Tips de ciberseguridad para empresas del metal: 2. Ojo con las facturas: el cambio de número de cuenta

mayo, 2026

El ataque que intercepta tus facturas y desvía el dinero sin que te des cuenta

Llevas años trabajando con el mismo proveedor de chapa. Cada mes recibes su factura, la revisas y haces la transferencia. Pero esta vez, sin que nadie lo note, alguien ha cambiado el número de cuenta. El dinero se va… y no precisamente a tu proveedor.

¿Qué está pasando?

Se llama «compromiso del correo electrónico empresarial» (o BEC, por sus siglas en inglés). Los atacantes consiguen acceder al correo de tu proveedor, de tu cliente o incluso del tuyo propio. Una vez dentro, esperan pacientemente a que se envíe una factura y la modifican: cambian únicamente el número de cuenta bancaria. Todo lo demás —el logo, la referencia, los importes— queda idéntico.

¿Por qué funciona tan bien en nuestro sector?

Las empresas del metal trabajan con proveedores habituales, con relaciones de años. Cuando llega una factura de alguien conocido, no se examina con lupa cada dato. Además, muchas pymes no tienen un procedimiento formal para verificar cambios de datos bancarios: se confía en que la factura viene por el canal de siempre.

También pasa con las nóminas

Hay otra variante cada vez más común: un supuesto empleado envía un correo a recursos humanos o administración pidiendo que le cambien el número de cuenta para la próxima nómina. El correo parece suyo, el tono es normal, pero la cuenta es de los atacantes.

Un caso que podría ser el tuyo

Tu empresa de calderero recibe la factura mensual de su proveedor de acero inoxidable. El PDF parece exactamente igual que siempre: mismo logo, misma referencia, mismo importe. Pero el IBAN ha cambiado. La persona de administración hace la transferencia como cada mes. Dos semanas después, el proveedor llama preguntando por qué no ha recibido el pago. Los 18.000€ ya no se pueden recuperar.

¿Qué puedes hacer desde hoy?

Verifica siempre por teléfono cualquier cambio de número de cuenta, tanto de proveedores como de empleados. Usa el teléfono que ya tienes guardado, nunca el que aparezca en el correo.
Revisa el IBAN antes de confirmar cada pago. Compáralo con el que tenías registrado en tu sistema.
Revisa el remitente del correo con calma. Muchas veces cambia una sola letra o el dominio es ligeramente distinto (por ejemplo, @proveedor-acero.com en vez de @proveedoracero.com).
Establece una política clara: cualquier cambio de datos bancarios requiere confirmación telefónica obligatoria.
Si ya has hecho la transferencia y sospechas, contacta inmediatamente con tu banco. Cuanto antes actúes, más posibilidades hay de recuperar el dinero.