Estafa del IBAN en factura: cómo probar qué correo es el original
La estafa del IBAN casi nunca se decide el día en que sale el pago. Se decide seis semanas después, cuando el proveedor reclama una factura que en tu contabilidad figura como pagada y las dos empresas descubren que tienen en la mano dos PDF distintos con el mismo número de factura. En la mayoría de los departamentos financieros el mismo documento viaja dos veces: una por la cadena contable y de archivo, otra como adjunto de cortesía en un correo ordinario. Las coordenadas bancarias se leen de la segunda copia. Nadie conserva esa segunda copia de una forma que después se pueda verificar.
Los números dicen quién acaba soportando la pérdida. Las transferencias fraudulentas en la Unión Europea y en el resto del Espacio Económico Europeo alcanzaron los 2.500 millones de euros en 2024, y alrededor del 85% de esas pérdidas se quedó en el usuario del servicio de pago, que en una operación entre empresas es la empresa pagadora (EBA y BCE, 2025 Report on Payment Fraud). El banco, en la gran mayoría de los casos, no la absorbe.
Cuando el dinero ya ha salido, la conversación deja de ser de seguridad y se vuelve documental. La conservación de la factura demuestra que el documento depositado en el archivo no se ha alterado desde el depósito. No dice nada sobre qué fichero llegó adjunto a un correo, ni sobre qué IBAN contenía ese fichero cuando lo abrió tu tesorería. El fraude de la factura vive exactamente en el hueco que el archivo no cubre, y una empresa que no puede enseñar qué versión del correo y del adjunto es la original se arriesga a pagar dos veces: una al defraudador y otra al proveedor.
Cómo funciona el cambio de IBAN sobre una factura auténtica
El cambio de IBAN es una modalidad de fraude que no falsifica el documento, lo intercepta. Europol describe esta variante como el aprovechamiento de facturas genuinas en las que se han alterado las coordenadas bancarias del proveedor legítimo, después de que los autores hayan obtenido acceso ilícito a la correspondencia de la empresa y hayan estudiado sus estructuras internas y sus procedimientos operativos (Europol, Online Fraud Schemes). La secuencia tiene tres pasos. Quien ataca entra en uno de los dos buzones, casi siempre el del proveedor más pequeño, y se queda en silencio durante semanas. Vigila los mensajes que contienen las palabras pago y factura, y espera a que se envíe un documento real. En ese momento cambia una sola cadena, el IBAN del adjunto, deja intactos el número de factura, el importe y el membrete, y reenvía el mensaje. En el buzón del cliente aterriza una factura correcta en todo salvo en la cuenta a la que se ordenará la transferencia.
En España el mismo hecho aparece con varios nombres: fraude de la factura, suplantación del proveedor, fraude del CEO cuando la orden parece venir de arriba. La etiqueta importa menos que la familia a la que pertenece. Es un ataque de business email compromise, la toma de control de cuentas de correo corporativo para conseguir la información con la que se cierra el engaño. En 2025 el Internet Crime Complaint Center del FBI registró 24.768 denuncias de business email compromise y 3.050 millones de dólares en pérdidas, una media de unos 123.000 dólares por denuncia, solo por detrás del fraude de inversión en pérdidas totales.
La interceptación del hilo entre proveedor y cliente
El acceso a la conversación ocurre de tres maneras. La primera es la entrada directa en el buzón, con credenciales capturadas mediante phishing. La segunda es un dominio parecido, registrado con un carácter de diferencia, de modo que el intercambio se traslada sin ruido a un hilo que parece la continuación del real. La tercera, y la más difícil de detectar, es la inserción en el hilo: quien ataca, ya dentro de uno de los dos buzones, responde a un mensaje auténtico con el histórico citado debajo, la firma correcta y las referencias de pedido correctas. Nada en el contenido resulta extraño. Solo el IBAN es distinto.
