Estafa BEC a una empresa: cómo funciona y qué hacer

La estafa BEC (Business Email Compromise) consiste en que un delincuente se hace pasar por un directivo, un empleado o un proveedor, o entra en una cuenta real de correo corporativo, para que tu empresa haga una transferencia, cambie un número de cuenta o entregue información sensible. Si ya has pagado, el tiempo cuenta: avisa a tu banco de inmediato, conserva el correo con sus cabeceras y denuncia. Recuperar el dinero no está garantizado, pero hay pasos que mejoran las opciones. Esta guía te explica cómo funciona el fraude, cómo reconocerlo, qué hacer hora a hora y cómo plantear una reclamación.

Solvendiabogados

solvendiabogados.com

Valora las opciones de reclamación

Solvendi Abogados analiza casos de estafas financieras con un equipo de abogados y economistas, y ofrece asesoramiento personalizado.

Analiza tu caso

En resumen

El BEC se apoya en la confianza y en el conocimiento previo de la empresa: el correo parece legítimo porque el atacante conoce a quién escribir y cuándo.
Las señales más claras son la urgencia, la confidencialidad y una petición que contradice vuestros procedimientos internos de pago.
Si has transferido dinero, llama al banco ya, reporta el incidente a INCIBE-CERT y denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
Las transferencias son irrevocables y la recuperación no está asegurada, pero el banco debe hacer esfuerzos razonables y, si no responde, puedes acudir al Banco de España.
La mejor defensa es un procedimiento de verificación por un segundo canal con datos de contacto que ya tenías.

Tabla de contenidos

Qué es una estafa BEC y por qué funciona
Cómo reconocer una solicitud de pago fraudulenta
Qué hacer en las primeras horas si ya has transferido
Cómo denunciar una estafa BEC en España y qué pruebas guardar
¿Se puede recuperar el dinero?
Cómo prevenir el siguiente intento
Ejemplo práctico: cambio de IBAN de un proveedor
Nuestra opinión sobre el BEC
Si tu empresa ha sido víctima: cómo podemos ayudarte
Preguntas frecuentes
Fuentes

Qué es una estafa BEC y por qué funciona

El BEC es una estafa en la que los atacantes suplantan a directivos, empleados o proveedores, o acceden de forma ilegítima a cuentas reales de correo corporativo, con el fin de provocar transferencias, cambios de cuentas bancarias o la cesión de información sensible. Se basa en el conocimiento previo de la organización y en la confianza entre sus miembros, según una nota de ciberseguridad de la Confederación de Empresarios de Bizkaia.

Por eso no se parece al típico correo masivo con faltas de ortografía. El delincuente investiga: quién aprueba los pagos, qué proveedores tienes, cuándo se emiten las facturas grandes. Después escribe en el momento justo y con el tono adecuado.

Las tres variantes más habituales

Suplantación del directivo. Alguien que parece el director general o financiero pide a una persona de administración una transferencia urgente y confidencial. Europol describe este patrón como fraude del CEO o BEC.
Suplantación del proveedor. Un correo, a veces dentro de una conversación real, comunica que la cuenta bancaria ha cambiado y que la próxima factura debe pagarse en el nuevo IBAN.
Cuenta de correo comprometida. El atacante controla realmente un buzón de la empresa o del proveedor, por lo que el mensaje llega desde una dirección auténtica. Es la variante más difícil de detectar por el remitente.

El Banco de España explica en su portal del cliente bancario cómo operan las estafas al pagar una factura, un caso muy cercano al del proveedor suplantado.

Cómo reconocer una solicitud de pago fraudulenta

No hay una señal única. Lo que funciona es combinar varias y, sobre todo, tener un procedimiento que no dependa de la intuición de una persona un viernes a las seis de la tarde.

Señales en el mensaje

Europol señala como alertas las solicitudes urgentes, inusuales o confidenciales que contradicen los procedimientos internos, y el contacto directo de un alto cargo con alguien con quien normalmente no habla, según su guía sobre fraude del CEO y BEC.

El Centro de Ciberseguridad de Castilla-La Mancha añade señales más generales de correo fraudulento:

Asuntos alarmantes o urgentes.
Remitentes extraños o con errores en la dirección.
Ortografía y gramática descuidadas.
Enlaces sospechosos o acortados.
Adjuntos inesperados o con extensiones inusuales como .exe o .zip.

Señales en el contexto

En un BEC bien hecho el texto puede ser impecable, así que fíjate también en lo que rodea al mensaje:

Se pide secreto: «no se lo comentes a nadie hasta que se cierre la operación».
Se evita la llamada: el supuesto directivo dice estar en una reunión o de viaje y que solo puede responder por correo.
El IBAN cambia sin aviso previo o a una entidad o país que no corresponde al proveedor.
El importe es parecido a pagos anteriores, para no llamar la atención.
Se presiona con un plazo: «si no se paga hoy, perdemos el contrato».

