Descubrir que hemos realizado una transferencia bancaria después de recibir un correo electrónico falso que suplantaba a uno de nuestros proveedores exige actuar con rapidez. En este tipo de fraude, las primeras horas pueden ser determinantes para intentar localizar y recuperar el dinero antes de que los fondos sean enviados a otras cuentas.
En Barcelona Penal somos abogados especializados en Derecho Penal y tenemos experiencia asesorando a empresas y particulares ante estafas, delitos económicos y fraudes cometidos mediante medios tecnológicos. Uno de los ataques más relevantes en el ámbito empresarial es el denominado fraude BEC, por las siglas inglesas de Business Email Compromise.
El problema es que no siempre recibimos un correo claramente fraudulento. Los delincuentes pueden conocer una factura auténtica, el importe pendiente, los nombres de las personas que intervienen e incluso el contenido de conversaciones anteriores. Por ello, cuando el dinero ya se ha enviado, debemos coordinar desde el primer momento la actuación bancaria, la conservación de las pruebas y la estrategia penal.
Respuesta rápida: si hemos realizado una transferencia a una cuenta falsa después de recibir un correo que suplantaba a nuestro proveedor, debemos comunicar el fraude inmediatamente al banco, pedir que active las gestiones disponibles para intentar recuperar los fondos, confirmar el cambio de IBAN mediante un canal independiente, conservar el correo original y toda la documentación y preparar la denuncia cuanto antes. La recuperación no es automática y dependerá, entre otros factores, de dónde se encuentre el dinero, de cómo se autorizó la operación y de las actuaciones bancarias y judiciales que puedan realizarse.
Qué es el fraude BEC o fraude por suplantación de proveedor
El fraude BEC es una modalidad de ciberdelincuencia en la que los autores manipulan una comunicación empresarial para conseguir que realicemos un pago a una cuenta distinta de la verdadera.
Si has transferido dinero tras recibir un correo falso de un proveedor, cada hora cuenta. Contacta ahora con nuestros abogados penalistas y te explicamos qué pasos dar de inmediato para intentar recuperar los fondos y proteger tus derechos.
Una de las modalidades más habituales consiste en hacerse pasar por un proveedor con el que existe una relación comercial real y comunicar un supuesto cambio de cuenta bancaria justo antes de que vayamos a pagar una factura.
Cómo consiguen que el correo parezca auténtico
Los autores pueden registrar una dirección casi idéntica a la del proveedor o, en ataques más sofisticados, conseguir acceso ilícito a una cuenta de correo verdadera.
Si han tenido acceso a las comunicaciones pueden conocer facturas pendientes, fechas, cantidades, responsables de administración e incluso el tono con el que las dos empresas suelen comunicarse.
Cuando llega el momento adecuado, recibimos un correo aparentemente normal comunicando un nuevo IBAN para realizar el pago. Ejecutamos la transferencia creyendo que estamos pagando al proveedor, pero el dinero termina en una cuenta controlada directa o indirectamente por los delincuentes.
Por qué un fraude BEC puede ser difícil de detectar
A diferencia de un correo de phishing genérico, un ataque BEC bien preparado puede no contener faltas de ortografía, amenazas evidentes ni enlaces sospechosos.
En nuestra experiencia, debemos prestar especial atención cuando el mensaje conoce información que únicamente deberían conocer las partes. Una factura auténtica, una cantidad exacta o la continuación de una conversación real pueden indicar que no estamos ante una simple imitación del dominio, sino ante un posible compromiso de alguna de las cuentas de correo.
Esta diferencia resulta importante tanto para la investigación penal como para determinar qué medidas de seguridad y obligaciones adicionales debemos analizar.
Qué hacer urgentemente si ya hemos enviado el dinero
Cuando descubrimos que la transferencia ha terminado en una cuenta fraudulenta no recomendamos esperar a tener toda la documentación preparada. Las gestiones bancarias deben comenzar de inmediato mientras conservamos las pruebas y preparamos el resto de actuaciones.
