¿Envías o recibes facturas por correo electrónico en tu empresa? Es rápido y cómodo, pero también deja tu tesorería totalmente expuesta al fraude.
El fraude del IBAN y los ataques de interceptación de correo (conocidos en el ámbito de la ciberseguridad como Business Email Compromise o BEC) se han convertido en una pesadilla recurrente para directivos, directores financieros y responsables de ciberseguridad.
Según el informe anual IC3 Internet Crime Report del FBI, durante 2025 las estafas relacionadas con el correo corporativo alcanzaron los 2.900 millones de dólares (un 10% más que en el mismo periodo del año anterior). Dentro de este terreno, la interceptación de transferencias y facturas es la modalidad más habitual y lucrativa para los ciberdelincuentes.
¿Cómo consiguen los ciberdelincuentes cambiar el IBAN?
La mecánica de esta estafa destaca por su sencillez. El ciberdelincuente roba las credenciales de un empleado mediante phishing y accede a su buzón. Una vez dentro, lee las conversaciones, detecta facturas pendientes y responde en el mismo hilo con un PDF modificado o nuevas instrucciones de pago.
En otros casos, suplanta al proveedor desde una dirección casi idéntica o compromete la cuenta de una de las partes. Cambia el IBAN y espera a que administración procese la factura como siempre. El mensaje encaja en una conversación real y puede superar una revisión rápida.
¿Por qué el correo electrónico convencional es una postal abierta?
Para entender por qué resulta tan sencillo alterar una factura en tránsito, hay que analizar la tecnología que utiliza el correo convencional. El protocolo SMTP fue desarrollado en una época en la que la red era un entorno académico basado en la confianza mutua y la ciberdelincuencia comercial no existía.
Enviar una factura mediante un correo electrónico tradicional equivale, en términos de seguridad financiera, a enviar un cheque dentro de una postal de papel.
El correo estándar viaja entre servidores sin una protección inherente en el propio contenido. Aunque la conexión entre tu ordenador y tu proveedor de correo esté cifrada mediante protocolos TLS, el mensaje guardado en los servidores intermedios o el archivo adjunto en tránsito siguen estando expuestos si un tercero logra acceso al flujo de red o a los servidores de correo.
Además, SMTP no impide por sí solo la suplantación de identidad por lo que los ciberdelincuentes pueden enviar facturas en tu nombre sin que el receptor lo note.
Cifrado de extremo a extremo: el escudo definitivo para tu tesorería
Frente a las vulnerabilidades del correo electrónico convencional, la única forma de garantizar que una factura no sea alterada entre el emisor y el receptor consiste en aplicar capas de protección basadas en cifrado de extremo a extremo (End-to-End Encryption o E2EE).
Cuando una empresa utiliza un servicio de correo cifradoy diseñado para entornos corporativos, el contenido del mensaje y los archivos adjuntos viajan protegidos frente a accesos no autorizados. Solo el destinatario legítimo tiene la clave de descifrado y puede abrir el archivo y visualizar los datos bancarios.
A este blindaje se suma la correcta autenticación del dominio mediante protocolos como SPF, DKIM y DMARC. Estas tecnologías verifican que el remitente es quien dice ser, impidiendo que los ciberdelincuentes puedan suplantar el dominio de tu empresa y enviar facturas falsas a tus clientes en tu nombre.
Cuatro medidas básicas para proteger el flujo de cobros de tu negocio
Para evitar sustos con los cobros, conviene tomar algunas precauciones. Estas cuatro medidas te ayudarán a proteger tu negocio.
· Adopta el correo cifrado para el departamento financiero: esto garantiza que el envío de facturas, presupuestos y datos bancarios está protegido frente a cualquier intento de manipulación.
· Activa la autenticación multifactor: especialmente en cuentas de dirección y administración.
· Configura SPF, DKIM y DMARC en el dominio corporativo para dificultar la suplantación.
· Establece protocolos de doble verificaciónpara pagos de importe elevado y para dar de alta proveedores o modificar sus datos bancarios.
¿Qué hacer si sospechas de una factura manipulada?
Detén el pago y confirma los datos por un canal independiente. Si la transferencia ya se ha realizado, contacta de inmediato con el banco para intentar recuperarla, conserva el correo original y los adjuntos y avisa a los equipos de finanzas y seguridad. La rapidez puede marcar la diferencia.
