El fraude del cambio de cuenta bancaria: un protocolo de una página para empresas de reformas

¿Cómo funciona el fraude del cambio de cuenta?

El estafador se hace pasar por alguien con quien ya trabajas y te pide que pagues a otra cuenta.

INCIBE lo llama fraude BEC (por sus siglas en inglés, «compromiso del correo de empresa»): el delincuente entra en el correo de tu proveedor o en el tuyo, o usa una dirección casi igual, y cambia el número de cuenta de una factura de verdad (INCIBE).

Lo normal es enterarse tarde: cuando el proveedor de verdad te reclama un pago que nunca le llegó.

La Agència de Ciberseguretat de Catalunya avisó en noviembre de 2025 de que estas estafas estaban aumentando, y contó cómo van (ACC, 2025):

1. usan un dominio de correo muy parecido al de tu proveedor;
2. primero escriben diciendo que han perdido documentación de los trabajos, para que les mandes papeles de verdad;
3. después envían una factura o un documento manipulado con una cuenta distinta de la habitual.

Estos correos no suelen llevar virus ni enlaces raros, y por eso pasan los filtros (ACC). El engaño está en el texto, no en el archivo.

Este riesgo entra en los papeles que repasamos en la guía de lo que le toca a una empresa de reformas de 2026 a 2028, junto a fechas como las de VeriFactu.

¿Por qué le toca de lleno a una empresa de reformas?

Porque te puede pillar por los dos lados: cuando pagas y cuando cobras.

• Cuando pagas. Una empresa de reformas paga a muchos: el almacén, el industrial, la subcontrata del pladur, el de los contenedores. Muchos pagos por transferencia, a gente con la que hablas por WhatsApp y que a veces cambia de banco de verdad. Es el terreno perfecto para colar una cuenta nueva.
• Cuando cobras. INCIBE publica el caso real de una particular que pagó la factura de la reforma de su casa a una cuenta que no era la de la empresa. Días después, la empresa la llamó para reclamarle el pago (INCIBE, actualizado en 2026). El fallo podía estar en el correo de ella o en el de la empresa. Para la empresa, el resultado es el mismo: la obra hecha, el dinero sin llegar y una clienta que ya ha pagado.

Lo segundo se arregla avisando al cliente desde el primer día: la frase para el presupuesto está más abajo.

¿Qué señales tiene una factura falsa?

Ninguna demuestra nada por sí sola, pero si ves una, para y llama.

¿Qué hace la comprobación del nombre del banco?

Desde el 9-10-2025, los bancos de los países del euro tienen que ofrecerte un servicio de verificación del beneficiario: cuando escribes el nombre y el IBAN, y antes de que autorices la transferencia, el banco comprueba si coinciden (Reglamento (UE) 2024/886, art. 5 quater, leído en el BOE el 29-10-2026).

El Banco de España explica que es gratis y que la respuesta es una de tres: coincide, casi coincide (y te enseña el nombre real) o no coincide (Banco de España, 2026).

Tres cosas que conviene saber:

• Escribe el nombre que tienes en tu ficha, no el que viene en la factura nueva. Si escribes el nombre del estafador, la comprobación no te sirve.
• Si el banco dice «no coincide» y envías igual, el Banco de España avisa de que el error no se podrá imputar ni al banco ni al que recibe el dinero.
• Si pagas por remesas, el reglamento permite a las empresas pedir al banco que no haga la comprobación en los pagos agrupados (art. 5 quater.6). No la desactives: es la última red.

¿Cuál es el protocolo de una página?

Seis reglas y una hoja de registro, a partir de lo que recomiendan INCIBE, la Agència de Ciberseguretat de Catalunya y el Banco de España.

Cambia «[empresa]» por tu nombre y pégalo junto al ordenador de quien paga.

¿Qué hago si ya he pagado a una cuenta falsa?

En este orden, y el mismo día:

1. Llama al banco ya. Cuéntales que es una transferencia por fraude y pide que intenten pararla o recuperarla (INCIBE).
2. No contestes en el mismo hilo de correo ni al mismo WhatsApp. El estafador puede estar leyéndolo. Llama al proveedor de verdad a su número de siempre.
3. Guarda las pruebas: el correo original con sus cabeceras, la factura, el justificante de la transferencia y las capturas.
4. Denúncialo. En Cataluña, en cualquier comisaría de los Mossos d'Esquadra, que están abiertas las 24 horas (Mossos d'Esquadra); la Agència de Ciberseguretat recomienda llevar el correo y todas las pruebas. Fuera de Cataluña, Policía Nacional o Guardia Civil.
5. Llama al 017 de INCIBE. Es gratis y confidencial, atiende a empresas, de 8 a 23 h todos los días, también por WhatsApp en el 900 116 117 (INCIBE).
6. Si había datos de clientes en ese correo, INCIBE recuerda que una brecha de datos personales se notifica a la Agencia de Protección de Datos en 72 horas.
7. Cierra la puerta: cambia la contraseña del correo, activa la verificación en dos pasos y mira si hay reglas de reenvío que no pusiste tú.