El origen está en la ingeniería social, no en el perímetro de red. ENISA sitúa el phishing en torno al 60% de los incidentes que analizó entre julio de 2024 y junio de 2025, y señala que a comienzos de 2025 las campañas de phishing asistidas por inteligencia artificial representaban más del 80% de la actividad de ingeniería social observada en el mundo (ENISA Threat Landscape 2025). El viejo consejo de desconfiar de la redacción torpe ha dejado de funcionar.
El adjunto no se rehace, se retoca. Las coordenadas se sustituyen en su sitio, con la misma tipografía y la misma posición, o se tapan con un recuadro blanco que lleva el IBAN nuevo. La nota que acompaña sigue siendo plausible: un cambio de banco, una nueva tesorería de grupo, la cuenta habitual bloqueada unos días. Sobre un PDF sin firmar, que es lo que es casi cualquier factura de cortesía, nada dentro del fichero dice cuál de las dos versiones emitió el proveedor.
Por qué la anomalía solo aflora con la reclamación de pago
El pago sale con normalidad. Está autorizado, lleva la segunda firma y en la contabilidad la factura consta como saldada. El proveedor no recibe nada pero, con vencimientos a 60 o 90 días y sin conciliación diaria, tarda semanas en notarlo. La reclamación llega pasado el vencimiento, el cliente responde que pagó hace semanas, el proveedor responde que nunca llegó nada. Solo entonces alguien pone los dos adjuntos uno al lado del otro.
A esas alturas la ventana de recuperación que importa ya se ha cerrado. La devolución de una transferencia SEPA solo la puede iniciar el banco del ordenante y, cuando el motivo es el origen fraudulento de la operación, el Rulebook de la transferencia SEPA admite hasta 13 meses desde la fecha de ejecución, con la obligación del banco del beneficiario de contestar en 15 días hábiles bancarios (European Payments Council, 2025 SCT Rulebook). Generoso sobre el papel. En la práctica solo funciona mientras los fondos siguen en la cuenta del beneficiario, y suelen repartirse entre varias cuentas en cuestión de horas. El FBI informa de una tasa de éxito del 58% en el bloqueo de fondos a través de su Financial Fraud Kill Chain en 2025, sobre casos escalados de inmediato (FBI, 2025 Internet Crime Report). Pasadas seis semanas, lo que queda es la disputa con el proveedor.
Por qué esto se decide con pruebas y no con seguridad
Cuando aflora el descuadre, el resultado depende de una pregunta documental: qué versión de la factura llegó a la empresa, y cuándo. Ninguna de las dos partes suele poder responderla de una forma que un tercero pueda comprobar. Las defensas técnicas pintan poco a esas alturas, porque el buzón comprometido pudo ser el del proveedor, el pago se autorizó correctamente y el banco ejecutó el identificador único que se le indicó. La manipulación del ordenante, la categoría a la que pertenece el cambio de IBAN, pasó del 65% al 74% del valor de las transferencias fraudulentas en Europa entre 2023 y 2024 según el informe conjunto de la EBA y el BCE. Son operaciones que el cliente autorizó, no intrusiones en los sistemas del banco. La defensa de la empresa se traslada así a un terreno que nadie había preparado: enseñar qué tenía delante quien aprobó el pago.
Aquí pesa una suposición que en los departamentos financieros estorba más que ninguna otra. Probar la integridad de una factura archivada garantiza que el documento depositado en el archivo se mantiene íntegro y legible durante su periodo de conservación. Es una prueba aguas abajo, sobre la factura que entró en el ciclo contable. La factura que pasó por la cadena contable es un objeto; el PDF de cortesía adjunto al correo es otro. El fraude ocurre en el segundo, donde no hay archivo, ni sello de tiempo, ni constancia de recepción.
