Prevención del fraude por desvío de pagos en pymes

Cómo el correo electrónico de un proveedor habitual se convierte en un riesgo empresarial de cinco cifras — y los controles sencillos que las pymes irlandesas pueden implementar hoy mismo.

Escrito por el equipo editorial de Safegram

20 de octubre de 2026 • Dublín, Irlanda

Una conversación rutinaria con el departamento financiero puede ser la última oportunidad para cuestionar un cambio en las instrucciones de pago. Ilustración editorial generada por IA, no es una fotografía de un incidente real.

Las pequeñas empresas de Irlanda perdieron 18,9 millones de euros en estafas relacionadas con el correo electrónico durante un periodo de dos años, según las cifras publicadas por la Banking & Payments Federation Ireland (BPFI) en marzo de 2026. Este mes de octubre, mientras Europa se centra en la ciberseguridad en el trabajo, la respuesta más útil podría no ser otra herramienta complicada. Podría ser una regla: nunca cambie los datos bancarios de un proveedor sin una confirmación independiente.

Puntos clave

• FraudSMART/BPFI informó de pérdidas de 18,9 millones de euros en pymes por estafas de correo electrónico en los dos años anteriores; las pérdidas medias registradas por las instituciones participantes superaron los 22.000 euros por incidente.
• El fraude por desvío de pagos puede comenzar con una solicitud ordinaria para actualizar el IBAN de un proveedor. La siguiente factura genuina podría entonces pagarse a la cuenta equivocada.
• Una pequeña encuesta realizada a miembros de ISME entre febrero y marzo de 2026 reveló que el 53 % de los encuestados no tenía directrices ni formación específica para empleados sobre concienciación contra el fraude; la muestra fue de 65 empresas, no un censo nacional.
• Las llamadas de confirmación independientes a los proveedores, la doble aprobación de pagos, la autenticación multifactor y un proceso escrito para cambios de beneficiarios son defensas prácticas.
• Los perfiles en línea verificados pueden mejorar las señales de identidad durante la fase de descubrimiento, pero ninguna insignia sustituye la comprobación del destino de un pago.

Una factura legítima puede llevar a un destino falso

Imagine una cafetería hipotética en Dublín que pide productos frescos al mismo mayorista cada semana. La relación está consolidada, se espera el pedido y el importe de la factura es el normal. Pero antes de que llegue la factura, alguien que aparentemente representa al mayorista pide a la cafetería que actualice la cuenta bancaria utilizada para futuros pagos.

Nada más en la relación comercial necesita cambiar. El pedido sigue llegando. La factura es auténtica. El dinero simplemente se desvía a una cuenta que no pertenece al proveedor.

Esto es el fraude por desvío de pagos: una estafa en la que se engaña a una empresa para que cambie la cuenta a la que paga a un proveedor real o supuesto. Es una forma común de Business Email Compromise (BEC), una categoría más amplia de ataques que implican la suplantación de contactos de confianza. Un delincuente podría suplantar una dirección o aprovechar una cuenta ya comprometida. El peligro no siempre es una factura claramente falsa; es la confianza mal depositada creada por una relación de trabajo existente.

El National Cyber Security Centre (NCSC) de Irlanda describe el BEC como la suplantación de identidad de un directivo, proveedor o empleado para obtener dinero o información sensible. FraudSMART aconseja a las empresas verificar las propuestas de cambio de datos bancarios utilizando un contacto que ya conozcan, no el número de teléfono facilitado en la solicitud de cambio. [2, 3]

Las cifras irlandesas son demasiado elevadas para que esto sea solo un problema informático

El 27 de marzo de 2026, FraudSMART, la iniciativa liderada por la Banking & Payments Federation Ireland (BPFI), informó de que las pymes irlandesas habían perdido 18,9 millones de euros por fraude relacionado con el correo electrónico en los dos años anteriores. Sus instituciones miembros observaban pérdidas medias superiores a los 22.000 euros por incidente. El desvío de facturas y la suplantación de identidad de directivos (fraude del CEO) se identificaron como riesgos destacados. [1]