Paso 1: contactar inmediatamente con nuestro banco
Debemos comunicar a la entidad bancaria que hemos realizado una transferencia como consecuencia de un fraude y solicitar que active urgentemente los mecanismos disponibles para intentar recuperar los fondos.
En la práctica podemos pedir que nuestra entidad contacte con el banco receptor e inicie la correspondiente gestión de recuperación o recall.
No obstante, debemos evitar una idea equivocada: solicitar la recuperación no significa que tengamos derecho a cancelar automáticamente una transferencia ya ejecutada.
La normativa española de servicios de pago establece determinados deberes de cooperación y esfuerzos razonables para intentar recuperar fondos cuando se ha utilizado un identificador único incorrecto. Por eso recomendamos comunicar el fraude inmediatamente y dejar también constancia escrita de nuestra solicitud.
Paso 2: contactar con nuestro proveedor real
En paralelo debemos hablar con el proveedor utilizando un canal que sepamos que es auténtico. Podemos utilizar, por ejemplo, el número de teléfono que ya figuraba previamente en nuestros registros.
No recomendamos verificar el cambio utilizando únicamente el teléfono incluido en el mismo correo que comunica el nuevo IBAN.
Esta comprobación nos permite confirmar el fraude y empezar a determinar si los delincuentes utilizaron simplemente un dominio falso o si alguna cuenta de correo pudo haber sido comprometida.
Paso 3: conservar el correo original y todas las pruebas
Debemos preservar el correo fraudulento, las conversaciones anteriores, las facturas, los justificantes de transferencia, el IBAN receptor y las comunicaciones mantenidas posteriormente con el banco y el proveedor.
Siempre que sea posible recomendamos conservar también el mensaje en formato .eml o equivalente. Este formato puede mantener las cabeceras completas y otra información técnica que no aparece en una simple captura de pantalla.
Las capturas siguen siendo útiles, pero no recomendamos que sean la única evidencia digital que conservemos.
Paso 4: preparar una denuncia penal suficientemente documentada
Después de activar las primeras gestiones bancarias debemos preparar la denuncia.
En Barcelona podemos acudir a los Mossos d'Esquadra y también a los demás cuerpos policiales competentes. Dependiendo de las circunstancias del asunto puede valorarse igualmente la actuación ante el juzgado correspondiente.
Desde nuestra experiencia, una denuncia por fraude BEC no debería limitarse a afirmar que hemos sufrido una estafa. Conviene aportar una cronología clara, identificar los correos y dominios utilizados, acompañar la factura y el justificante de pago y facilitar todos los datos que tengamos sobre la cuenta receptora.
Cuando la pérdida económica es importante, consideramos especialmente útil preparar desde el principio una documentación que permita entender rápidamente cómo se produjo el engaño y cuál fue el recorrido inicial del dinero.
Paso 5: valorar también la asistencia de INCIBE
El Instituto Nacional de Ciberseguridad (INCIBE) dispone de la Línea de Ayuda en Ciberseguridad 017 y ofrece orientación también a empresas y profesionales.
INCIBE ha documentado específicamente casos de fraude BEC relacionados con facturas y cambios fraudulentos de cuentas bancarias. Su asistencia no sustituye nuestra denuncia ni la estrategia jurídica, pero puede ser útil para gestionar determinados aspectos técnicos del incidente.
Cómo intentar recuperar el dinero de una transferencia fraudulenta
No existe un mecanismo que garantice por sí solo la devolución del dinero. Nosotros recomendamos analizar simultáneamente la vía bancaria y la vía penal.
La recuperación bancaria debe intentarse inmediatamente
Nuestra entidad puede contactar con el banco receptor y realizar las gestiones destinadas a intentar recuperar los fondos.
El artículo 59 del Real Decreto-ley 19/2018 establece que, cuando se ha facilitado un identificador único incorrecto, el proveedor de servicios de pago del ordenante debe realizar esfuerzos razonables para intentar recuperar el dinero y el proveedor del beneficiario debe cooperar en esos esfuerzos.