Las copias del buzón son fáciles de impugnar
Un fichero sacado de tu propio buzón no prueba su propia historia. En la disputa estándar el proveedor afirma que envió la factura con las coordenadas de siempre, y el cliente exhibe un mensaje, aparentemente en el mismo hilo, que contiene otras. Las dos partes tienen un PDF, y ninguna puede demostrar solo con el fichero cuál se entregó. Un mensaje se puede editar después de recibirlo, las cabeceras técnicas se pueden reconstruir y el buzón puede haber sido limpiado por quien estaba dentro mucho antes de que nadie sospechara. En cuanto la contraparte niega la autoría, la copia guardada en la carpeta baja al nivel de indicio y la reconstrucción tiene que salir de un peritaje que cuesta tiempo y dinero. Los requisitos que hay que cubrir para que eso no ocurra están desarrollados en la guía sobre cómo lograr que una prueba digital sea admisible en un juicio.
Banco, aseguradora y proveedor necesitan reconstrucciones distintas
En el mismo expediente acaban conviviendo cuatro relatos incompatibles del mismo intercambio de correos. No es mala fe. Cada parte defiende su posición con el material que tiene, y la cuestión de si el deudor quedó liberado pagando a un acreedor aparente reaparece cada vez que el proveedor pide cobrar por segunda vez. La única parte que necesita probar el contexto en el que recibió el mensaje es la empresa pagadora, y es también la única que normalmente no tiene nada que enseñar.
| Parte | Tesis que sostiene | Prueba en la que se apoya |
|---|---|---|
| Banco del ordenante | La transferencia la autorizó el cliente y el identificador único se ejecutó tal como se ordenó | Orden de pago autorizada, resultado de la verificación del beneficiario, registros de acceso a la banca electrónica |
| Aseguradora | El hecho encaja en una exclusión, o no se siguieron los procedimientos de control declarados | Procedimiento de cambio de cuenta, verificación por canal independiente, plazo de la comunicación del siniestro |
| Proveedor | Nunca envió esa comunicación y la deuda sigue viva | Factura emitida y archivada, su propia correspondencia, firma aplicada al documento que emitió |
| Empresa pagadora | Pagó de buena fe sobre una comunicación que venía del proveedor | Correo recibido con sus cabeceras, adjunto con las coordenadas bancarias, página del portal que consultó |
Qué valor probatorio tienen de verdad los correos y las facturas
Un correo sin firmar y una factura PDF sin firmar son documentos débiles por sí solos. Aportarlos al proceso no es el problema: la Ley 1/2000 de Enjuiciamiento Civil admite entre los medios de prueba los instrumentos que permiten archivar, conocer o reproducir datos, y el tribunal los valora conforme a las reglas de la sana crítica. Ese es justamente el punto débil, porque valoración libre no es prueba plena, y cuando el documento privado se aporta y la contraparte impugna su autenticidad, el peso de acreditarla vuelve a quien lo presentó. Impugnar no le cuesta nada.
El Reglamento eIDAS mueve ese equilibrio en un punto concreto: según el artículo 41.2 del Reglamento (UE) 910/2014, un sello de tiempo electrónico cualificado disfruta de la presunción de exactitud de la fecha y la hora que indica y de la integridad de los datos a los que la fecha y la hora estén vinculadas, y el artículo 41.3 obliga a todos los Estados miembros a reconocerlo (EUR-Lex, Reglamento 910/2014). En España el cuadro lo completa la Ley 6/2020 de servicios electrónicos de confianza, que ordena comprobar la firma o el sello cuando se impugna su autenticidad y permite que una impugnación temeraria le salga cara a quien la plantea.
Aplicada a una factura discutida, esa presunción lo cambia todo. Quien selló el correo y el adjunto en el momento de recibirlos no tiene que demostrar que el fichero nunca se tocó: es la otra parte la que tiene que derribar una presunción de que no se tocó. Cómo se traduce esto en sala está desarrollado en el artículo sobre la prueba electrónica en el proceso civil español. La consecuencia práctica para una tesorería es corta: imprimir el mensaje no decide nada, porque al proveedor le basta con decir que él no lo envió.
