Imagina que llevas meses negociando la compra de una maquinaria industrial para tu empresa y terminas siendo víctima de un fraude de proveedor.. Todo va bien: el proveedor es de confianza, los correos son fluidos y el precio está cerrado. Llega la factura final. El IBAN es diferente al habitual, así que haces lo correcto: pides un certificado bancario para validar el cambio. Lo recibes, lo revisas y todo parece en orden. Autorizas la transferencia de 150.000 euros.
Días después, llamas al proveedor para coordinar la entrega. Su respuesta te hiela la sangre: ¿Qué pago? Nosotros no hemos enviado ninguna factura nueva ni hemos cambiado de cuenta bancaria.
Este no es un caso hipotético. Es un incidente real ocurrido recientemente a una empresa industrial española, y es exactamente el tipo de ataque que analizamos en profundidad en nuestro nuevo ebook: El fraude de los 150.000€: Anatomía de un ataque a proveedores y cómo blindar tu empresa.
El correo corporativo es el nuevo perímetro de ataque
Durante años, la narrativa de la ciberseguridad empresarial ha girado en torno a servidores, cortafuegos y bases de datos. Las inversiones en infraestructura técnica han crecido, y con razón. Pero los ciberdelincuentes han encontrado un camino más fácil, más rentable y, sobre todo, más difícil de detectar: tu bandeja de entrada.
El Business Email Compromise (BEC), y concretamente el fraude de proveedor, se ha convertido en una de las modalidades delictivas con mayor impacto económico a nivel mundial. Solo en 2025, el FBI registró 24.768 denuncias por BEC con más de 3.000 millones de dólares en pérdidas declaradas. En España, INCIBE gestionó en 2024 más de 38.000 incidentes de fraude online, con el phishing encabezando la lista.
Y estos no son ataques dirigidos exclusivamente a grandes corporaciones. Las pymes son un objetivo frecuente, precisamente porque sus controles internos suelen ser más laxos.
Por qué el fraude de proveedor es tan difícil de detectar
Lo que hace especialmente peligroso al fraude BEC es que no necesita hackear nada de tu empresa. Los atacantes comprometen la cuenta de correo del proveedor, observan en silencio durante semanas, aprenden el tono de los mensajes y esperan el momento oportuno: una operación de alto valor en curso.
Cuando interceptan el flujo de comunicación, el correo que te llega con la factura falsificada viene desde la dirección real de tu contacto habitual. El dominio es correcto. La firma DKIM puede ser válida. SPF puede pasar sin problema. Para cualquier filtro de seguridad perimetral, el mensaje es impecable.
Y aquí está la trampa en la que cayó la empresa del caso real: al detectar el cambio de IBAN y pedir un certificado bancario para validarlo, lo hicieron por el mismo canal de correo que ya estaba comprometido. El atacante interceptó esa petición, fabricó el certificado falso y lo envió desde el buzón del proveedor. La empresa lo recibió, lo validó y ejecutó el pago.
La lección más dura del fraude BEC es esta: cuando el correo está comprometido, cualquier validación que hagas por esa misma vía solo sirve para que el atacante te devuelva una mentira mejor elaborada.
No solo en compras: el peligro acecha en todos los departamentos
El fraude de proveedor es solo una de las variantes de este tipo de ataque. Las redes criminales adaptan su estrategia según el departamento más vulnerable en cada momento:
- Fraude del CEO: comprometen o suplantan el correo del director general y ordenan transferencias urgentes y confidenciales al departamento financiero. La presión jerárquica hace el resto.
- Desvío de nómina: se hacen pasar por un empleado legítimo para solicitar un cambio de cuenta bancaria antes del cierre mensual. Al tratarse de un trámite rutinario, raramente levanta sospechas.
- Suplantación de entidades: imitan a la Agencia Tributaria, la Seguridad Social o el bufete de abogados de la empresa para reclamar pagos urgentes bajo amenaza de sanciones.
El denominador común es siempre el mismo: un remitente de confianza, una petición que involucra dinero y una excusa diseñada para que te saltes los procedimientos habituales.