Esto no significa que cualquier transferencia pueda revertirse unilateralmente. Por ello debemos diferenciar entre el procedimiento para intentar recuperar los fondos y un supuesto derecho automático al reembolso.
Qué ocurre si el banco no consigue recuperar el dinero
El propio artículo 59 contiene una previsión especialmente interesante y que muchas víctimas desconocen.
Cuando no resulta posible recuperar los fondos mediante las gestiones previstas, nuestra entidad debe facilitarnos, previa solicitud por escrito, la información pertinente de la que disponga para que podamos ejercer una reclamación legal destinada a recuperar el dinero.
Desde nuestra perspectiva, esta es otra razón para no limitar el contacto con el banco a una simple llamada telefónica. Recomendamos conservar documentalmente todas las solicitudes y respuestas.
Cuando el dinero ya se ha movido, la vía penal gana importancia
Los delincuentes pueden retirar los fondos o transferirlos rápidamente hacia nuevas cuentas. En ese momento, el problema deja de consistir únicamente en recuperar el dinero de la primera cuenta receptora.
La investigación puede requerir identificar titulares, solicitar movimientos bancarios y reconstruir el recorrido seguido por los fondos.
En nuestra experiencia, uno de los errores que debemos evitar es esperar varios días confiando exclusivamente en que el banco resolverá la situación. La actuación bancaria y la penal deben coordinarse desde el principio cuando la entidad del fraude lo justifique.
Puede existir responsabilidad del banco en un fraude BEC
Una de las primeras preguntas que solemos plantearnos después del fraude es si la entidad bancaria debe asumir la pérdida.
No recomendamos dar una respuesta automática. Debemos conocer exactamente cómo se realizó la transferencia y qué información recibió el ordenante antes de confirmarla.
Una transferencia autorizada bajo engaño no es igual que una operación no autorizada
Debemos diferenciar entre una transferencia realizada sin nuestro consentimiento y una operación que nosotros mismos autorizamos porque un tercero consiguió engañarnos.
Esta diferencia tiene consecuencias importantes al analizar el régimen de responsabilidad de las entidades de pago.
La STS 1733/2025 analizó precisamente un correo con un IBAN fraudulento
Existe jurisprudencia reciente especialmente interesante para este tipo de casos.
La Sentencia del Tribunal Supremo 1733/2025, de 27 de noviembre, analizó un supuesto en el que una empresa realizó dos transferencias al IBAN indicado en un correo electrónico enviado por un tercero que había suplantado la identidad del proveedor real.
El Tribunal Supremo concluyó, atendiendo a la normativa aplicable y a las circunstancias de aquella operación, que la entidad receptora que había ejecutado la transferencia conforme al IBAN facilitado no debía responder por no comprobar adicionalmente que el nombre del beneficiario coincidiera con el titular de la cuenta.
Para nosotros esta sentencia aporta una enseñanza importante: no podemos asumir que la mera diferencia entre el nombre del proveedor y el titular del IBAN convierte automáticamente al banco en responsable.
Pero también debemos tener presente un dato fundamental: las transferencias analizadas en aquella sentencia se realizaron en 2019. El entorno normativo de las transferencias actuales ha cambiado.
La verificación del beneficiario cambia el análisis desde octubre de 2025
Desde el 9 de octubre de 2025, los proveedores de servicios de pago deben ofrecer gratuitamente la denominada verificación del beneficiario en las transferencias en euros.
Antes de ejecutar la operación, el sistema comprueba la correspondencia entre el nombre que indicamos como beneficiario y el titular asociado al IBAN.
El resultado puede indicar coincidencia, coincidencia aproximada, falta de coincidencia o imposibilidad de realizar la verificación.
Este cambio es especialmente relevante cuando estudiamos un fraude BEC ocurrido en 2026. Debemos revisar qué resultado apareció antes de aprobar la transferencia, qué advertencia recibimos y si la operación continuó pese a existir una discrepancia.
Consideramos que este elemento tendrá una importancia creciente en las reclamaciones relacionadas con cambios fraudulentos de IBAN. No convierte automáticamente al banco en responsable, pero tampoco podemos analizar hoy una transferencia como si este sistema de comprobación no existiera.
