Abogado de fraude por cambio de IBAN

En síntesis

El fraude de cambio de IBAN (también llamado man in the middle o fraude de la factura interceptada) es uno de los ataques más dañinos para empresas y autónomos. El estafador accede al correo electrónico de la empresa o del proveedor, intercepta una factura legítima y sustituye el IBAN de cobro por el suyo. La empresa paga la factura sin sospechar, porque el importe, el concepto y el remitente son correctos.

Los importes suelen ser elevados: facturas de servicios, obras, suministros o campañas que la empresa esperaba pagar. La víctima no descubre el fraude hasta que el proveedor reclama el pago.

Cómo funciona

1. El acceso. El estafador compromete el correo electrónico de la empresa, del proveedor o de ambos. A veces basta con acceder a un buzón; otras veces crea una regla de reenvío automático para leer los mensajes sin que nadie lo detecte.
2. La espera. Monitoriza la correspondencia hasta que identifica una factura pendiente de pago.
3. La sustitución. Envía un correo —desde la cuenta comprometida o desde una dirección casi idéntica— con la misma factura pero con un IBAN distinto. A veces añade un mensaje del tipo «hemos cambiado de banco» o «por favor, actualicen nuestros datos bancarios».
4. El pago. La empresa paga la factura al nuevo IBAN. El dinero sale de la cuenta y se mueve rápidamente a cuentas intermedias.
5. El descubrimiento. El proveedor real reclama el pago semanas después. Para entonces, el dinero ha desaparecido.

Qué juega a tu favor

• Operación no autorizada en sentido material. Aunque técnicamente la empresa ordenó la transferencia, lo hizo engañada: el destino no era el que pretendía. Hay argumentos sólidos para considerarla no autorizada.
• Falta de verificación del IBAN por el banco. Si el banco ejecutó la transferencia sin verificar que el IBAN correspondía al beneficiario nombrado en la orden, puede haber responsabilidad. El PSR (Payment Services Regulation), cuando entre en vigor, reforzará esta obligación con la verificación de coincidencia IBAN‑nombre.
• Vía penal. Es un delito de estafa (art. 248 CP). La denuncia activa la investigación y puede permitir el bloqueo de cuentas.
• Responsabilidad del proveedor de correo. Si la brecha de seguridad está en el servidor de correo, puede haber responsabilidad del proveedor del servicio.
• Seguro de ciberriesgo. Si la empresa tiene una póliza de ciberriesgo, puede cubrir parte o la totalidad de la pérdida.

Qué lo complica

• La empresa ordenó la transferencia. Desde el punto de vista del banco, la orden fue auténtica y autenticada.
• No había protocolo de doble verificación. Si la empresa no confirmaba los cambios de IBAN por un segundo canal (llamada telefónica, por ejemplo), el banco argumentará falta de diligencia.
• La empresa no es consumidora ni microempresa. El contrato puede haber excluido protecciones (art. 34.1 RDL 19/2018).
• El dinero salió al extranjero. La recuperación es mucho más difícil cuando las cuentas de destino están fuera de España.

Qué hacer ahora

1. Contacta al banco inmediatamente. Pide la retrocesión de la transferencia. Si han pasado pocas horas, a veces se puede bloquear el dinero en la cuenta de destino.
2. Avisa al proveedor real. Necesitas confirmar qué factura era legítima, qué IBAN era el correcto y si su correo también fue comprometido.
3. Denuncia. Policía Nacional (BIT) o Guardia Civil (GDT). Aporta los correos originales y los manipulados, la factura, el justificante de la transferencia y cualquier dato del atacante.
4. Conserva las pruebas digitales. No borres correos ni modifiques logs. Si es posible, pide a tu proveedor de correo los registros de acceso.
5. Revisa tu póliza de ciberriesgo si la tienes.
6. Consulta a un abogado. Análisis inicial gratuito. La rapidez es clave para bloquear los fondos.

Preguntas frecuentes

¿Puede reclamar la empresa al banco?

Depende del caso. Si el banco no verificó la coincidencia entre el IBAN y el nombre del beneficiario, hay margen. Si la empresa no es consumidora ni microempresa, hay que revisar el contrato.

¿Quién paga la factura al proveedor real?

La obligación de pago con el proveedor sigue viva. La empresa ha pagado, pero no al acreedor correcto. Es una situación doblemente gravosa que refuerza la urgencia de reclamar.

¿Se puede evitar?

Sí, con un protocolo sencillo: verificar cualquier cambio de IBAN por un segundo canal (llamada al contacto habitual del proveedor, nunca al número que aparezca en el correo sospechoso). Es la medida más eficaz y no cuesta nada.

Fuentes verificadas

• RDL 19/2018: arts. 34.1, 44, 45.1, 46. Fuente: BOE consolidado (BOE-A-2018-16036).
• Código Penal: arts. 248 y ss. (estafa).
• PSR (Payment Services Regulation): compromiso de texto abril 2026; verificación de coincidencia IBAN‑nombre prevista.