En los últimos tres meses he intervenido en tres casos de empresas en Valencia que han sufrido exactamente el mismo ataque. Un despacho de abogados en Ruzafa, una distribuidora en la zona de Paterna y una empresa contract en Torrent. Las tres con el mismo problema: alguien había cambiado el IBAN en las facturas que enviaban o recibían por correo electrónico. Y en los tres casos, cuando se dieron cuenta, el dinero ya estaba en una cuenta en el extranjero.
No es un virus. No es un ransomware que bloquea el ordenador y pide un rescate. Es algo mucho más silencioso y mucho más caro. Según los datos que maneja el INCIBE, este tipo de fraude —conocido técnicamente como BEC, Business Email Compromise— es la amenaza número uno contra pymes y autónomos en España. Y la media de pérdida por incidente está en torno a los 15.000 euros, aunque he visto casos que superaban los 25.000.
Este artículo no es un listado genérico de consejos de seguridad. Lo que voy a explicar aquí son los pasos técnicos exactos que sigo cuando una empresa nos llama con este problema, qué encuentro dentro de sus sistemas, y qué hacemos para que no vuelva a ocurrir. Si tienes una empresa, un despacho profesional o eres autónomo y envías o recibes facturas por email, necesitas leer esto.
El caso real: 12.000 euros que desaparecieron en un despacho de Ruzafa
En febrero recibí la llamada de un despacho de abogados de la zona de Ruzafa con el que llevamos tiempo trabajando en mantenimiento informático. El tono de la llamada era de urgencia real, no de «la impresora no funciona». Un proveedor les estaba reclamando el pago de una factura de 12.000 euros. El despacho envió el justificante de la transferencia. El proveedor respondió que ese dinero nunca había llegado a su cuenta.
Lo que pasó, reconstruido paso a paso, fue esto: alguien había conseguido la contraseña del correo de administración del despacho. No la adivinaron ni usaron un software sofisticado. Simplemente, esa cuenta no tenía activado el doble factor de autenticación. La contraseña era razonablemente buena, pero había aparecido en una filtración masiva de datos de otra plataforma donde el mismo empleado la reutilizaba. Y eso fue suficiente.
Con acceso al correo, los atacantes no borraron nada. No cambiaron la contraseña. No hicieron nada visible. Lo que hicieron fue crear una regla de reenvío oculta dentro de la configuración del correo. La regla decía, resumido: «cada vez que llegue un email que contenga un PDF con la palabra ‘factura’ o ‘IBAN’, reenvía una copia a esta dirección externa». Una dirección de Gmail que parecía inofensiva.
A partir de ahí, los atacantes se sentaron a esperar. Cuando llegó una factura real de un proveedor real con su IBAN legítimo, la interceptaron, editaron el PDF cambiando el número de cuenta por el suyo, y la volvieron a enviar dentro del mismo hilo de conversación. El email parecía legítimo porque venía del mismo hilo. La factura parecía legítima porque era idéntica excepto por el IBAN. Y el administrativo, que estaba esperando esa factura, la pagó sin sospechar nada.
Resultado: 12.000 euros enviados a una cuenta en Lituania que fue vaciada en menos de 24 horas. Dos semanas de trabajo del despacho perdidas en trámites de denuncia, comunicación con el banco, y reuniones con el proveedor para reconstruir la relación de confianza. Y una sensación de vulnerabilidad que no se va fácilmente.
Por qué este fraude funciona tan bien en pymes y despachos profesionales
Este ataque no necesita conocimientos técnicos avanzados por parte del delincuente. Lo que necesita es paciencia y una puerta de entrada, que casi siempre es la misma: un correo corporativo sin doble factor de autenticación.
En las pymes y despachos profesionales de Valencia con los que trabajo —asesorías en el Ensanche, clínicas en Algirós, despachos en Pla del Real, empresas en Campanar o Cuatre Carreres— el patrón se repite. La empresa tiene contratado Microsoft 365 o Google Workspace, tiene sus cuentas de correo configuradas, y todo funciona. Pero nadie ha revisado nunca la configuración de seguridad. Nadie ha activado el MFA. Nadie ha mirado si existen reglas de reenvío en el panel de administración. Y la persona que gestiona las facturas usa la misma contraseña en tres sitios diferentes.