Cómo analizar si el correo del proveedor era falso
La investigación del correo puede ayudarnos a acreditar cómo se produjo la suplantación y, en determinados casos, a identificar si alguna cuenta fue comprometida.
Debemos revisar el dominio completo del remitente
Una diferencia de una sola letra puede pasar fácilmente inadvertida. Los delincuentes pueden sustituir caracteres visualmente similares, añadir guiones, utilizar subdominios o registrar extensiones diferentes.
Por ello recomendamos comparar la dirección sospechosa con correos auténticos anteriores y no únicamente con el nombre que aparece visualmente como remitente.
Las cabeceras técnicas pueden aportar información relevante
Las cabeceras del correo electrónico contienen información sobre el recorrido del mensaje y determinados mecanismos de autenticación, entre ellos SPF, DKIM y DMARC.
Estos elementos pueden resultar útiles para un análisis técnico. Sin embargo, no recomendamos concluir que un mensaje es auténtico o fraudulento basándonos únicamente en que una de estas comprobaciones haya resultado positiva o negativa.
Debemos analizar conjuntamente el dominio, las cabeceras, el contenido del mensaje, las conversaciones anteriores y el resto de la evidencia disponible.
Que el correo conozca una factura real puede ser especialmente significativo
Si el supuesto proveedor conoce exactamente una factura pendiente, un importe, un concepto o una conversación que no era pública, debemos estudiar cómo obtuvo esa información.
Puede existir un compromiso de la cuenta del proveedor, de nuestra propia cuenta o de otro sistema desde el que los delincuentes hayan podido acceder a la documentación.
Esta circunstancia puede cambiar de forma importante el enfoque de la investigación.
Qué delitos pueden existir en un fraude BEC
No todos los fraudes BEC tienen que recibir exactamente la misma calificación penal. Nosotros analizamos cómo se consiguió el desplazamiento patrimonial y qué actuaciones informáticas se realizaron antes de determinar los tipos que pueden resultar aplicables.
Estafa mediante engaño del artículo 248 del Código Penal
El artículo 248 del Código Penal regula actualmente la estafa cometida por quien, con ánimo de lucro, utiliza un engaño bastante para producir error en otra persona e inducirla a realizar un acto de disposición patrimonial en perjuicio propio o ajeno.
Este encaje puede resultar especialmente relevante cuando somos nosotros quienes ordenamos voluntariamente la transferencia porque creemos que estamos siguiendo las instrucciones auténticas de nuestro proveedor.
El tipo básico establece una pena de seis meses a tres años de prisión, sin perjuicio de las circunstancias agravantes que puedan concurrir.
Modalidades de estafa informática del artículo 249
Debemos tener en cuenta una modificación importante respecto de muchos contenidos jurídicos antiguos disponibles en Internet.
Las modalidades de estafa vinculadas a determinadas manipulaciones informáticas se encuentran actualmente en el artículo 249 del Código Penal, y no en el antiguo artículo 248.2.
Entre otros supuestos, el artículo 249 contempla la utilización de interferencias, alteraciones de datos u otras manipulaciones informáticas o artificios semejantes para conseguir una transferencia no consentida de activos patrimoniales.
Por este motivo no recomendamos etiquetar automáticamente cualquier BEC como “estafa informática”. Primero debemos conocer cómo se produjo materialmente el fraude.
Las estafas de más de 50.000 euros pueden quedar agravadas
También debemos analizar las circunstancias previstas en el artículo 250 del Código Penal.
Entre otros supuestos, la ley contempla una agravación cuando el valor de la defraudación supera los 50.000 euros. También existen otros criterios de agravación que deben revisarse en función del caso.
En fraudes BEC empresariales con importes elevados consideramos especialmente importante analizar desde el inicio la posible aplicación de estas modalidades agravadas.
Acceso ilícito a sistemas informáticos
Si los autores consiguieron entrar realmente en una cuenta de correo vulnerando medidas de seguridad, debemos estudiar también la posible aplicación del artículo 197 bis del Código Penal.
