Ciberseguridad para pymes
Cómo funciona el fraude de facturas falsas por email en pymes, por qué es tan difícil de detectar y qué medidas concretas lo previenen. Sin tecnicismos.
El fraude de facturas falsas por email no requiere hackear nada. Solo requiere que tu dominio no esté bien protegido y que alguien en tu empresa tenga prisa un lunes por la mañana.
En España, el importe medio de este tipo de fraude superó los 60.000 euros por incidente en 2025. Y la mayoría de las empresas que lo sufrieron tienen algo en común: no sabían que existía hasta que les pasó.
La mecánica es sencilla. Por eso funciona.
El atacante estudia a su objetivo durante unos días. Mira la web de la empresa, identifica proveedores habituales, observa el tono de las comunicaciones. Con esa información construye un correo que parece legítimo en todo: el remitente, el logo, la forma de escribir.
El correo llega al responsable de pagos de la empresa víctima. Informa de un cambio de cuenta bancaria. Pide que el próximo pago se haga a la nueva cuenta. El tono es el de siempre, no hay nada que llame la atención.
El responsable tramita el pago. Días o semanas después, al hablar con el proveedor real por otro motivo, descubre que nunca enviaron ese correo.
Nadie ha hackeado nada. Nadie ha robado ninguna contraseña. El atacante simplemente ha enviado un correo haciéndose pasar por el proveedor, algo que es posible cuando el dominio no tiene los protocolos de autenticación correctamente configurados.
Hay tres razones por las que este fraude funciona tan bien.
La primera es que el correo llega en un momento de normalidad. No es un mensaje urgente ni alarmante. Es una comunicación rutinaria sobre un cambio administrativo. El tipo de cosa que se procesa sin pensarlo demasiado.
La segunda es que el remitente parece correcto. No siempre es idéntico al real, a veces hay una letra cambiada o un dominio ligeramente diferente, pero en una lectura rápida pasa desapercibido. Y en el móvil, donde la mayoría lee el correo ahora, el dominio completo del remitente ni siquiera se ve por defecto.
La tercera es que no hay señales de alarma técnicas. No es un correo con adjuntos sospechosos ni con enlaces raros. Es texto plano con una petición concreta. Los filtros de spam no lo detectan porque no tiene ninguna de las características que buscan.
El atacante se hace pasar por un proveedor habitual de la empresa. Cambia los datos bancarios de una factura o avisa de un “cambio de cuenta”. Es el caso más frecuente y el que tiene un ciclo más corto: desde el correo hasta el pago pueden pasar horas.
El atacante se hace pasar por el máximo responsable de la empresa y pide una transferencia urgente a alguien del equipo financiero. Suele ir acompañado de un argumento de confidencialidad para evitar que se hagan comprobaciones. “Es para cerrar una operación, no lo comentes con nadie todavía.”
Este segundo tipo es más elaborado y suele implicar importes más altos. En algunos casos el atacante ha estado observando las comunicaciones internas durante semanas antes de actuar.
| Ataque al proveedor | Ataque al CEO | |
|---|---|---|
| Quién suplanta | Un proveedor habitual | El CEO o dirección |
| Pretexto | Cambio de cuenta bancaria | Transferencia urgente y confidencial |
| Objetivo | Responsable de pagos | Equipo financiero |
| Señal de alerta | Cambio de datos bancarios por email | Urgencia y petición de confidencialidad |
| Cómo verificarlo | Llamar al proveedor al número conocido | Confirmar con el CEO por otro canal |
Hay dos tipos de medidas: las técnicas y las de proceso. Las dos son necesarias porque se complementan.
Configurar SPF, DKIM y DMARC en el dominio
Son los tres protocolos que evitan que alguien pueda enviar correos haciéndose pasar por tu empresa. Si están bien configurados, los servidores de correo de tus proveedores y clientes pueden detectar y rechazar los correos fraudulentos que usen tu dominio.