No es dejadez. Es que nadie les ha explicado que esa configuración por defecto es una puerta abierta. Los propios proveedores de correo —Microsoft, Google— ofrecen herramientas de seguridad potentes, pero vienen desactivadas. Y si no tienes un informático que las configure y las mantenga, es como tener una alarma en la oficina pero sin enchufarla nunca.
Hay un detalle adicional que hace que este fraude sea especialmente difícil de detectar: los atacantes no tienen prisa. He visto casos donde la regla de reenvío llevaba semanas activa antes de que se ejecutara el ataque real. Durante ese tiempo, el atacante leía los correos, aprendía la dinámica del despacho, identificaba a los proveedores habituales, y calculaba el mejor momento para actuar. Cuando finalmente alteraban una factura, lo hacían con conocimiento del contexto: sabían quién pagaba, cuánto pagaba, y cuándo pagaba.
Lo primero que hago cuando me llaman: auditoría de reglas de correo
Cuando una empresa me contacta porque sospecha de este tipo de fraude —o cuando lo detecto yo en una revisión de mantenimiento preventivo—, lo primero que hago es ir directamente al panel de administración del correo. No al ordenador del usuario, no al antivirus. Al panel de administración.
En Microsoft 365, la ruta es esta: Centro de administración de Exchange, luego Flujo de correo, luego Reglas. Ahí aparecen todas las reglas de transporte que están activas en la organización. Lo que busco son reglas que reenvíen correos a direcciones externas que nadie reconoce. A veces están bien disfrazadas: nombres como «Archivado automático» o «Backup de correo» que parecen inofensivos pero que en realidad están enviando copia de cada email con adjuntos a una cuenta externa.
También reviso las reglas a nivel de buzón individual. En Outlook Web, cada usuario puede crear sus propias reglas de bandeja de entrada. Un atacante con acceso a una cuenta puede crear una regla que mueva automáticamente ciertos correos a la carpeta de eliminados o que los marque como leídos para que el usuario no los vea. He encontrado reglas que borraban automáticamente los emails de confirmación de reenvío —es decir, el atacante se aseguraba de que el usuario nunca viera la notificación de que su correo estaba siendo reenviado a otro sitio.
En Google Workspace, el proceso es similar pero por otra ruta. Consola de administración, Gmail, Configuración avanzada, y desde ahí revisar las reglas de enrutamiento y los filtros de contenido. A nivel de usuario individual, dentro de Gmail voy a Configuración, Filtros y direcciones bloqueadas, y Reenvío y correo POP/IMAP. En los tres casos de Valencia que mencioné al principio, la regla fraudulenta estaba configurada a nivel de usuario, no de organización. Eso la hacía más difícil de detectar si solo revisabas la consola de administración general.
El segundo paso: cortar el acceso y blindar la entrada
Una vez localizada la regla fraudulenta, la elimino inmediatamente. Pero eso no es suficiente. Si el atacante tiene la contraseña, puede volver a crear la regla en cinco minutos. Lo que hago a continuación es, por este orden exacto:
Primero, cambio la contraseña de todas las cuentas de correo de la organización. No solo la del buzón comprometido. Si el atacante ha tenido acceso durante semanas, puede haber obtenido credenciales de otros buzones desde dentro. Cambio todas las contraseñas y fuerzo el cierre de todas las sesiones activas.
Segundo, activo el doble factor de autenticación en todas las cuentas sin excepción. En Microsoft 365 se hace desde el Centro de administración, Usuarios activos, Autenticación multifactor. En Google Workspace, desde la Consola de administración, Seguridad, Verificación en dos pasos, y se fuerza el cumplimiento para toda la organización. A partir de ese momento, aunque alguien consiga una contraseña, no puede entrar sin el código temporal del teléfono móvil del usuario.
