Cambio de IBAN de un proveedor: cómo verificarlo antes de pagar
Por Carlos Isidoro De Ayala Diaz ·
Cambio de IBAN de un proveedor: cómo verificar la solicitud por un canal independiente, aprobar el pago con doble control y actuar si ya se transfirió.
Detén el pago y verifica la solicitud fuera del correo
Un proveedor habitual comunica por correo que ha cambiado de banco y pide usar un IBAN nuevo en la siguiente factura. El mensaje puede conservar el logotipo, la firma, el tono y el historial de la conversación. Esa apariencia no demuestra que la instrucción sea legítima. En un fraude de correo corporativo comprometido, conocido como BEC, el atacante puede suplantar un dominio parecido, fabricar un hilo o utilizar una cuenta real a la que ha obtenido acceso. La decisión segura empieza tratando todo cambio de cuenta como una operación excepcional.
La persona que recibe la solicitud debe detener el pago y abrir una verificación separada. No conviene responder al mismo mensaje, llamar al teléfono incluido en la firma nueva ni utilizar un enlace o documento que acompañe a la petición. Se contacta con el proveedor mediante un número ya registrado en el maestro de proveedores, el contrato, una factura anterior validada o su sitio oficial. El FBI IC3 y el NCSC recomiendan confirmar los cambios de cuenta por un canal secundario y con datos obtenidos de una fuente independiente.
La llamada o reunión no se limita a preguntar si el correo es suyo. El contacto autorizado debe identificar la empresa, confirmar que solicitó el cambio, repetir el nuevo IBAN y explicar desde qué fecha se aplica. La persona que verifica compara esa información con la solicitud recibida y registra quién respondió. Si el interlocutor no es el habitual o no figura entre los contactos autorizados, la confirmación se escala. Un mensaje posterior que diga «confirmado» dentro del mismo hilo sigue dependiendo del canal que puede estar comprometido.
Las señales del correo ayudan a priorizar, pero ninguna sustituye la confirmación. Se revisan dirección completa del remitente y del Reply-To, dominio, cambios de tono, urgencia, petición de confidencialidad, adjuntos y coherencia con el pedido. Microsoft documentó en septiembre de 2026 una campaña que combinaba suplantación de directivos, facturas fabricadas y conversaciones reenviadas falsas para que el conjunto pareciera creíble. Por eso una redacción correcta y una factura visualmente profesional tampoco acreditan la cuenta bancaria.
Separa el cambio de datos de la autorización del pago
El control funciona mejor cuando la empresa distingue tres operaciones: registrar o modificar los datos del proveedor, aprobar la factura y ordenar la transferencia. Si una sola persona puede ejecutar las tres a partir de un correo, el atacante solo necesita convencerla una vez. El procedimiento asigna responsables y evidencias a cada paso. La solicitud queda vinculada al proveedor y a la factura, pero la aprobación del nuevo IBAN ocurre antes y fuera del flujo ordinario de pago.
El cambio de cuenta debe exigir doble control. Una persona comprueba la identidad y documenta la conversación; otra revisa el expediente y autoriza la modificación en el ERP o la herramienta financiera. INCIBE aconseja que dos personas autoricen transferencias por encima del umbral definido por la empresa y que existan pasos específicos para nuevas cuentas y cambios de IBAN. El importe que activa una segunda aprobación es una decisión interna: incluso una factura pequeña puede utilizarse para probar el proceso antes de intentar un fraude mayor.
El registro mínimo incluye fecha y hora, solicitante, proveedor, IBAN anterior y nuevo de forma protegida, fuente del teléfono usado, identidad del contacto, persona que verificó, persona que aprobó y documentos relacionados. No hace falta copiar conversaciones completas en lugares sin control de acceso. Sí debe poder demostrarse por qué se cambió el dato y quién tomó cada decisión. El sistema puede bloquear pagos a una cuenta recién modificada hasta que la aprobación esté completa o mostrar una alerta al crear la orden.
La urgencia no elimina el control. Si el proveedor afirma que el pago vence ese día, se aplica el mismo canal independiente y se escala al responsable financiero. Las excepciones deben estar definidas antes de necesitarlas: quién puede autorizarlas, qué comprobaciones siguen siendo obligatorias y cómo se revisan después. La ausencia del responsable habitual no justifica aceptar un teléfono nuevo enviado por correo. Un proceso conocido permite que el equipo detecte una petición anómala sin depender de reconocer faltas ortográficas.