Qué hacer en las primeras horas si ya has transferido

La rapidez es lo único que controlas. Esta secuencia ordena lo urgente:

Llama al banco, no solo escribas. Pide que contacten con la entidad receptora. El Banco de España indica que debes contactar con tu banco lo antes posible para que haga esfuerzos razonables por recuperar el importe a través del banco receptor, tal como recoge su página sobre estafas al pagar facturas. Confirma la gestión por escrito y guarda el justificante.
Congela la evidencia. No borres ni reenvíes el correo desde el buzón afectado. Conserva el mensaje original con sus cabeceras y adjuntos.
Reporta a INCIBE-CERT. Su servicio para empresas funciona 24 horas y 7 días a la semana y pide aportar el correo sospechoso, sus cabeceras y los adjuntos, según su página para reportar incidentes.
Cambia credenciales y revisa el buzón. Si sospechas que hay una cuenta comprometida, cambia contraseñas, activa la verificación en dos pasos y revisa reglas de reenvío automático que el atacante pueda haber creado.
Valora la notificación de datos personales. Si la incidencia afecta a datos personales, el responsable debe notificarla en 72 horas a la autoridad de control competente, según la misma página de INCIBE.
Denuncia. Lo explicamos en la siguiente sección.

Para organizar la parte técnica del incidente, el envío de correos y cabeceras y la coordinación con las autoridades, ayuda tener claro qué proteger primero en ciberseguridad dentro de tu organización, de modo que la respuesta no dependa de una sola persona.

Nuestro equipo también ha recogido los pasos del primer día y de la segunda jornada en esta guía sobre qué hacer en las primeras 24 o 48 horas tras una transferencia fraudulenta.

Cómo denunciar una estafa BEC en España y qué pruebas guardar

Puedes denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado, en una comisaría o a través de sus portales web. Conviene llevar una descripción detallada del incidente y el correo sospechoso con sus cabeceras y adjuntos, según INCIBE. Además, en INCIBE-CERT participan agentes de la Oficina de Coordinación Cibernética del Ministerio del Interior, lo que permite trasladar con agilidad los casos de delito telemático a unidades técnicas policiales.

Dossier de pruebas recomendado

Un expediente ordenado facilita la denuncia, la gestión con el banco y cualquier reclamación posterior. Reúne:

El correo fraudulento original con cabeceras completas, y toda la cadena de mensajes anteriores.
Capturas de la bandeja y de las reglas de reenvío si hubo acceso al buzón.
La orden de transferencia, el justificante bancario, el IBAN de destino y la hora exacta.
La factura o documento que motivó el pago y el verdadero dato bancario del proveedor.
Registro de las llamadas y escritos al banco, con fechas y nombres.
Una cronología interna: quién recibió qué, quién autorizó y quién ejecutó.

Tenemos una explicación más general de qué pruebas necesitas para respaldar tu reclamación en transferencias fraudulentas.

¿Se puede recuperar el dinero?

La respuesta honesta es: depende, y nadie puede prometerlo. Dos ideas del Banco de España marcan el terreno.

Las transferencias son irrevocables. El banco no puede ordenar un reembolso sin el consentimiento del titular de la cuenta que recibió el dinero. Lo que sí debe hacer es esfuerzos razonables para intentar recuperarlo contactando con el banco receptor (Banco de España). Cuanto antes se avise, más probable es que los fondos sigan en la cuenta de destino. Por eso el primer paso es una llamada.

Autorizada o no autorizada marca la diferencia. Según el Banco de España, una transferencia está autorizada cuando quien la ordena consiente su ejecución. Si la ordena un tercero sin autorización, se considera no autorizada y el banco debe reembolsarla de inmediato, salvo que acredite fraude o un incumplimiento deliberado o por negligencia grave de las obligaciones del cliente (guía sobre transferencias no autorizadas).

En la práctica, muchos BEC son casos en que un empleado ordena el pago creyendo que es legítimo, y eso complica el encaje como operación no autorizada. En cambio, si el atacante entró en la banca online de la empresa y ordenó las operaciones, el análisis es distinto. Cuál es tu caso se decide revisando los hechos, los registros del banco y las medidas de seguridad aplicadas; no se puede resolver con una regla general.

Si el banco no responde

Si el banco no resuelve ni contesta en un mes cuando eres consumidor, o en dos meses si no lo eres (el caso habitual de una empresa), puedes presentar una reclamación ante el Banco de España, según su guía para reclamar al banco. Prepara la reclamación con el mismo dossier de pruebas.

En nuestra guía sobre transferencias fraudulentas explicamos qué ocurre si el banco se niega a devolver el dinero y cuánto tiempo tienes para reclamar.

Cómo prevenir el siguiente intento

Un BEC no se evita con un antivirus. Se evita con procesos que hagan imposible que un solo correo mueva dinero.

