La estafa del cambio de cuenta bancaria llega a una empresa de Huesca y termina pagando el doble: todo empezó con un correo electrónico
Un correo electrónico. Una solicitud de cambio de cuenta bancaria. Un certificado falsificado. Y una empresa de Huesca que acabó pagando dos veces la misma nómina: una al estafador y otra al trabajador legítimo que nunca recibió su salario.
Así de sencillo —y así de devastador— es el Business Email Compromise, la ciberestafa que la Guardia Civil acaba de desarticular en un caso que afecta a una empresa oscense y cuyo autor ha resultado ser un vecino de Santa Cruz de Tenerife.
El investigado ha sido puesto a disposición de la autoridad judicial de Tenerife tras varios meses de investigación por parte del Equipo de la Cibercomandancia de la Guardia Civil.
Se le atribuyen dos delitos: estafa informática y falsificación de documento privado. El fraude, aunque parece sofisticado, siguió un patrón que la Guardia Civil conoce bien y que se repite con una frecuencia preocupante en empresas de toda España.
Cómo funcionó el engaño paso a paso
Todo empezó cuando un trabajador de la empresa oscense envió un correo a su departamento financiero solicitando que su próxima nómina se ingresara en una cuenta bancaria diferente a la habitual. Un trámite cotidiano, nada sospechoso en apariencia. El departamento financiero, siguiendo sus protocolos internos, respondió pidiendo un certificado de titularidad de la nueva cuenta antes de proceder al cambio.
Fue en ese momento cuando entró en juego el estafador. Había interceptado la comunicación original y, suplantando la identidad del trabajador, respondió al correo adjuntando documentación falsificada que acreditaba falsamente la titularidad de la cuenta que él mismo controlaba.
El departamento financiero, convencido de estar hablando con el empleado, realizó el ingreso de la nómina en esa cuenta.
El fraude no se descubrió hasta que el propio trabajador llamó a la empresa al no recibir su salario. Solo entonces se dieron cuenta de lo que había ocurrido. Para entonces, el dinero ya había salido. Ambas partes formalizaron la denuncia de inmediato.
El doble perjuicio que nadie calcula
Este es el aspecto del Business Email Compromise que más sorprende a las empresas cuando lo descubren: el fraude no solo supone la pérdida del dinero transferido al estafador. La empresa sigue estando obligada a pagar la nómina al trabajador legítimo, que no tiene ninguna culpa de lo ocurrido. Es decir, la empresa oscense tuvo que asumir el coste de la misma nómina dos veces: una que fue a parar al bolsillo del estafador y otra que tuvo que abonar al empleado.
La Guardia Civil recuerda que este doble perjuicio económico es una de las características más dañinas de esta modalidad de estafa, especialmente para pequeñas y medianas empresas con márgenes ajustados.
Cómo evitar caer en esta trampa
El Instituto Armado aprovecha la resolución del caso para lanzar una serie de recomendaciones prácticas dirigidas a empresas. La más importante: verificar siempre por una segunda vía de comunicación cualquier solicitud de cambio de número de cuenta bancaria.
Una llamada telefónica al número conocido del empleado —no al que aparezca en el correo— o incluso el contacto presencial si es posible, habrían bastado para desbaratar el engaño en este caso.
La Guardia Civil también advierte de que hay que desconfiar de los correos que apelen a la urgencia, la confidencialidad o la presión temporal, revisar cuidadosamente la dirección del remitente —incluso cuando el mensaje parezca legítimo— y establecer protocolos internos de verificación antes de autorizar cualquier pago o transferencia.
La formación del personal es clave. Muchas de estas estafas funcionan porque el empleado que recibe el correo no ha sido formado para detectar las señales de alerta. Un programa básico de concienciación en ciberseguridad puede marcar la diferencia entre detectar el fraude a tiempo o sufrirlo.
Cualquier estafa cometida a través de medios informáticos puede denunciarse de forma rápida a través de la sede electrónica de la Guardia Civil en guardiacivil.sede.gob.es.