Protege el correo sin confundir autenticación con aprobación
SPF, DKIM y DMARC ayudan a reducir ciertas suplantaciones de dominio cuando se configuran y supervisan correctamente. Los filtros de correo, la protección contra dominios parecidos y las alertas de remitente externo añaden señales útiles. Sin embargo, un mensaje puede superar esos controles si sale desde una cuenta legítima comprometida o desde infraestructura preparada para imitar a la empresa. La autenticación técnica del mensaje no autoriza por sí sola una modificación financiera.
Las cuentas de correo de compras, administración y dirección necesitan autenticación multifactor resistente al phishing cuando sea viable, sesiones controladas y registros suficientes. También se vigilan reglas de bandeja de entrada, reenvíos externos, métodos de autenticación añadidos, aplicaciones consentidas y accesos inusuales. Microsoft identifica reglas que ocultan mensajes en carpetas, reenvíos desconocidos y firmas bancarias falsas como posibles síntomas de compromiso. Revisar solo la contraseña puede dejar persistencia activa.
La formación debe practicar el procedimiento de negocio, no limitarse a reconocer un enlace sospechoso. Un ejercicio de phishing controlado puede plantear una factura o un cambio de cuenta sin pedir credenciales reales ni ejecutar archivos dañinos. La medida útil es si la persona detiene la operación, informa por el canal previsto y aplica la verificación independiente. Los resultados sirven para mejorar el flujo y la comunicación; no garantizan que el equipo detectará todos los intentos futuros ni deben usarse para señalar públicamente a empleados.
También conviene acordar con los proveedores cómo se comunicarán los cambios bancarios. El contrato, el alta o una circular pueden indicar que ningún IBAN se modifica solo por correo y cuál es el proceso de confirmación. Compras y finanzas mantienen una lista de contactos verificados y revisan sus bajas. Esta coordinación reduce la improvisación en ambos lados: si una cuenta del proveedor ha sido comprometida, la empresa receptora dispone de un canal que el atacante no controla necesariamente.
Si ya se ha pagado, actúa como incidente financiero y de seguridad
Cuando la transferencia ya se ha ordenado, la prioridad es avisar al banco de inmediato mediante su canal oficial y solicitar las actuaciones disponibles sobre el pago. El tiempo importa, pero no se debe seguir ninguna instrucción de supuesto reembolso recibida por correo o llamada. El FBI IC3 y el NCSC recomiendan contactar cuanto antes con la entidad financiera. En España, INCIBE indica además denunciar ante Policía o Guardia Civil y ofrece el 017 como línea de ayuda en ciberseguridad; cada entidad determinará la información y el procedimiento aplicable.
En paralelo se informa al proveedor por el canal independiente y al responsable interno de tecnología o seguridad. Se conservan el mensaje original con sus cabeceras, adjuntos, factura, justificante, horas, usuarios implicados, datos de la verificación y comunicaciones con el banco. Las copias de pantalla pueden apoyar el relato, pero no sustituyen los mensajes originales ni los registros del sistema. La evidencia se protege frente a modificaciones y se limita su acceso porque contiene datos bancarios y personales.
La investigación debe determinar si se suplantó un dominio, se comprometió la cuenta de la empresa, la del proveedor o ambas. En una cuenta afectada se bloquea el acceso cuando proceda, se revocan sesiones y tokens, se revisan métodos MFA, aplicaciones, roles, reglas y reenvíos, se cambian credenciales por un canal seguro y se comprueban otros mensajes enviados. No conviene borrar reglas o correos antes de recoger la evidencia necesaria. La recuperación técnica y la reclamación financiera avanzan coordinadas, pero son trabajos distintos.
Después se revisan otros pagos, proveedores y conversaciones que el atacante pudo observar y se corrige el punto de fallo: contacto no verificado, permiso excesivo, ausencia de doble control, alerta ignorada o cuenta comprometida. Élite Solutions Tech puede ayudar desde Murcia a empresas regionales y nacionales a revisar su proceso, preparar simulaciones autorizadas y analizar controles de correo dentro de un alcance acordado. Para una primera valoración puedes describir el flujo y la plataforma de correo en el formulario de contacto, sin enviar facturas, IBAN, credenciales ni mensajes confidenciales.