Tercero, reviso los registros de inicio de sesión. Tanto Microsoft 365 como Google Workspace guardan un historial de accesos con dirección IP, ubicación geográfica y dispositivo. Lo que busco son inicios de sesión desde IPs o países que no tienen sentido para una empresa que opera en Valencia. En uno de los tres casos encontré accesos desde Nigeria y Países Bajos. En otro, desde un servidor VPN en Rumanía. Esos registros, además, son evidencia esencial si la empresa decide presentar denuncia.
Cuarto, configuro correctamente los registros SPF, DKIM y DMARC del dominio de la empresa. Esto es algo que debería estar hecho desde el primer día, pero que en la práctica casi nunca está configurado. Lo que hacen estos tres registros, explicado de forma sencilla, es lo siguiente: SPF dice a los servidores de correo del mundo qué servidores tienen permiso para enviar emails en nombre de tu dominio. DKIM firma digitalmente cada correo para que el receptor pueda verificar que no ha sido alterado. Y DMARC establece una política sobre qué hacer cuando un email no supera las comprobaciones de SPF o DKIM. Si un atacante intenta enviar un email suplantando tu dominio, un DMARC bien configurado hace que ese email no llegue nunca a la bandeja de entrada del destinatario.
El paso que nadie hace y que es el más importante: el protocolo humano
Puedo configurar el MFA más robusto del mercado, puedo blindar el DMARC y revisar las reglas de correo cada semana. Pero si la persona que gestiona los pagos de la empresa no tiene un protocolo claro para verificar cambios de cuenta bancaria, el fraude puede seguir funcionando.
En todos los contratos de mantenimiento informático que gestionamos en Valencia, implementamos lo que yo llamo «la regla del primer pago«: si un proveedor te comunica por email un cambio de cuenta bancaria, no transfieras ni un euro sin antes confirmar ese cambio por otro canal. Una llamada telefónica al número que ya tenías guardado —no al que aparezca en el email—, o un mensaje directo de WhatsApp a la persona que conoces. Treinta segundos de verificación que pueden ahorrarte 12.000 euros.
Esto puede sonar a sentido común, y lo es. Pero en el día a día de un despacho profesional, de una asesoría o de una pequeña empresa donde el mismo administrativo lleva la facturación, el correo, la atención al público y mil cosas más, ese momento de comprobación se salta. Se salta porque parece innecesario, porque el email viene del mismo hilo de siempre, porque la factura tiene la misma cabecera de siempre, y porque hay prisa por cerrar el pago.
Precisamente por eso el protocolo tiene que existir como norma escrita, no como buena intención. Si la regla es «antes de pagar a un IBAN nuevo, siempre llamamos por teléfono», se cumple. Si la regla es «ten cuidado con los correos raros», no se cumple nunca.
Un nivel más: firmas digitales y envío seguro de facturas
Para las empresas y despachos con los que trabajo en mantenimiento informático en Valencia —especialmente asesorías, despachos de abogados y clínicas que manejan documentación sensible—, voy un paso más allá de la configuración de seguridad básica del correo.
La primera medida es configurar los sistemas para que las facturas salgan firmadas digitalmente con certificado. Esto significa que si alguien altera un solo carácter del documento después de la firma —incluido el IBAN—, la firma se rompe y el receptor recibe un aviso de que el documento ha sido manipulado. No es una solución perfecta, porque requiere que el receptor sepa interpretar esa verificación, pero añade una capa de protección que hoy por hoy la mayoría de las pymes no tiene.
La segunda medida, más avanzada, es dejar de enviar facturas como adjuntos de correo. Un PDF adjunto es como una postal: cualquiera con acceso al correo puede leerla y modificarla. La alternativa que configuramos en algunos clientes es un enlace a un entorno seguro —un NAS Synology con acceso cifrado, por ejemplo— donde el cliente descarga la factura directamente. El correo solo contiene el enlace y un aviso, nunca el documento. Esto elimina de raíz la posibilidad de que alguien altere el PDF en tránsito.