Otra encuesta realizada a miembros de ISME en febrero y marzo de 2026 reveló que el 67 % de los 65 encuestados afirmaron que su empresa había sido objetivo de una estafa financiera durante los 12 meses anteriores. Entre los encuestados, el 53 % declaró no tener directrices ni formación específica de concienciación contra el fraude para empleados. La muestra es pequeña y no debe tratarse como una estimación representativa de todas las pymes irlandesas; no obstante, ofrece a los propietarios una brecha que pueden poner a prueba en su propio lugar de trabajo. [1]

El momento es relevante. El Mes Europeo de la Ciberseguridad se celebra durante todo octubre de 2026, y el énfasis de este año recae en las competencias y la preparación en el lugar de trabajo. El mensaje es especialmente importante para minoristas independientes, profesionales de los oficios, hostelería, agencias creativas y emprendedores autónomos que gestionan mensajes comerciales a través de correo electrónico, aplicaciones de mensajería y redes sociales sin un departamento financiero dedicado. [4]

Por qué la respuesta más segura es, a veces, romper la conversación

Una instrucción de pago sospechosa puede llegar dentro de una conversación que, por lo demás, parece normal. Por eso mismo, responder al mismo correo o llamar al número de la firma puede no confirmar nada. Si la cuenta del remitente está comprometida, el atacante puede ver o influir en la respuesta. Si se ha suplantado un mensaje, los datos de contacto pueden conducir de nuevo al estafador.

La verificación independiente significa iniciar una conversación nueva utilizando un número o método de contacto que la empresa tuviera registrado antes de la solicitud. Contacte con una persona conocida en el proveedor, confirme el cambio, registre el resultado y no libere el pago hasta que la comprobación haya finalizado. Aplique la misma regla cuando una solicitud parezca provenir del propietario, el contable o la persona de mayor rango en la empresa. [2, 3]

Un equipo de construcción de Dublín realiza una comprobación directa con el proveedor antes de modificar los datos de pago. Ilustración editorial generada por IA.

Un simulacro de seguridad de pagos de siete minutos

Una organización pequeña no necesita un complejo departamento de ciberseguridad para practicar su primera defensa. Necesita un proceso repetible que sobreviva a una tarde de viernes ajetreada, a la ausencia de un empleado o a un mensaje urgente de un cliente habitual.

Minuto 1: decida quién puede editar los datos del proveedor

Asigne a un empleado responsable la gestión del registro de proveedores. Documente cómo se aprueban los nuevos beneficiarios, quién puede cambiar un IBAN y dónde se guardan los datos de contacto verificados de forma independiente. Las hojas de cálculo compartidas sin los permisos adecuados ni historial de cambios generan una incertidumbre innecesaria.

Minutos 2-3: establezca la llamada de confirmación independiente

Exija una llamada telefónica a un número de proveedor registrado previamente para cada cambio de datos bancarios, incluidas las solicitudes de empleados conocidos o proveedores de larga duración. Nunca confíe únicamente en un número que aparezca en el nuevo correo electrónico, mensaje de chat o factura. Registre la fecha, la persona contactada y el resultado de la confirmación.

Minuto 4: añada un segundo par de ojos

Utilice la doble aprobación para transferencias significativas y para los primeros pagos a una cuenta cambiada recientemente. El segundo aprobador debe examinar al beneficiario de forma independiente, no limitarse a pulsar "aprobar". FraudSMART recomienda específicamente la autorización electrónica dual para pagos a terceros. [1]

Minuto 5: asegure los canales que utiliza la gente

Active la autenticación multifactor en las cuentas de correo electrónico y finanzas de la empresa; utilice contraseñas seguras y únicas, mantenga los dispositivos actualizados y limite el acceso a los sistemas de pago. El cifrado y la verificación de identidad pueden abordar algunos riesgos, pero no pueden garantizar que cada instrucción de pago sea correcta.

Minutos 6-7: ensaye el escenario

Pida a un colega que haga el papel de proveedor y a otro que responda a una solicitud ficticia de cambio de cuenta. ¿Puede el receptor encontrar el número guardado de forma independiente? ¿Se mantiene la solicitud en espera hasta la confirmación? ¿Sabe el segundo aprobador qué debe comprobar? Si no es así, mejore el procedimiento y pruébelo de nuevo. Esto es formación con un resultado práctico, no una presentación olvidada.

