Hace apenas unos días, la Guardia Civil hizo público un caso que resume perfectamente uno de los fraudes más comunes contra empresas en España. Una empresa en Pinto, Madrid, y otra en Valencia, pagaron una factura de un proveedor habitual sin ningún problema aparente. El importe era el correcto, el formato era el de siempre, todo parecía en orden. El dinero, 12.000 euros en total, había ido a parar a una cuenta que no era la del proveedor.
Cómo funciona este fraude
Se conoce como fraude del CEO, aunque el nombre confunde un poco porque no hace falta que suplanten a ningún directivo para que funcione. En este caso, según explicó la propia Guardia Civil, los delincuentes accedieron sin permiso a los sistemas informáticos de las empresas afectadas, interceptaron las comunicaciones sobre la factura pendiente y enviaron un correo desde un dominio prácticamente idéntico al del proveedor real, solicitando el pago en un nuevo número de cuenta. La exactitud del importe y de la información comercial hizo que la transferencia se ejecutara sin levantar ninguna sospecha.
Por qué a nadie se le ocurre revisarlo
Este fraude no funciona porque la gente sea despistada. Funciona porque el correo parece perfectamente normal, sin faltas, sin diseño raro, sin ninguna señal visible de alarma. Y porque revisar manualmente cada factura, cada número de cuenta, en una empresa que puede recibir decenas al mes, no es realista ni sostenible.
Según los últimos datos de INCIBE, en 2026 se gestionaron en España más de 122.000 incidentes de este tipo, un 26% más que el año anterior. El caso de Madrid y Valencia no es una excepción, es la norma.
Lo que puedes hacer
Nadie espera que una pyme dedique parte de su jornada a vigilar accesos sospechosos o revisar contraseñas cada semana. Pero hay una diferencia enorme entre no tener tiempo para esto y no hacer absolutamente nada al respecto.
La propia Guardia Civil lo recomienda tras este caso: verificar siempre por una segunda vía de comunicación cualquier cambio de número de cuenta, usando un teléfono ya conocido del proveedor, y desconfiar de cualquier mensaje que meta prisa. A eso se suman medidas que no llevan tanto tiempo como parece: activar la verificación en dos pasos en el correo, revisar de vez en cuando quién ha iniciado sesión y cuándo, y no arrastrar contraseñas de hace años.
Y cuando ni siquiera hay ese tiempo, la alternativa no es resignarse. Existen servicios de mantenimiento IT que se encargan precisamente de esto, con costes mucho más asequibles de lo que la mayoría imagina.
Lo verdaderamente peligroso de este fraude no es lo sofisticado que sea. Es que no avisa antes de llegar, y cuando llega, ya no hay margen para reaccionar.
Fuente: Guardia Civil / Diario de Avisos
