El correo parece normal: el logotipo del proveedor, la firma de tu contacto habitual, una factura por el importe de siempre. Solo cambia una frase: «Hemos cambiado de banco; a partir de ahora, paga en esta cuenta». La transferencia sale y el dinero acaba en la cuenta de un delincuente.
Es el fraude del falso proveedor, o del cambio de cuenta bancaria. Afecta a departamentos de administración y compras de empresas de cualquier tamaño, porque se apoya en una tarea rutinaria: pagar facturas. Esta guía explica cómo funciona, los controles que lo frenan y qué hacer si la transferencia ya ha salido.
Los consejos citados vienen del Instituto Nacional de Ciberseguridad (INCIBE), consultado el 13 de octubre de 2026.
Lo que vas a aprender
- Cómo funciona el fraude del falso proveedor
- Las señales que deben ponerte en alerta
- Los controles que conviene implantar, del alta del proveedor al pago
- Qué hacer en las primeras horas si te ha pasado
- Qué aporta una comprobación en el registro, y qué no
¿Cómo funciona el fraude del falso proveedor?
Según INCIBE, en este fraude «el ciberdelincuente suplanta a un proveedor de la empresa y solicita cambiar el número de cuenta». Suele usar correos muy parecidos a los del proveedor real, con dominios que imitan el auténtico.
Uno de los casos reales que publica INCIBE lo resume bien: un delincuente consiguió entrar en la cuenta de correo de un empresario, creó una regla para desviar las facturas de su proveedor y le envió, desde una dirección casi idéntica a la real, una factura con otro número de cuenta. La factura se pagó.
El esquema típico:
- El delincuente accede a un buzón de correo, el tuyo o el del proveedor, y lee las conversaciones.
- Identifica una factura próxima, la persona de contacto y el tono habitual.
- Envía una factura modificada, o un aviso de «cambio de cuenta», desde la dirección real o una casi idéntica.
- Añade una excusa creíble (cambio de banco, auditoría, cuenta bloqueada) y a menudo prisa.
Hay una variante sin intrusión: crear desde cero un proveedor falso, con un nombre parecido al de una empresa real, y conseguir que lo den de alta. Ahí es donde una comprobación en el registro, en el momento del alta, ayuda.
Las señales de alerta
- Un cambio de IBAN comunicado por correo, sobre todo con urgencia.
- Una dirección de remitente casi idéntica a la buena: una letra cambiada, un guion de más, otro dominio.
- Una cuenta en otro país distinto del del proveedor, sin explicación.
- Prisa o secretismo: «hay que pagarlo hoy», «no lo comentes».
- Un proveedor que no aparece en tus registros, o cuyos datos no coinciden con los del registro oficial (denominación, domicilio).
Los controles que lo frenan
1. Llamar a un número que ya conoces
Es la medida clave. INCIBE recomienda verificar por teléfono con el proveedor la legitimidad de la factura y aplicar protocolos de doble comprobación para los cambios de cuenta. Usa el número que ya tienes en tus sistemas o en el contrato, nunca el del mensaje que anuncia el cambio.
2. Un procedimiento escrito y sin excepciones
- ningún cambio de datos bancarios sin llamada de comprobación y sin una segunda aprobación;
- una persona registra el cambio y otra lo valida;
- un registro de cada comprobación: quién llamó, a qué número y cuándo.
3. Comprobar al proveedor en el alta
Antes de dar de alta a un proveedor en tu ERP, comprueba que existe en las fuentes oficiales: que la denominación social coincide con la de la factura, que su domicilio es coherente y que no tiene actos recientes que cambien la situación (disolución, situación concursal, cambio de denominación). Consulta cómo comprobar una empresa española antes de firmar.
Si el proveedor hace operaciones intracomunitarias, comprueba también su NIF-IVA en VIES; para el formato del NIF, consulta cómo comprobar el NIF de una empresa española.
4. Volver a comprobar cuando algo cambia
Un cambio de cuenta, de domicilio o de denominación es el momento de repetir la comprobación. Si la sociedad se ha disuelto, ha entrado en concurso o ha cambiado de manos, una «nueva cuenta» puede tener explicación… o ser un fraude. Consulta cómo saber si una empresa está en concurso de acreedores.