No todas las empresas necesitan llegar a ese nivel. Para la mayoría de autónomos y pequeñas empresas en Valencia, con el MFA activado, las reglas de correo limpias, el DMARC configurado y el protocolo de verificación de pagos, el riesgo baja al mínimo. Pero para despachos que manejan importes altos de forma recurrente, la inversión en firmas digitales y envío seguro se justifica con un solo fraude evitado.
Checklist: lo que debes hacer hoy mismo en tu empresa
Si después de leer este artículo quieres hacer algo concreto esta misma tarde, estos son los pasos por orden de urgencia. No necesitas un informático para los dos primeros. Los siguientes sí requieren conocimiento técnico o acceso de administrador.
Lo primero y más inmediato: comprueba si tu correo corporativo tiene activado el doble factor de autenticación. Si usas Microsoft 365, ve a tu perfil de seguridad en account.microsoft.com e intenta activar la verificación en dos pasos. Si usas Google Workspace, ve a la configuración de tu cuenta de Google y busca «Verificación en dos pasos». Si no está activada, actívala ahora mismo. Esto solo, sin hacer nada más, cierra la puerta principal por la que entran casi todos los ataques de este tipo.
Lo segundo: revisa tu contraseña de correo corporativo. Si la usas también en algún otro servicio —una tienda online, una red social, un foro, cualquier otra cosa—, cámbiala. Ahora. Y que la nueva sea única para esa cuenta. Las filtraciones de datos de otras plataformas son la forma más habitual de obtener contraseñas que luego se prueban en correos corporativos. Puedes comprobar si tu email ha aparecido en alguna filtración conocida en haveibeenpwned.com, una herramienta creada por un experto en seguridad de Microsoft.
Los siguientes pasos ya requieren acceso de administrador a tu Microsoft 365 o Google Workspace: revisar las reglas de reenvío y los filtros de correo de todos los buzones, configurar los registros SPF, DKIM y DMARC en el DNS del dominio, revisar los registros de inicio de sesión en busca de accesos sospechosos, y establecer un protocolo escrito de verificación de cambios de cuenta bancaria en pagos a proveedores.
Si no tienes un administrador IT ni un servicio de mantenimiento informático que se ocupe de esto, es exactamente el tipo de tarea que hacemos nosotros. No requiere una inversión grande ni un proyecto de meses. Es una revisión que en la mayoría de los casos se resuelve en una o dos sesiones de trabajo, y que a partir de ahí queda integrada en el mantenimiento preventivo.
Dónde hemos intervenido y dónde prestamos este servicio
Los tres casos que he contado en este artículo ocurrieron en un despacho de abogados de Ruzafa, una distribuidora en la zona de Paterna y una asesoría fiscal en el Ensanche de Valencia. Pero este tipo de fraude no entiende de barrios ni de tamaños de empresa. Lo hemos visto en empresas de Campanar, en autónomos que trabajan desde su casa en Torre en Conill, en clínicas de Algirós y en comercios de la zona de Gran Vía y Colón.
Damos servicio de mantenimiento informático y ciberseguridad en toda Valencia ciudad —L’Eixample, Pla del Real, Cuatre Carreres, Avenida de Francia, Blasco Ibáñez, Nou Campanar, Benimaclet, las Cortes Valencianas, Nou Mestalla— y en toda el área metropolitana: L’Eliana, Bétera, San Antonio de Benagéber, Godella, Torre en Conill, Paterna, La Cañada, Rocafort y Náquera.
Si tienes una empresa, un despacho o eres autónomo en cualquiera de estas zonas y no tienes claro si tu correo corporativo está protegido, no esperes a que tu banco te llame por una transferencia sospechosa. Llámanos tú primero.
Preguntas frecuentes sobre el fraude de facturas por email
¿Cómo funciona el fraude del cambio de IBAN en facturas por email?
