Fraude en pagos a proveedor
Un proveedor te pide cambiar su número de cuenta. ¿Cómo sabes que es él?
Llega un correo de un proveedor de siempre. Cambian de banco, te pasan el número nuevo, adjuntan la factura. Todo encaja: el nombre, el CIF, el formato de siempre, incluso el tono. Lo único distinto son veinticuatro dígitos que nadie compara con nada. Es el fraude más rentable que existe contra un departamento de administración, y la comprobación que lo para cabe en una línea.
Publicado el 19 de septiembre de 2026 · 8 min de lectura
En resumen
El fraude del cambio de cuenta funciona por un motivo incómodo: casi nada de lo que ves es falso. El proveedor existe, la factura suele ser real, el importe cuadra con un pedido que hiciste. Lo único que ha cambiado son veinticuatro dígitos, y esos veinticuatro dígitos no se comparan con nada porque nadie ha decidido que haya que compararlos.
Por eso no se arregla con formación ni pidiendo más atención. Se arregla con una comparación automática: el número de cuenta que llega frente al que ya tenías en ficha, antes de que la factura entre en el circuito de pago. Sin modelo, sin probabilidades, sin falsos positivos por interpretación. Una comparación, hecha siempre, sobre todas.
Lo que hay que retener
- El atacante no suplanta al proveedor: aprovecha que ya te fías de él. Solo cambia el destino del dinero.
- Tu ERP se fía del documento, no de tu ficha maestra. Ese es el agujero, y es de diseño, no un fallo.
- La detección es determinista y cuesta una comparación. Lo caro no es detectarlo: es no haber decidido que alguien lo compare.
- Un proveedor sin cuenta en ficha también tiene que parar la factura. No se puede verificar lo que no se puede comparar.
- La confirmación por teléfono vale, pero solo al número que tienes tú. El del correo lo puso quien escribió el correo.
Por qué el correo cuela
Casi todo el material que se publica sobre este fraude describe correos torpes: faltas de ortografía, urgencia artificial, dominios raros. Los que funcionan no son así. El atacante lleva semanas dentro de un buzón —el del proveedor, casi siempre, no el tuyo— leyendo cómo escribís, qué pedidos hay abiertos y cuándo se factura. El correo que te llega está en el hilo correcto, cita tu número de pedido y llega el día que tocaba.
Y el remitente puede ser el de verdad. Si la cuenta del proveedor está comprometida, no hay dominio que revisar ni cabecera que analizar: el correo es auténtico y lo único falso son los dígitos. Cualquier control que dependa de que una persona «se dé cuenta» está apostando contra alguien que ha tenido más tiempo para preparar ese correo que tú para leerlo.
Por qué tu ERP no lo ve
No es un defecto del ERP: es su ámbito. Un ERP resuelve muy bien lo que ocurre dentro del ERP, y lo que ocurre aquí es un dato que llega de fuera —un PDF, un correo, un portal— y que entra como si fuera verdad porque quien lo trae es un proveedor que ya está dado de alta. El sistema comprueba que el proveedor existe; no comprueba que el destino del dinero sea el mismo de siempre.
El resultado es una asimetría curiosa: para dar de alta a un proveedor nuevo suele haber un procedimiento, con documentación y con alguien que lo aprueba. Para cambiar la cuenta de uno que ya existe normalmente no hay nada — y es exactamente la misma decisión, con el mismo efecto sobre el dinero.
Qué comprobar, en orden
- 1
Normaliza antes de comparar
Quita espacios, pasa a mayúsculas y valida el dígito de control del IBAN. Sin esto, el mismo número escrito con espacios distintos parece dos números distintos y tu comparación produce alarmas falsas — que es la forma más rápida de que alguien desactive el control.
- 2
Compara contra la ficha, no contra la factura anterior
La ficha del proveedor es la fuente de verdad. Comparar contra «la última factura» es peligroso: si la anterior ya venía manipulada, estarías validando el fraude contra sí mismo.
- 3
Para también cuando no hay nada con qué comparar
Un proveedor sin cuenta en ficha no es un caso neutro: es un caso sin verificar. Tratarlo como si estuviera bien es la puerta por la que entra un alta falsa.
- 4
Verifica por un canal que no sea el del correo
Llama al teléfono de la ficha. Si no hay teléfono en la ficha, ese es el primer problema que hay que arreglar, y no el de hoy.
- 5
Deja constancia de quién lo aprobó
Un cambio de cuenta aprobado por teléfono y sin registro es indistinguible de un cambio de cuenta que nadie aprobó. Quien lo autorice tiene que quedar escrito, con la cuenta vieja y la nueva delante en el momento de decidir.