¿Cómo protejo también a mis clientes?

Diciéndoles desde el presupuesto cuál es tu cuenta y que no va a cambiar. Si un día reciben otra, sabrán que no eres tú.

Repite la frase en cada pago de tu calendario de cobros por hitos, siempre por el mismo canal.

Una frase que te ahorra la peor llamada: explicarle a un cliente que ya pagó que su dinero no te ha llegado.

¿Cómo lo pongo en marcha esta semana?

En una hora, sin programas nuevos:

1. Imprime el protocolo y pégalo donde se paga.
2. Repasa tu lista de proveedores y apunta, en la ficha de cada uno (en Excel, en STEL Order, en Holded o donde la tengas), un teléfono que hayas comprobado tú. Ese es el «número que ya teníamos».
3. Decide quién es la segunda persona.
4. Pon la frase de la cuenta en tu plantilla de presupuesto y de factura.
5. Activa la verificación en dos pasos del correo de la empresa.

Si quieres repasar este riesgo y los demás que tiene tu empresa, con fechas y fuentes, es parte de lo que hacemos en El Plano.

Preguntas frecuentes

¿El banco me devuelve el dinero si he pagado a una cuenta falsa?

No está obligado a devolverlo si tú autorizaste la transferencia, porque es una orden irrevocable. Sí tiene que hacer esfuerzos razonables para recuperarlo, según el Banco de España.

Si el banco no te hizo la comprobación del nombre que exige el Reglamento (UE) 2024/886 y por eso salió mal, el reglamento le obliga a reembolsarte.

Llama en cuanto lo veas y, si el banco no responde, reclama.

¿La verificación del beneficiario vale también para transferencias normales?

El artículo 5 quater del Reglamento (UE) 2024/886 se titula «Verificación del beneficiario en el caso de las transferencias» y obliga a los bancos de la zona euro desde el 9-10-2025.

El Banco de España lo presenta como un servicio gratuito que se activa al poner el IBAN, antes de enviar.

Si tu banca online no te enseña el aviso, pregúntale a tu banco.

¿Dónde denuncio el fraude del cambio de cuenta en Cataluña?

En cualquier comisaría de los Mossos d'Esquadra, abiertas las 24 horas. Lleva tu DNI, el correo o el mensaje de la estafa, la factura falsa y el justificante de la transferencia.

Antes, llama a tu banco para intentar pararla. Para que te orienten, el 017 de INCIBE es gratis y confidencial.

¿Qué hago si un cliente me dice que ya me pagó y no me ha llegado?

Pídele el justificante y compara la cuenta con la tuya. Si no coincide, puede que alguien haya interceptado tu factura o su correo, como en el caso que publica INCIBE.

Que llame a su banco ya y lo denuncie, y tú revisa tu correo: contraseña, verificación en dos pasos y reglas de reenvío. Qué pasa con la deuda depende del caso: consúltalo con tu abogado.

¿Esto es obligatorio por ley?

El protocolo no: es una buena práctica que recomiendan INCIBE y la Agència de Ciberseguretat de Catalunya. Lo que sí es obligatorio es que tu banco te ofrezca la comprobación del nombre (Reglamento (UE) 2024/886).

Y si se ven afectados datos personales de clientes, INCIBE recuerda que la brecha se notifica a la Agencia de Protección de Datos en 72 horas.

Fuentes

• Fraude por correo electrónico comprometido (qué hacer antes y después): INCIBE, consultado el 29-10-2026.
• Caso real «Fraude BEC a un particular al interceptarse la factura de su reforma», actualizado el 7-1-2026: INCIBE, consultado el 29-10-2026.
• «Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme», 3-7-2025: INCIBE, consultado el 29-10-2026.
• Línea de Ayuda en Ciberseguridad 017: INCIBE, consultado el 29-10-2026.
• «Augmenten les estafes que suplanten empreses proveïdores per demanar pagaments fraudulents», 6-11-2025: Agència de Ciberseguretat de Catalunya, consultado el 29-10-2026.
• «Ataque al correo electrónico empresarial»: Agència de Ciberseguretat de Catalunya, consultado el 29-10-2026.
• Reglamento (UE) 2024/886 sobre transferencias inmediatas en euros, art. 5 quater: BOE, consultado el 29-10-2026.
• «Upppsss… transferencia enviada al IBAN equivocado», 19-2-2026: Banco de España, Portal del Cliente Bancario, consultado el 29-10-2026.
• «Cuidado con las estafas a la hora de pagar una factura», 5-7-2022: Banco de España, Portal del Cliente Bancario, consultado el 29-10-2026.
• Denunciar: Mossos d'Esquadra, consultado el 29-10-2026.