No debemos confundir esta situación con la mera creación de una dirección parecida. El acceso ilícito puede explicar que los delincuentes conocieran conversaciones privadas, documentos e información interna de la empresa.
Blanqueo de capitales y mulas de dinero
Después de recibir los fondos, los autores pueden utilizar cuentas intermedias o las denominadas mulas de dinero para moverlos.
Sin embargo, tampoco debemos asumir que cualquier movimiento posterior constituye automáticamente blanqueo de capitales.
Para valorar la posible aplicación del artículo 301 del Código Penal debemos estudiar la actuación concreta de cada interviniente y su conocimiento sobre el origen delictivo del dinero.
Qué ocurre si los fondos se han enviado al extranjero
Que la primera cuenta fraudulenta se encuentre fuera de España no significa que debamos renunciar a investigar.
Ser víctima de una estafa por suplantación de proveedor es más frecuente de lo que crees, y tiene solución legal. En Barcelona Penal te asesoramos de forma especializada para presentar la denuncia correcta y ejercer la acusación particular con todas las garantías.
Precisamente una característica frecuente de este tipo de delitos es el movimiento transfronterizo del dinero.
Dentro de la Unión Europea existen mecanismos de cooperación judicial
Cuando la investigación afecta a otro Estado miembro existen instrumentos europeos para obtener información, practicar diligencias y adoptar determinadas medidas de cooperación penal.
La herramienta concreta dependerá de qué necesitemos investigar o asegurar en cada momento.
Fuera de la Unión Europea debemos analizar el país concreto
Cuando los fondos terminan en Estados situados fuera de la Unión Europea debemos revisar los convenios y mecanismos de asistencia judicial aplicables.
Por eso resulta especialmente útil contar desde el inicio con el IBAN, el nombre de la entidad bancaria, el país receptor, la cantidad y la fecha exacta de la operación.
Las mulas pueden ser el primer punto de la investigación
La primera cuenta receptora no siempre pertenece al autor intelectual del fraude.
Puede corresponder a un intermediario utilizado para recibir y reenviar el dinero. Identificar a esa persona y conocer los movimientos posteriores puede resultar relevante para reconstruir la cadena seguida por los fondos.
Cuándo recomendamos ejercer la acusación particular
Presentar la denuncia pone los hechos en conocimiento de las autoridades, pero cuando somos víctimas de una pérdida económica importante también podemos valorar la personación como acusación particular.
La acusación particular nos permite participar activamente
Personarnos nos permite intervenir en el procedimiento en los términos previstos legalmente, acceder a las actuaciones, solicitar diligencias de investigación, recurrir determinadas resoluciones y formular acusación cuando corresponda.
También podemos ejercitar la acción civil derivada del delito para reclamar los perjuicios sufridos.
En asuntos complejos recomendamos valorar la personación desde la instrucción
Cuando existen cantidades relevantes, varias cuentas, movimientos internacionales o una operativa tecnológica compleja, consideramos conveniente estudiar la personación desde las primeras fases.
Así podemos conocer la evolución del procedimiento y valorar qué diligencias adicionales pueden resultar útiles para identificar a los responsables o localizar los fondos.
Qué obligaciones puede tener nuestra empresa si existe una brecha de datos
Cuando el fraude BEC ha implicado el acceso ilícito a una cuenta de correo corporativo debemos analizar además si se ha producido una brecha de datos personales.
No todo fraude BEC implica necesariamente una brecha y tampoco toda brecha debe notificarse automáticamente a la Agencia Española de Protección de Datos.
Cuándo debemos notificar a la AEPD
El artículo 33 del RGPD exige notificar una brecha a la autoridad de control cuando sea probable que suponga un riesgo para los derechos y libertades de las personas físicas.
Cuando existe esa obligación, debemos realizar la notificación sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que tenemos constancia de la brecha.
Además, debemos documentar internamente las brechas sufridas aunque finalmente no todas tengan que notificarse.