Dónde falla el control cuando existe
Hay empresas que sí tienen la comprobación, y aun así el fraude pasa. Los tres motivos que más se repiten no son técnicos:
La alarma llega a quien no decide. Si el aviso cae en un buzón compartido o en un informe semanal, el pago ya ha salido. Tiene que llegar a una persona concreta y antes del pago, no después.
La alarma no trae el dato. «Revisar factura 4471» no es una alarma, es una tarea. Quien decide necesita ver las dos cuentas, el histórico del proveedor y el importe en juego en la misma pantalla; si tiene que abrir tres sistemas para entenderla, la mira el jueves.
La excepción se vuelve rutina. Un control que salta cincuenta veces por semana y cuarenta y nueve son ruido deja de leerse. Por eso importa tanto normalizar bien: cada falso positivo gasta la credibilidad del control de verdad.
Qué hace Pliuz con esto, y qué no
Esta comprobación es, a día de hoy, la parte del producto que está construida y en producción, y la única de este artículo que podemos enseñarte funcionando en una llamada. Pliuz lee la cuenta que llega, la normaliza, la compara con la que hay en la ficha del proveedor, y si no coinciden para la operación y se la manda a una persona con las dos cuentas delante y el importe a la vista. Quien autoriza es una regla que escribes tú, no un modelo.
Lo que no hacemos: decirte que esto elimina el fraude. Elimina la clase concreta de fraude que se apoya en que nadie compara, que es la más frecuente y la más barata de cerrar. Un proveedor comprometido que te factura servicios que no ha prestado no lo detecta ninguna comparación de IBAN, y decir lo contrario sería vender humo.
Preguntas frecuentes
¿Qué es el fraude del cambio de cuenta bancaria de un proveedor?
Alguien se hace pasar por un proveedor tuyo —normalmente por correo, a veces con una factura real interceptada— y pide que a partir de ahora los pagos vayan a otra cuenta. El nombre, el CIF y el formato del documento son correctos porque casi siempre lo son de verdad: lo único falso es el número de cuenta. Cuando administración procesa la factura, el dinero sale hacia la cuenta del atacante. El fraude se descubre semanas o meses después, cuando el proveedor real pregunta por qué no le han pagado.
¿Por qué no lo detecta mi ERP?
Porque la mayoría de los ERP se fían del número de cuenta que viene en el documento y no lo contrastan con el que ya tienen en la ficha del proveedor. La suposición es que si la factura viene de un proveedor conocido —CIF que coincide, código que coincide— los datos de pago que trae serán correctos. Esa suposición es el agujero: el atacante no necesita falsificar la identidad del proveedor, solo cambiar veinticuatro dígitos en un documento que por lo demás es auténtico.
¿Cómo se detecta un cambio de cuenta?
Con una comparación: se normaliza el IBAN que llega en la factura o en el correo —quitar espacios, pasar a mayúsculas, validar el dígito de control— y se compara con el que hay guardado en la ficha del proveedor. Si son distintos, la factura no se paga: se para y la mira una persona. Y si NO hay ninguno en ficha, también se para, porque no se puede verificar lo que no se puede comparar. Es determinista: mismas entradas, mismo resultado, siempre.
¿Sirve llamar al proveedor para confirmarlo?
Sí, y es la mejor verificación que existe, con una condición que casi nadie cumple: hay que llamar al teléfono que tienes tú en la ficha, no al que viene en el correo. Un atacante que ha preparado el correo también ha puesto un teléfono. Llamar al número del correo confirma el fraude con el defraudador.
¿Esto solo pasa con proveedores grandes?
Al revés. Los importes que mejor funcionan para el atacante son los que no llaman la atención: los que caben dentro de lo que una persona aprueba sin consultar. Un proveedor recurrente de importe medio es un objetivo mejor que uno grande, porque su factura no despierta a nadie.
¿Qué hago si creo que ya ha pasado?
Avisa a tu banco de inmediato: si el pago es reciente hay una ventana real para intentar recuperarlo, y se estrecha por horas. Después, avisa al proveedor real por un canal que no sea el correo de la conversación, y revisa si ese mismo remitente ha tocado otras fichas. Un cambio de cuenta rara vez viene solo.
Seguir leyendo
El otro punto ciego estructural: cada factura pasa el límite por separado, juntas no. Nadie ve la suma porque nadie mira la ventana.
Dos sesiones para medir cuántas horas al mes se van persiguiendo incidencias entre tus sistemas. Si no llegan a 40, te lo decimos y no hay proyecto.
La versión en inglés de este tema, escrita para equipos de ingeniería que integran agentes. Es de una etapa anterior de Pliuz.