Tres cosas que puedes hacer hoy mismo
Sin entrar en los detalles técnicos que desarrollamos en el ebook, hay tres medidas que cualquier empresa puede activar de forma inmediata:
- La regla de oro de la verificación fuera de banda. Todo cambio de cuenta bancaria debe verificarse siempre mediante una llamada telefónica a un número ya registrado previamente en tu sistema, nunca al teléfono que aparezca en la firma del correo sospechoso. Un minuto de comprobación puede anular meses de espionaje silencioso.
- Autenticación multifactor en el correo corporativo. La gran mayoría de los compromisos de cuenta se podrían evitar con MFA correctamente implementado. Para cuentas con acceso a pagos, lo más recomendable es usar métodos resistentes a phishing como FIDO2 o passkeys, ya que los métodos tradicionales pueden ser eludidos por ataques más sofisticados.
- DMARC en modo rechazo. Si tu dominio no tiene configurada una política DMARC en modo p=reject, estás dejando la puerta abierta a que cualquiera pueda enviar correos suplantando tu empresa. No es una medida compleja, pero marca una diferencia enorme frente al spoofing directo.
Lo que encontrarás en el ebook
Hemos preparado un análisis exhaustivo que va desde la psicología del engaño hasta las implicaciones regulatorias de la Directiva NIS2. Estos son algunos de los capítulos que te esperan:
- La anatomía completa del ataque real, fase por fase, con todos los detalles técnicos y humanos que lo hicieron posible.
- Por qué los filtros técnicos fallan y qué diferencia hay entre un ataque de spoofing y un account takeover real.
- Cómo se falsifica un PDF con la precisión suficiente para engañar a un departamento financiero, y cómo detectarlo antes de que sea demasiado tarde.
- El rastro del dinero: cómo funcionan las redes de cuentas mula y por qué actuar en los primeros minutos es absolutamente determinante para cualquier posibilidad de recuperación.
- Un checklist técnico con puntuación para saber exactamente en qué punto de exposición se encuentra tu empresa ahora mismo.
- El plan de acción paso a paso si el fraude de proveedor ya se ha consumado: qué hacer en los primeros minutos, cómo activar el ciberseguro, cuándo notificar a la AEPD y cómo preservar las evidencias.
- La estrategia completa de prevención estructurada en cuatro pilares: Procesos, Tecnología, Personas y Respaldo.
¿Está tu empresa preparada?
La empresa que perdió los 150.000 euros tenía empleados diligentes que detectaron el cambio de IBAN. Hicieron las preguntas correctas. Pidieron la documentación adecuada. Y aun así cayeron en la trampa, porque no tenían establecido el protocolo de verificación correcto.
La ciberseguridad ha dejado de ser un problema informático para convertirse en un riesgo de negocio. Los atacantes no necesitan vulnerar tu infraestructura si pueden vulnerar la confianza de tu equipo.
Descarga el ebook, analiza el checklist y comprueba dónde están las brechas de tu organización antes de que lo haga alguien con intenciones menos pedagógicas.
[Descargar el ebook gratuito: El fraude de los 150.000€]
En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.
Monitorización y escucha activa
Ponemos nuestras máquinas a escuchar para identificar potenciales fugas de información, campañas de fraude/extorsión y usurpación de identidad que estén en activo, y/o datos expuestos de ti o de tu organización.
Planes de autoridad y Presencia Digital
Ayudamos a organizaciones y particulares a definir la estrategia e implementar acciones digitales que mitiguen los posibles daños reputacionales que pueda sufrir en el futuro.
Gestión de crisis reputacionales
Cuando el mal ya está hecho, establecemos un calendario de acciones para reducir su duración e impacto, y que la organización y/o persona pueda volver a la normalidad lo antes posible.
Ingeniero Biomédico en proceso de convertirse en experto en Ciberseguridad (estudiante de Máster). Con más de 3 años de experiencia asegurando la integridad de sistemas informatizados en entornos regulados (GxP). Apasionado por la tecnología, el compliance y la protección de infraestructuras críticas.