Cuando una reserva local se convierte en un riesgo de pago

El mismo reto aparece en la economía de los creadores y el comercio local. Un videógrafo recibe una consulta de un restaurante; un fotógrafo presupuesta un lugar de celebración de bodas; un contratista negocia el depósito de una reforma. La primera interacción puede empezar en una plataforma social, pasar a mensajes directos y terminar con una transferencia. Cada traspaso deja margen para la confusión.

Una cuenta falsa puede imitar a un creador familiar; un cliente auténtico puede recibir un cambio de pago falsificado; una agencia puede tratar un IBAN en una captura de pantalla como actual. Por tanto, la confianza digital no puede terminar en el descubrimiento. Debe mantenerse en el momento en que se produce la transacción.

Safegram busca un modelo que una perfiles verificados, descubrimiento local y listados de servicios comerciales o de creadores dentro de Safegram Exchange (el mercado verificado de la red). Eso puede ayudar a un cliente potencial a ver quién ofrece un servicio. Su ambición a largo plazo es conectar una mayor parte del trayecto de consulta, reserva y pago en torno a una capa de confianza persistente, en lugar de dispersar la relación entre herramientas no relacionadas. Pero un perfil verificado no es una garantía contra cuentas comprometidas, instrucciones de pago fraudulentas o transferencias erróneas.

La distinción es importante tanto para las plataformas jóvenes como para los mercados establecidos. La verificación puede ayudar a establecer quién abrió una cuenta; la seguridad de los pagos necesita comprobaciones adecuadas en el momento en que el dinero se mueve, procesos de disputa claros y explicaciones transparentes de qué está protegido y qué no.

La confianza se construye en el flujo de trabajo, no solo en el perfil

Los servicios establecidos tienen puntos fuertes reales: los bancos ofrecen equipos de fraude y controles de transacciones; los mercados especializados pueden proporcionar una incorporación de comerciantes estructurada; las redes sociales aportan un gran descubrimiento; el software de reservas dedicado resuelve problemas específicos del sector. Estas ventajas merecen ser reconocidas.

Sin embargo, el trayecto entre el descubrimiento social, la mensajería, la facturación, el pago y el soporte postventa sigue fragmentado para muchos equipos pequeños. Safegram pretende con el tiempo reducir esa fragmentación a través de la identidad de confianza, la comunidad, los productos, los servicios y las reservas (dentro de los Circles o grupos, y los Plans o propuestas de servicio). Si una experiencia unificada será demostrablemente más segura dependerá de operaciones responsables y controles medibles, no de una promesa de marketing.

Un minorista independiente revisa una solicitud antes de que entre en el proceso de pago. Ilustración editorial generada por IA.

Qué hacer si ya ha pagado a la cuenta equivocada

Actúe rápido. Póngase en contacto con el banco o proveedor de pagos inmediatamente, explique que la transferencia puede ser fraudulenta y pregunte si puede ser reclamada o detenida. La recuperación no está garantizada, especialmente en el caso de una transferencia bancaria autorizada. Conserve los mensajes originales, los encabezados completos de los correos electrónicos, las facturas, los detalles de la cuenta y las referencias de la transacción. Denuncie el presunto fraude penal ante la Policía (An Garda Síochána si está en Irlanda) y consulte la guía de notificación de incidentes del NCSC si hay una intrusión informática implicada. [3, 5]

Asegure las cuentas afectadas, revise los inicios de sesión recientes y advierta a los proveedores o clientes legítimos si las comunicaciones pueden haber sido suplantadas. No investigue únicamente a través de un buzón que sospeche que está comprometido. Si se han expuesto datos personales, considere por separado las obligaciones de notificación de protección de datos de la organización.

La prevención no debe reducirse a decir a los empleados que tengan "más cuidado". Un empleado con prisa debería poder confiar en una regla que impida un pago cuestionable hasta que alguien lo compruebe. Los procedimientos bien diseñados protegen a las personas precisamente cuando están ocupadas.