Cuándo debemos comunicar la brecha a las personas afectadas
Cuando sea probable que la brecha entrañe un alto riesgo para los derechos y libertades de las personas afectadas, debemos estudiar también la obligación de comunicarles el incidente sin dilación indebida.
Desde nuestra experiencia, cuando una cuenta de correo corporativo ha sido comprometida debemos coordinar la investigación penal con el análisis informático y de protección de datos. Resolver únicamente la transferencia puede dejar sin gestionar otros riesgos importantes para la empresa.
Cómo podemos reducir el riesgo de sufrir otro fraude BEC
Una vez gestionado el incidente debemos revisar por qué el engaño consiguió superar nuestros controles y qué cambios podemos introducir.
No debemos aceptar un cambio de IBAN únicamente por correo electrónico
Esta es probablemente la recomendación práctica más importante.
Cuando un proveedor nos comunica un nuevo número de cuenta debemos verificarlo mediante un canal independiente utilizando datos de contacto que ya conozcamos.
Un correo aparentemente auténtico no debería ser suficiente por sí solo para modificar los datos bancarios de un proveedor.
Debemos prestar atención a la verificación del beneficiario
Actualmente también debemos revisar siempre la comprobación que realiza nuestra entidad entre el nombre del beneficiario y el titular del IBAN.
Si recibimos una advertencia de que los datos no coinciden, nuestra recomendación es detener la transferencia hasta confirmar directamente la cuenta con el proveedor.
Autenticación multifactor y seguridad del correo
Recomendamos utilizar autenticación multifactor (MFA) en todas las cuentas corporativas y configurar adecuadamente mecanismos como SPF, DKIM y DMARC.
También debemos revisar accesos anómalos, reglas automáticas de reenvío y cualquier modificación sospechosa dentro de las cuentas de correo.
Doble validación para pagos importantes
Cuando gestionamos transferencias de cantidades relevantes consideramos aconsejable establecer una segunda validación.
La combinación de confirmación del IBAN por un canal independiente, verificación del beneficiario y autorización por una segunda persona crea varias barreras frente a un mismo intento de fraude.
Cómo abordamos un fraude BEC desde Barcelona Penal
Cuando una empresa o un particular nos consulta después de haber enviado dinero a una cuenta fraudulenta, nuestro primer objetivo es reconstruir exactamente qué ha ocurrido.
Analizamos la cronología de los hechos, la transferencia, los correos electrónicos, las facturas, el IBAN receptor, las gestiones realizadas con el banco y toda la información técnica disponible.
A partir de ahí estudiamos la estrategia penal y las diligencias que pueden resultar útiles para intentar identificar a los responsables y seguir el recorrido del dinero.
También revisamos, cuando procede, la posible responsabilidad de terceros. En las operaciones actuales resulta especialmente importante saber qué información mostró el servicio de verificación del beneficiario antes de confirmar la transferencia.
Desde nuestra experiencia, no debemos asumir automáticamente ni que el banco tiene que devolver el dinero ni que nunca puede existir una reclamación frente a la entidad. Cada fraude requiere analizar cómo se autorizó la transferencia, qué información recibió el ordenante y cuál fue la actuación de las entidades implicadas.
Tampoco recomendamos asumir inmediatamente que debemos pagar de nuevo al proveedor real cuando existe una controversia entre las partes. Antes debemos estudiar el contrato, cómo se produjo la suplantación, qué sistema pudo resultar comprometido y qué obligaciones correspondían a cada parte.
En Barcelona Penal somos abogados especializados en Derecho Penal en Barcelona y tenemos experiencia en procedimientos relacionados con estafas, delitos económicos y ciberdelincuencia. Podemos intervenir desde las primeras actuaciones, preparar la denuncia y ejercer la acusación particular durante el procedimiento.
Preguntas Frecuentes sobre qué hacer si hemos enviado dinero por un correo falso de proveedor
No esperes a que sea demasiado tarde: cuanto antes actúes, mayores son las posibilidades de rastrear el dinero y responsabilizar a los autores. Pide una primera consulta con nuestro equipo penal y empieza a recuperar el control de la situación.