Los atacantes acceden al correo corporativo de la empresa —normalmente porque no tiene doble factor de autenticación— y crean una regla de reenvío oculta. Cuando detectan un email con una factura adjunta, interceptan el PDF, cambian el número de cuenta IBAN por el suyo, y lo devuelven al hilo de la conversación. La empresa que paga no nota nada raro: el correo parece legítimo, la factura parece real, y el dinero se va a una cuenta en el extranjero que se vacía en horas.
¿Cómo puedo comprobar si mi correo de empresa tiene reglas de reenvío fraudulentas?
En Microsoft 365: accede al Centro de administración de Exchange, ve a Flujo de correo y revisa las Reglas. Busca cualquier regla que reenvíe correos a direcciones externas que no reconozcas. En Google Workspace: entra en la Consola de administración, ve a Gmail, Configuración avanzada, y revisa las reglas de enrutamiento. A nivel de usuario individual, entra en Gmail, Configuración, Reenvío y correo POP/IMAP, y comprueba si hay reenvíos activos que no hayas configurado tú.
¿Qué es el doble factor de autenticación y por qué es tan importante?
El doble factor de autenticación añade una segunda verificación al inicio de sesión: además de la contraseña, necesitas un código temporal que se genera en tu teléfono móvil. Sin MFA, basta con que un atacante obtenga tu contraseña para tener acceso total a tu correo. Con MFA activado, la contraseña sola no sirve de nada. Es la medida de seguridad más efectiva que existe y viene incluida sin coste adicional tanto en Microsoft 365 como en Google Workspace.
¿Puedo recuperar el dinero si ya he pagado una factura con IBAN fraudulento?
Las posibilidades son bajas pero no nulas si actúas con rapidez. El Banco de España recuerda que las transferencias son mandatos irrevocables, pero las entidades tienen la obligación de hacer esfuerzos razonables para intentar recuperar el dinero. Lo que debes hacer: contactar con tu banco inmediatamente para intentar bloquear la operación, presentar denuncia ante la Policía Nacional o Guardia Civil, reportar el incidente al INCIBE llamando al 017, y conservar todos los correos y justificantes como evidencia. Cuanto antes actúes, mejor, pero en la mayoría de los casos el dinero ya ha salido del país en las primeras 24 horas.
¿Cuánto cuesta blindar el correo corporativo de mi empresa?
Activar el MFA en Microsoft 365 o Google Workspace no tiene coste adicional: viene incluido en la licencia. Lo que necesitas es un técnico que lo configure correctamente, que revise las reglas de correo existentes, que configure DKIM, SPF y DMARC en tu dominio, y que forme al equipo sobre cómo identificar correos sospechosos. En un servicio de mantenimiento informático como el nuestro, todo eso forma parte de la cuota mensual. No es un proyecto aparte ni un gasto extraordinario.
No es un problema de tecnología, es un problema de no tener a nadie que se ocupe
Cada vez que intervengo en uno de estos casos, la frase que más escucho es la misma: «no pensábamos que nos pudiera pasar a nosotros». Y es comprensible. Cuando lees sobre ciberataques, piensas en grandes corporaciones, en hackers con capucha y en operaciones complejas. Pero la realidad es que el 70% de los ciberataques en España van dirigidos a pymes y autónomos, según el INCIBE. Y no porque sean objetivos valiosos individualmente, sino porque son objetivos fáciles. Porque nadie ha revisado su configuración de seguridad.
Lo que hago como informático no es instalar software de ciencia ficción. Es configurar correctamente lo que ya tienes, revisar que nadie haya metido las manos donde no debe, y establecer protocolos básicos para que tu equipo sepa qué hacer. Y mantenerlo en el tiempo, porque la seguridad no es un proyecto puntual sino un hábito.
Si tienes una empresa en Valencia y no sabes si tu correo corporativo está protegido contra este tipo de fraude, es probable que no lo esté. Y la diferencia entre estar protegido y no estarlo puede ser una transferencia de 12.000 euros que nunca vas a recuperar.
¿Hablamos? Llámanos al 666 12 36 66 o escríbenos por WhatsApp. Sin centralitas, sin bots, sin esperas. Directamente con quien va a revisar tu sistema y blindarlo.