Qué hace falta para probar qué versión del documento es la original
Probar qué versión de una factura es la original exige cuatro elementos, y los cuatro tienen que existir antes de que empiece la disputa. El primero es la integridad: una huella criptográfica calculada sobre el fichero, que hace evidente cualquier cambio posterior. El segundo es una fecha oponible, porque un sello de tiempo cualificado ata ese contenido a un instante que aguanta frente a terceros, cosa que el reloj de un programa de correo no hace. El tercero es la procedencia, que sale de las cabeceras técnicas que describen la ruta real del mensaje y no del nombre que muestra el remitente. El cuarto es el contexto: qué se veía en el momento de la recepción, portal del proveedor incluido. Son las mismas propiedades que la norma ISO/IEC 27037:2012 fija para la identificación, recogida, adquisición y preservación de la prueba digital. Ninguno de los cuatro se recupera después. Un peritaje encargado meses más tarde trabaja sobre lo que haya sobrevivido en un buzón que entretanto se ha limpiado, restaurado o migrado.
Hay un punto que casi nadie aclara, y empieza por entender que un sello electrónico y una firma digital no resuelven el mismo problema. La firma que el proveedor aplica a la factura que emite protege el documento que sale y acredita de dónde viene. No dice nada sobre qué correo recibió el cliente, ni sobre qué adjunto había en pantalla cuando se aprobó el pago. El documento firmado y el documento pagado pueden ser dos ficheros distintos. En un cambio de IBAN casi siempre lo son.
| Fuente | Integridad | Fecha oponible a terceros | Procedencia | Contexto de la recepción |
|---|---|---|---|---|
| Copia guardada en el buzón | No | No | Impugnable | No |
| Mensaje enviado al proveedor después del hecho | Sí, sobre el mensaje enviado | Sí, sobre el envío | Sí, sobre el remitente | No |
| Archivo y conservación de la factura | Sí, desde el depósito | Sí, sobre el documento archivado | No | No |
| Firma electrónica del proveedor en la factura que emite | Sí, sobre el fichero firmado | Solo con un sello de tiempo asociado | Sí, sobre el emisor | No |
| Certificación del correo y del adjunto en la recepción | Sí | Sí | Sí, con las cabeceras adquiridas | Sí |
Las empresas usan TrueScreen para capturar con valor probatorio la comunicación que originó el pago, de modo que exista una versión que se pueda aportar después en lugar de reconstruirla cuando ya es tarde.
Qué significa certificar en origen el correo y la factura de un pago
TrueScreen, la Data Authenticity Platform, certifica el correo recibido y su adjunto en el momento en que llegan, ligando una huella criptográfica a un sello de tiempo cualificado sobre la versión exacta que recibió la empresa. Certificar en origen quiere decir fijar el documento cuando entra, en lugar de reconstruirlo cuando la disputa ya está abierta. Lo que se certifica no es solo el PDF: es el correo con sus cabeceras técnicas, el adjunto que lleva las coordenadas bancarias y, cuando la factura se descarga de un portal de proveedores, la página tal como se veía ese día. El sello de tiempo cualificado y el sello electrónico los emite un prestador cualificado de servicios de confianza integrado en la plataforma mediante API. TrueScreen no es un prestador cualificado y no emite certificados cualificados: aplica el sello de un QTSP tercero a contenidos adquiridos con metodología forense. La fecha, la hora y la integridad de la versión recibida dejan de ser una afirmación de la empresa y pasan a ser algo que un perito puede verificar.
El primer objeto que hay que fijar es el mensaje. Sellar el correo y el adjunto en el momento de recibirlos hace oponible la fecha de recepción. Junto al contenido se registra la ruta, que es la cadena de custodia de un mensaje entrante, porque un perito preguntará también de dónde venía y no solo qué decía. Cuando las facturas se descargan de un portal en lugar de llegar por correo, el tercer objeto importa igual: capturar la página del portal como prueba conserva una pantalla que habrá cambiado para cuando alguien pregunte por ella.
