Guía · 5 min de lectura

Fraude del falso jefe y de la factura con el IBAN cambiado: cómo evitarlo y qué hacer

Un correo que parece de tu jefe pidiendo una transferencia urgente, o un proveedor que «ha cambiado de cuenta». Son dos de los fraudes que más dinero cuestan a las pymes, y no hace falta hackear nada para hacerlos. Aquí tienes cómo frenarlos y qué hacer si ya has pagado.

Por Hugo Arribas Muñoz · Actualizado el 15 de octubre de 2026

Cómo funcionan estos fraudes

El falso jefe (fraude del CEO). Alguien se hace pasar por quien manda y escribe a una persona de administración: «necesito una transferencia urgente y es confidencial».
La factura con el IBAN cambiado. Un correo, a veces desde la cuenta real de un proveedor que ha sido hackeada, avisa de que la cuenta bancaria ha cambiado. Pagas a la nueva y el dinero se va a otro sitio.

No hace falta hackear tu empresa. Basta con saber quién manda y a quién se paga, y eso suele estar en tu web, en LinkedIn o en una factura anterior. Es un tipo de phishing dirigido a una persona concreta.

Seis señales de alarma

Urgencia y secreto: «hazlo ya», «no se lo digas a nadie», «luego te lo explico».
Un cambio de cuenta bancaria sin motivo, sobre todo si es de otro banco o de otro país.
Saltarse el procedimiento de siempre: pagar sin factura, sin pedido o sin aprobación.
El remitente no cuadra: un dominio casi igual al real, o una dirección de respuesta distinta de la que aparece. Si contestas, la respuesta no va a quien crees.
No puede ponerse al teléfono: «estoy en una reunión», «no tengo cobertura», «escríbeme solo por aquí».
Piden algo raro: tarjetas regalo, criptomonedas o una cuenta que nadie conoce.

Cuatro normas que frenan casi todos estos fraudes

Todo cambio de IBAN se confirma por teléfono, llamando a un número que ya tenías, nunca al que viene en el correo.
Dos personas para los pagos altos o para las cuentas nuevas: quien prepara el pago y quien lo aprueba.
Un tiempo de espera para cuentas nuevas (por ejemplo, un día) antes del primer pago.
Nadie queda mal por verificar. Lo ideal es que quien manda lo diga por escrito: «si te pido algo urgente, tienes que confirmarlo conmigo en persona o por teléfono».

Mensaje para tu equipo de administración

Asunto: Norma para pagos y cambios de cuenta

Hola a todos:

Están circulando fraudes en los que alguien se hace pasar por la dirección o por un proveedor para pedir transferencias urgentes. A partir de hoy:

- Cualquier cambio de IBAN se confirma por teléfono, llamando a un número que ya tengamos, no al del correo.
- Los pagos superiores a [importe] los aprueban dos personas.
- Si te pido algo con urgencia o en secreto, verifica conmigo en persona o por teléfono. Nunca será un problema que lo hagas.

Gracias.
[Tu nombre]

Medidas técnicas que ayudan

Doble factor (2FA) en el correo de todo el equipo, sobre todo de administración y dirección.
SPF, DKIM y DMARC en tu dominio. Impiden que cualquiera mande correos haciéndose pasar por ti ante tus clientes y proveedores.
Un aviso en los correos que vienen de fuera, para que cueste más confundir un correo externo con uno interno.
Revisa las reglas de reenvío y de borrado del correo. Los atacantes las usan para espiar y esconder avisos.
Piensa qué publicas. Un organigrama con nombres y cargos facilita al estafador saber a quién escribir.

Preguntas frecuentes

¿Qué es el fraude del CEO?

Es una estafa en la que alguien se hace pasar por quien dirige la empresa, normalmente por correo o mensaje, y pide a una persona de administración que haga una transferencia urgente y confidencial.

¿Puedo recuperar el dinero si ya he pagado?

A veces, si actúas en las primeras horas y el dinero aún no ha salido de la cuenta de destino. No se puede garantizar: depende del banco y de la rapidez. Llama a tu banco de inmediato y denuncia.

¿Cómo sé si el aviso de un proveedor sobre su nuevo IBAN es real?

Llama al proveedor a un teléfono que ya tuvieras, no al que aparece en el correo. Hazlo siempre, aunque el correo parezca venir de su dirección habitual: la cuenta de un proveedor puede haber sido hackeada.

¿Es lo mismo que el phishing?

Es un tipo de phishing dirigido a una persona concreta con un fin concreto: que haga un pago. Muchas veces no incluye enlaces ni adjuntos, solo un mensaje convincente.

¿Me devolverá el dinero mi banco?

Depende de las condiciones y de cómo se hizo la operación. Si la transferencia la autorizó alguien de tu empresa, suele ser más difícil. Habla con tu banco cuanto antes y, si hace falta, consulta con un abogado.

Sigue leyendo

Fuentes y más información

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.