Recibes un correo de un proveedor con el que trabajas desde hace años. El logo es el mismo, el tono es el que usan siempre y la petición parece razonable: «hemos cambiado de banco, por favor actualiza nuestros datos para los próximos pagos».
No hay enlaces sospechosos. No hay adjuntos extraños. Solo un correo educado de alguien que ya conoces pidiendo algo que tiene toda la lógica del mundo.
Y sin embargo, es una estafa.
Se llama Business Email Compromise (BEC) y es uno de los fraudes que más dinero está costando a las empresas en este momento. El FBI registró más de 24.000 quejas en 2025, con pérdidas superiores a 3.000 millones de dólares. Y eso es solo lo que se denuncia.
Lo que lo hace peligroso no es la sofisticación técnica. Es la confianza.
Cómo funciona la suplantación de proveedores
El atacante no necesita hackear nada para empezar. Muchas veces basta con investigar: quién es tu proveedor, con quién hablas, qué proyectos tenéis en marcha, qué pagos están pendientes. Toda esa información es pública o accesible.
Con eso en la mano, hay tres formas habituales de operar:
La tercera es la más dañina porque el correo original es real. El atacante solo añade un mensaje intermedio.
Qué piden (y cómo te los encuentras)
Las peticiones más comunes que vemos en pymes:
El patrón es siempre el mismo: una petición que parece normal, con un toque de urgencia, y que si se ejecuta sin verificar, envías dinero a quien no debes.
Las señales que deberían hacerte parar
No necesitas ser experto en ciberseguridad para detectar un intento de suplantación. Estas son las banderas que importan:
Esa última es la más reveladora. Si alguien con quien tienes una relación comercial te pide discreción sobre un pago, algo no cuadra.
Qué significa «verificar» de verdad
Verificar no es responder al correo preguntando si es real. Si la cuenta está comprometida, te responde el atacante.
Verificar significa usar un canal distinto. Llamar por teléfono al contacto que ya conoces, usando el número que tenías antes de recibir ese correo. O confirmar en persona.
Es un paso simple que la mayoría de las pymes no da, y es la diferencia entre perder 15.000 euros o no perderlos.
Por qué esto le importa a una pyme
A las grandes empresas les roban cifras millonarias y sale en la prensa. A las pymes les roban cantidades que pueden ser igual de devastadoras proporcionalmente: 5.000, 15.000, 30.000 euros que pueden ser la diferencia entre pagar nóminas o no.
Y el atacante no discrimina por tamaño. De hecho, las pymes son el objetivo preferido porque suelen tener menos controles de verificación y procesos más informales.
¿El correo venía del proveedor real o era falso?
Puede ser cualquiera de las dos. A veces suplantan la dirección, a veces acceden a la cuenta real del proveedor. Por eso la verificación siempre debe hacerse por un canal distinto al correo.
¿Mi antivirus me protege de esto?
No necesariamente. El BEC no siempre usa malware ni adjuntos maliciosos. Muchos intentos son correos sin ningún archivo, solo texto. La protección técnica ayuda pero no sustituye a la verificación humana.
¿Qué hago si ya he hecho la transferencia?
Contacta con tu banco de inmediato. Cuanto antes avises, más probabilidades de recuperar el dinero. El FBI logró congelar 679 millones de dólares en 2025 gracias a notificaciones rápidas. Después, avisa a tu proveedor real para que revise su cuenta y notifica el incidente.
Si te suena esta situación y quieres revisar si tu empresa está protegida, en SIBI podemos ayudarte a establecer controles de verificación y formación para tu equipo.