En la práctica se ve así. Una responsable de cuentas a pagar recibe un cambio de coordenadas bancarias de un proveedor de toda la vida. Antes de pasar la modificación al maestro de proveedores del ERP, certifica el correo con sus cabeceras y el PDF adjunto. La llamada de vuelta, al número que figura en el contrato firmado y no al del mensaje, deja claro que el proveedor no ha enviado nada. La certificación ya está hecha y se convierte en el anexo técnico de la denuncia y de la comunicación a la aseguradora, con una fecha anterior al descubrimiento del fraude. El mismo principio se extiende a certificar un correo electrónico con valor legal en toda la correspondencia entrante.
El proveedor extranjero y la petición urgente del cierre de agosto
Dos situaciones recurrentes enseñan dónde se rompe el control. En la primera, un proveedor extranjero anuncia que se ha cambiado de banco y que su IBAN nuevo está en otro país. Desde el 9 de octubre de 2025 todos los proveedores de servicios de pago de la zona euro tienen que ofrecer gratis la verificación del beneficiario, es decir, el contraste entre el nombre que indica el ordenante y el titular del IBAN de destino antes de que se autorice el pago (Comisión Europea), tal como establece el Reglamento (UE) 2024/886. El control detecta los casos burdos. Cuando la cuenta está a nombre de una denominación parecida a la del proveedor, arroja una coincidencia parcial y la decisión regresa a una persona. A partir de ese instante existe un momento documentado en el que la empresa recibió un aviso y eligió. Si el nombre no coincidía y el pago salió igualmente, la posición de la empresa empeora, salvo que pueda enseñar en qué comunicación se basó.
En la segunda, la petición llega a mediados de agosto. El director financiero está de vacaciones, el expediente lo lleva una sustituta, el mensaje tiene el tono correcto y cita un pedido real. Las variantes conocidas como fraude del CEO y fraude del CFO añaden una llamada de confirmación, y esa llamada puede llegar hoy con la voz clonada de un directivo. Europol señala en su IOCTA 2026 un realismo mayor en el business email compromise y en el fraude del CEO gracias a la IA generativa (Europol, IOCTA 2026), y el FBI registró en 2025 más de 30 millones de dólares de pérdidas por BEC con componente de IA. Decirle a la plantilla que desconfíe del castellano mal escrito ya no es un control.
Cómo montar un control sobre las comunicaciones financieras recurrentes
Un control que funcione consiste en fijar, de forma verificable, los pocos hechos que formarán el expediente si algún día se discuten. Hoy ninguna norma obliga a documentar la comprobación del IBAN en cada factura, pero el procedimiento declarado a la aseguradora y la reconstrucción que pedirá el banco dan por supuesto que de esa comprobación queda rastro.
| Momento del ciclo de compras | Qué se fija | Por qué importa después |
|---|---|---|
| Petición de cambio de coordenadas bancarias | Correo recibido, con cabeceras y adjunto | Es el documento sobre el que se decide el pago |
| Llamada de verificación por un canal independiente | Resultado con fecha, archivado en la ficha del proveedor | Acredita que se siguió el procedimiento declarado |
| Factura descargada de un portal de proveedores | Captura de la página tal como se mostraba | Los portales cambian y la pantalla no se puede reproducir |
| Primer pago a un IBAN nuevo | Orden de pago y resultado de la verificación del beneficiario | Documenta la decisión tomada después del aviso |
Un control así se construye certificando las comunicaciones financieras recurrentes con TrueScreen según llegan, no solo cuando ya ha saltado la sospecha. Con el volumen de un grupo industrial, elegir mensajes a mano no aguanta, y por eso lo práctico es automatizar la certificación del correo entrante en los buzones de cuentas a pagar y de tesorería. El coste de hacerlo es conocido y recurrente. El coste de no haberlo hecho aparece una sola vez, y es el importe de la factura.
