestadas reconoce pérdidas anuales superiores a 23 millones de euros por fraude digital, y el 53% afirma que sus clientes pierden también más de esa cifra al año en estafas autorizadas, aquellas en las que la víctima valida la operación tras ser manipulada. El mismo informe señala que seis de cada diez entidades no identifican a tiempo las «cuentas mula», el doble que la media global.

Y hay un dato del Banco de España que conviene grabarse: las transferencias son mandatos de pago irrevocables. Tu banco no puede devolverte el dinero sin el consentimiento de quien lo ha recibido; lo que se le exige es hacer esfuerzos razonables para recuperarlo contactando con el banco de destino. Por eso cada hora cuenta.

Qué cambia la verificación obligatoria del beneficiario

Desde el 9 de octubre de 2025, los bancos de la zona euro tienen que comprobar, antes de que autorices una transferencia, si el nombre del beneficiario que escribes coincide con el titular del IBAN. Lo exige el artículo 5 quater que el Reglamento (UE) 2024/886 de transferencias inmediatas añadió al reglamento de pagos en euros, el (UE) 260/2012.

Si el nombre no coincide, el banco debe avisarte de que la transferencia podría ir a una cuenta cuyo titular no es quien crees. Si la coincidencia es casi exacta, te mostrará el nombre real asociado a la cuenta. Para empresas, el reglamento permite verificar también con otros identificadores, como el número fiscal, cuando el banco lo ofrezca.

Contra el cambio de IBAN es una barrera real: si el estafador cobra en una cuenta a nombre de otra persona o sociedad, el aviso salta. Pero tiene dos letras pequeñas:

• Las empresas y autónomos pueden renunciar a la verificación cuando envían pagos agrupados, las típicas remesas de proveedores. Justo el circuito donde se cuela una factura manipulada.
• Si el banco cumplió y tú autorizaste pese al aviso, el reglamento le exime de responsabilidad por un identificador incorrecto. Ignorar la alerta te deja en peor posición para reclamar.

La norma traslada parte del peso al usuario: el banco te avisa y lo que hagas con el aviso es cosa tuya.

El protocolo de verificación que cabe en una hoja

Ninguna de estas medidas exige comprar nada:

• Ningún cambio de cuenta se acepta por correo. Se confirma llamando al proveedor a un teléfono que ya tengas en tu ficha, nunca al que aparece en el mensaje que pide el cambio.
• Doble firma para pagos nuevos o modificados. Quien prepara la transferencia no es quien la aprueba cuando cambia un IBAN o el importe supera el umbral que fijes.
• No desactives la verificación del beneficiario en las remesas, y trata cualquier aviso de «no coincide» como una alarma, no como un trámite.
• Urgencia y secreto son señales de fraude. Ningún pago legítimo exige saltarse el procedimiento porque el jefe «está en una reunión» o Hacienda «cierra hoy».
• Protege el correo. Contraseñas robustas, doble factor y ninguna clave personal reutilizada en cuentas corporativas, porque los atacantes prueban credenciales filtradas. Vale la pena comprobar si tus direcciones aparecen en filtraciones conocidas, como las que indexa Have I Been Pwned.
• Revisa periódicamente las reglas y filtros del buzón en Outlook o Gmail. Una regla de reenvío que nadie creó es la huella clásica de este fraude.

¿Qué significa esto para tu startup?

Este fraude no se gana con tecnología sino con procedimiento. Las pymes suelen pagar con una sola persona, un solo correo y mucha confianza, que es exactamente lo que el estafador necesita. Tres movimientos concretos que puedes ejecutar esta semana:

1. Mapea quién puede autorizar un pago y con qué controles. Si una sola persona puede cambiar un IBAN y aprobar la transferencia, ya tienes el agujero. Define un umbral a partir del cual haga falta una segunda firma, e incluye en ese umbral cualquier cambio de datos bancarios, por pequeño que sea.
2. Documenta el canal de verificación de cada proveedor. Guarda en tu ficha un teléfono validado en un contrato o en una factura antigua, no en el último correo recibido. Cuando llegue una solicitud de cambio de cuenta, ese es el número que se marca.
3. Audita las reglas de tu buzón y activa el doble factor hoy. Es una revisión de diez minutos y elimina la vía de entrada más silenciosa: el buzón comprometido, donde el correo falso sale de la dirección legítima.

Qué hacer si ya pagaste

El orden que marcan INCIBE y el Banco de España no admite improvisación:

• Llama a tu banco de inmediato para que inicie la recuperación contactando con la entidad de destino.
• Conserva el correo con sus cabeceras originales y envíalo a INCIBE-CERT.
• Denuncia ante la Policía Nacional o la Guardia Civil.
• Si los atacantes tuvieron acceso a datos personales de clientes, puede tratarse de una brecha que hay que notificar a la AEPD en un plazo de 72 horas.

Conclusión

La verificación del beneficiario ayuda, pero solo si nadie la apaga para ir más rápido. El control más barato que existe sigue siendo una llamada de dos minutos al número de siempre: cuesta menos que cualquier herramienta de seguridad y bloquea la variante que más dinero mueve. Si tu empresa paga facturas por transferencia y ese procedimiento vive solo en la cabeza de una persona, hoy es un buen día para escribirlo.

Fuentes

• wwwhatsnew.com (fuente original)
• El Mundo
• Diario de León
• SF Weekly

Artículos relacionados:

Fraude fintech 2026: 4 presiones críticas que debes conocer Banco Inter frena GenAI en fraude: lección para fintechs 2026 Bre-B y fraude en comercios: 5 riesgos que debes anticipar GatekeeperX: IA antifraude en 100ms para fintechs Compras online seguras 2026: $131.000M en fraude y cómo proteger tu ecommerce