Si quieres entender en detalle cómo funcionan, lo explicamos en el post anterior: DMARC, DKIM y SPF: protege tu email de la suplantación.
Activar el doble factor en todas las cuentas de correo
Si el atacante ha conseguido acceder a una cuenta de correo real para operar desde ella, el doble factor es lo que impide que entre aunque tenga la contraseña.
Verificar cualquier cambio de datos bancarios por otro canal
Esta es la medida más efectiva y no requiere ningún conocimiento técnico. Ante cualquier correo que informe de un cambio de cuenta bancaria, una llamada de confirmación al número que ya tienes guardado, no al que aparece en el correo, lo resuelve todo.
Treinta segundos de verificación evitan el 100% de este tipo de fraude.
Establecer un protocolo para transferencias por encima de cierto importe
Cualquier pago por encima de un umbral definido requiere confirmación por un segundo canal. No hace falta que sea un proceso complejo: basta con una llamada o un mensaje por el chat interno antes de ejecutar.
Formar al equipo en las señales de alerta
El responsable de pagos que sabe que este tipo de fraude existe y que conoce las señales concretas tiene muchas más probabilidades de frenar antes de actuar. Un cambio de datos bancarios por email, una petición de confidencialidad inusual, una urgencia que no viene a cuento: son patrones reconocibles cuando alguien los conoce.
Si el fraude ya se ha producido, la velocidad de reacción es lo que más importa.
Lo primero es contactar con el banco para intentar detener la transferencia. Cuanto antes se notifique, más posibilidades hay de recuperar el dinero, aunque el margen es estrecho.
Lo segundo es presentar denuncia ante las autoridades. En España, la Policía Nacional y la Guardia Civil tienen unidades especializadas en ciberdelitos. La denuncia es necesaria también para cualquier reclamación posterior al seguro si se tiene contratado un ciberseguro.
Lo tercero es revisar cómo ha podido ocurrir para cerrar las brechas que lo han permitido. Sin ese análisis, el mismo problema puede repetirse.
En la mayoría de diagnósticos que hacemos a ecommerces y agencias encontramos al menos una de estas situaciones: el dominio no tiene DMARC configurado, no existe ningún protocolo de verificación para cambios de datos bancarios, o el equipo nunca ha oído hablar de este tipo de fraude.
Las tres tienen solución sencilla. El problema es que nadie lo había revisado.
El fraude de facturas falsas por email no es sofisticado. Es efectivo porque nadie espera que pase. Conocerlo es ya la mitad de la protección.
La forma más rápida es comprobar si tu dominio tiene DMARC configurado. Busca "comprobador DMARC" en Google, pon tu dominio y en segundos sabes si estás protegido. Si el resultado dice que no tienes DMARC o que está en modo "none" sin política definida, cualquiera puede suplantar tu dominio.
Depende de la velocidad de reacción. Si se notifica al banco en las primeras horas, hay posibilidades de detener la transferencia. Pasadas 24 o 48 horas las posibilidades se reducen drásticamente. En cualquier caso, presentar denuncia es el paso necesario para cualquier reclamación posterior.
Todo lo contrario. Las pymes son el objetivo más frecuente precisamente porque suelen tener menos protocolos de verificación y menos recursos dedicados a seguridad. El importe medio por incidente en pymes españolas superó los 60.000 euros en 2025.
No. Este tipo de fraude no usa malware ni archivos maliciosos. Es ingeniería social pura: un correo de texto plano con una petición concreta. Los antivirus no lo detectan porque no hay nada técnicamente malicioso que detectar.
El phishing busca que hagas clic en un enlace o que introduzcas tus credenciales en una página falsa. El fraude de facturas falsas busca que ejecutes una transferencia. Son mecanismos distintos aunque ambos usan el correo como vector de entrada. En el post sobre cómo reconocer un correo de phishing explicamos las señales específicas de cada tipo.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