La pregunta que todo propietario debería hacerse esta mañana

Pregunte a quien gestione los pagos: ¿qué pasa si nuestro mayor proveedor nos envía hoy un correo para cambiar su IBAN? Si la respuesta es "actualizamos la hoja de cálculo", la empresa ha encontrado una mejora urgente. Si la respuesta es "llamamos al número verificado de forma independiente, documentamos la aprobación y requerimos una segunda firma", el equipo tiene una defensa que vale la pena practicar.

El Mes Europeo de la Ciberseguridad termina el 31 de octubre. Un proceso de pago sensato debería durar mucho más.

Preguntas frecuentes

¿Qué es el fraude por desvío de pagos?

Es una estafa en la que alguien suplanta a un proveedor u otra parte de confianza y convence a una empresa para que pague en una cuenta bancaria fraudulenta, a menudo solicitando un cambio en los detalles del IBAN almacenados.

¿En qué se diferencia el desvío de facturas del phishing?

El phishing busca engañar a los destinatarios para que revelen información, hagan clic en un enlace dañino o realicen otra acción insegura. El desvío de facturas es una táctica específica de distracción de pagos y puede implicar phishing o el compromiso del correo electrónico corporativo.

¿Cuánto han perdido las pymes irlandesas por estafas de correo electrónico?

FraudSMART/BPFI informó de 18,9 millones de euros en pérdidas durante los dos años anteriores a su publicación del 27 de marzo de 2026. La cifra cubre las estafas relacionadas con el correo electrónico, no solo el fraude por desvío de facturas.

¿Es suficiente responder al correo de un proveedor para verificar nuevos datos bancarios?

No. Una respuesta puede llegar a alguien que controle un buzón comprometido. Contacte de forma independiente con la empresa utilizando un número de teléfono verificado previamente y documente la respuesta.

¿Cuál es la protección más sencilla para una pequeña empresa?

Exigir una llamada de confirmación independiente antes de cambiar los datos bancarios del proveedor, una segunda aprobación para pagos significativos y la autenticación multifactor en el correo electrónico profesional.

¿Significa una insignia de empresa verificada que un pago es seguro?

No. La verificación puede aportar pruebas sobre la identidad mediante Didit (el protocolo de identidad digital), pero no valida cada cuenta bancaria, instrucción o transacción posterior.

¿Dónde debe una empresa informar de un pago fraudulento?

Contacte con su banco inmediatamente y denuncie el presunto fraude penal a las autoridades correspondientes. Utilice los recursos del Centro Nacional de Ciberseguridad cuando se trate de un compromiso de red o correo electrónico.

Actúe hoy mismo

Empiece con una mejora hoy mismo: escriba la regla para cambiar los datos bancarios de los proveedores, asigne a un colega la responsabilidad de hacerla cumplir y pruébela con un escenario realista. Las empresas locales y los creadores que desarrollen una presencia profesional verificada pueden explorar Safegram Exchange en https://safegram.com — manteniendo siempre comprobaciones de pago independientes en cualquier lugar donde se realice una transacción.

Fuentes y referencias

1. Banking & Payments Federation Ireland / FraudSMART, "Almost €19 million lost by SMEs to email-related scams over the past two years", 27 de marzo de 2026. https://bpfi.ie/almost-e19-million-lost-by-smes-to-email-related-scams-over-the-past-two-years-fraudsmart/

2. FraudSMART, "Invoice Re-Direction Fraud", guía empresarial, consultado el 20 de octubre de 2026. https://www.fraudsmart.ie/business/fraud-scams/email-fraud/invoice-re-direction-fraud/

3. National Cyber Security Centre, "Protecting Against Business Email Compromise and Payment Fraud Guidance", consultado el 20 de octubre de 2026. https://www.ncsc.gov.ie/guidance/

4. Comisión Europea / European Digital Skills and Jobs Platform, "European Cybersecurity Month 2026", octubre de 2026. https://digital-skills-jobs.europa.eu/en/latest/news/european-cybersecurity-month-2026

5. National Cyber Security Centre, notificación de incidentes y guía de ciberseguridad, consultado el 20 de octubre de 2026. https://www.ncsc.gov.ie/npc24/