Verificación por un segundo canal

Para comprobar una identidad, usa datos de contacto verificados y no te fíes de la información que facilite el presunto estafador, como recomienda la infografía de la Dirección General de Seguros y Fondos de Pensiones. Aplicado a la empresa: ante cualquier cambio de IBAN, llama al número que ya tenías archivado del proveedor, nunca al que aparece en el correo.

Reglas internas que funcionan

Doble aprobación para pagos por encima de un umbral que fijéis y para cualquier alta o cambio de cuenta de beneficiario.
Separación de funciones: quien da de alta un proveedor no es quien ordena el pago.
Política de «nunca por correo»: los cambios de datos bancarios solo se aceptan con un procedimiento documentado.
Formación breve y recurrente para administración, tesorería y asistentes de dirección, que son el objetivo preferido.
Protección del correo: verificación en dos pasos, revisión de reglas de reenvío y alertas por inicios de sesión inusuales.
Simulacros internos con un correo de prueba para medir cómo responde el equipo.

Aquí tienes más medidas para protegerte de futuras transferencias fraudulentas.

Ejemplo práctico: cambio de IBAN de un proveedor

Una pyme de distribución recibe un correo, dentro de un hilo real con su proveedor habitual, que anuncia una nueva cuenta para la factura del mes. El importe coincide con el de meses anteriores. Administración lo paga ese mismo día.

Al cabo de una semana, el proveedor reclama el impago. Es el momento crítico: cada día de retraso en avisar al banco reduce las opciones. Los pasos correctos serían:

Llamar al banco en cuanto se detecta el error y solicitar la gestión ante la entidad receptora.
Guardar el hilo completo con cabeceras y reportarlo a INCIBE-CERT.
Denunciar con el dossier ordenado.
Revisar si el buzón del proveedor o el propio estaban comprometidos.
Documentar si el banco ofreció alertas, verificaciones o avisos y cómo respondió.

Es un ejemplo ilustrativo, no un caso real ni una promesa de resultado. Muestra algo útil: la mayor parte del trabajo se hace en los primeros días y con pruebas bien guardadas.

Nuestra opinión sobre el BEC

Vemos que el BEC se trata demasiadas veces como un problema solo informático. Es un problema de tesorería, de procesos y, cuando el dinero ya ha salido, también jurídico y bancario.

En Solvendi Abogados trabajamos con un equipo que combina abogados y economistas. Eso importa en estos casos: hay que reconstruir el flujo del dinero, revisar cómo actuó la entidad y valorar si existe base para reclamar. No todas las reclamaciones son viables, y por eso analizamos cada caso sin coste y solo seguimos adelante con los que lo son.

Nuestro consejo es no esperar a tener todas las respuestas para actuar: avisa al banco, denuncia y guarda las pruebas, y después pide que alguien revise si hay recorrido legal. Cuanto más ordenado esté el expediente, mejor se puede evaluar.

cristian

Si tu empresa ha sido víctima: cómo podemos ayudarte

En Solvendi Abogados reclamamos contra bancos y ante estafas financieras, tanto para particulares como para empresas. Analizamos gratis tu caso, te decimos con transparencia si vemos viabilidad y cuáles son las expectativas razonables. No prometemos recuperar el dinero: valoramos si hay base para reclamar. Puedes conocer nuestra área de derecho bancario y financiero o contactar con nosotros desde nuestra web para que revisemos tu transferencia, tus pruebas y la respuesta del banco.

Preguntas frecuentes

¿Qué diferencia hay entre BEC y phishing?

El phishing suele ser un mensaje masivo para robar credenciales o instalar software malicioso. El BEC es un ataque dirigido que usa conocimiento de la organización para engañar a una persona concreta y conseguir una transferencia o información sensible. Pueden combinarse: un phishing puede dar al atacante acceso a un buzón y habilitar un BEC posterior.

¿Mi empresa puede reclamar al banco por una estafa BEC?

Depende de cómo se produjo la operación. Si la ordenó un tercero sin autorización, el banco debe reembolsarla de inmediato, salvo que acredite fraude o negligencia grave del cliente. Si la ordenó un empleado engañado, el caso es más complejo y se estudia según los hechos y la actuación de la entidad. Un análisis legal del expediente aclara qué vía existe.

¿Cuánto tiempo tengo para reaccionar?

Lo antes posible, idealmente el mismo día, porque los fondos pueden salir pronto de la cuenta de destino. Si hay datos personales afectados, la notificación a la autoridad de control debe hacerse en 72 horas. Para reclamar al Banco de España, el banco dispone de un mes (consumidores) o dos meses (no consumidores) para responder antes de acudir a esa vía.

¿Dónde reporto el incidente en España?

Puedes reportarlo a INCIBE-CERT, que atiende a empresas todos los días, y denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado en una comisaría o en sus portales web. Lleva el correo con cabeceras y adjuntos y una descripción detallada de lo ocurrido.