5. Proteger el correo
Como el fraude empieza a menudo con una intrusión, INCIBE insiste en lo básico: contraseñas robustas y distintas, doble factor de autenticación activado y formación del personal de administración y compras.
¿Qué hacer si la transferencia ya ha salido?
A partir de los consejos de INCIBE, actúa enseguida:
- Llama a tu banco para intentar retener o recuperar la transferencia. Cada hora cuenta.
- Bloquea la cuenta fraudulenta en tus sistemas y revisa los pagos hechos, pendientes o programados hacia ella.
- Avisa al proveedor real para que proteja su correo.
- Guarda las pruebas: correos con sus cabeceras, facturas, órdenes de transferencia.
- Cambia las contraseñas y activa el doble factor si el correo está comprometido.
- Denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica competente. Para orientarte, la Línea de Ayuda en Ciberseguridad de INCIBE atiende en el 017.
Qué aporta una comprobación en el registro, y qué no
Aclaremos: ningún registro mercantil dice a quién pertenece un IBAN. La llamada de comprobación es imprescindible. Pero el registro responde a tres preguntas útiles dentro de tu procedimiento:
- ¿Existe este proveedor? Una denominación, una hoja registral, una fecha de constitución.
- ¿Sigue igual? Un cambio de domicilio, de denominación o una disolución son motivos para parar.
- ¿Hay una situación concursal inscrita? Una empresa en concurso no cobra ni paga como antes.
Fuentio lee las publicaciones oficiales del BORME (y los registros franceses) y responde con la fuente y la fecha en cada respuesta:
- la comprobación gratuita busca una sociedad por su nombre (3 comprobaciones al día, sin cuenta);
- la comprobación de listas gratuita revisa hasta 20 proveedores a la vez, con un archivo CSV para el expediente;
- la API se integra con tu herramienta de proveedores para comprobar cada alta o cambio: una clave gratuita da 100 unidades al mes.
El resultado: menos comprobaciones manuales y un rastro fechado de cada control en el expediente del proveedor. Mira lo que cubrimos en Francia y España.
Límites. Los consejos citados vienen de INCIBE, consultado el 13 de octubre de 2026. Fuentio no comprueba cuentas bancarias, no detecta correos fraudulentos y no sustituye ni la llamada al proveedor ni la doble aprobación interna: confirma lo que dicen las fuentes oficiales sobre la empresa. En España, Fuentio muestra los actos publicados en el BORME desde el 2 de enero de 2009, y el estado de una sociedad es desconocido salvo que un acto diga otra cosa. Esta guía no es asesoramiento jurídico.
Preguntas frecuentes
¿Cómo comprobar un cambio de cuenta bancaria de un proveedor?
Llama al proveedor a un número que ya conozcas, nunca al del mensaje, y haz que una segunda persona valide el cambio antes de cualquier pago.
¿Qué es el fraude del CEO?
Una suplantación parecida: el delincuente se hace pasar por un directivo, a menudo por correo, para conseguir una transferencia urgente. Se combate con el mismo principio: comprobar por otro canal y no saltarse la doble aprobación.
¿Qué hago si he pagado una factura falsa?
Llama de inmediato a tu banco para intentar retener la transferencia, guarda las pruebas, avisa al proveedor real y denuncia. El 017 de INCIBE te orienta.
¿El Registro Mercantil puede confirmar un IBAN?
No. Confirma que la sociedad existe, su denominación, su domicilio y sus actos inscritos. La cuenta se confirma con el proveedor, por un canal que ya conoces.
Fuentes
- INCIBE, los fraudes en línea más frecuentes a los que se enfrenta tu negocio (consultado el 13 de octubre de 2026): incibe.es
- INCIBE, historia real: cómo pagué una factura a un ciberdelincuente que entró en mi cuenta de correo: incibe.es
- INCIBE, Línea de Ayuda en Ciberseguridad 017: incibe.es
- Agencia Tributaria, consulta de operadores intracomunitarios (VIES): sede.agenciatributaria.gob.es
- BORME, Boletín Oficial del Registro Mercantil: boe.es/diario_borme