Si un proveedor te pide por correo que pagues a otra cuenta, no pagues hasta confirmarlo por un canal que ya conocías, como el teléfono que tenías guardado de antes. Un agente de IA, un programa que hace tareas de trabajo por ti y te consulta lo importante, puede comprobar en cada factura que el IBAN coincide con el registrado, frenar el pago si no coincide y pedir esa confirmación a una persona.
En una empresa grande, quien da de alta a un proveedor no es quien paga, y cualquier cambio de cuenta pasa por una verificación aparte. En una pyme, la misma persona suele registrar, contabilizar y pagar, a menudo con prisa y confiando en el trato de toda la vida. Es el terreno que busca este fraude: no ataca a los sistemas, ataca a la confianza.
Cómo funciona el fraude del cambio de cuenta
Todo empieza con un correo que parece de tu proveedor de siempre. Lleva su logo, su firma y su tono, y a veces llega dentro de una conversación real, porque quien lo envía ha entrado en el correo del proveedor o ha creado una dirección casi idéntica, con una letra cambiada. El mensaje es breve: "hemos cambiado de banco; a partir de la próxima factura, ingresa en esta cuenta". Se adjunta una factura correcta, salvo por el IBAN.
Si se paga, el dinero sale a una cuenta ajena. Semanas después, el proveedor real reclama una factura que, para él, está sin cobrar. Para entonces recuperar el dinero es mucho más difícil. Estas son las señales más frecuentes:
- Un cambio de cuenta comunicado solo por correo, sin llamada ni carta.
- Urgencia: "hazlo hoy" o "antes del cierre".
- Una cuenta de otro país o de un banco que no tiene relación con el proveedor.
- Un remitente con un dominio ligeramente distinto al habitual.
- Una factura con un formato algo diferente al de siempre.
- La petición de no llamar o de que se trate "con discreción".
¿Cómo detecta un agente que el IBAN de una factura no coincide con el registrado?
El agente mantiene una ficha de cada proveedor con su IBAN verificado, lee el de cada factura nueva y lo compara con el de la ficha. Si coinciden, la factura sigue su camino. Si no coinciden, o si llega un correo que habla de un "cambio de cuenta", la factura se queda en "pendiente de verificación", no se prepara ningún pago y se avisa a una persona con un resumen claro.
Ese resumen incluye lo que necesita quien decide: el proveedor, el IBAN registrado, el IBAN nuevo, de dónde ha llegado el cambio y qué otras cosas llaman la atención. El agente puede revisar, entre otras:
- Si el remitente coincide con los que ese proveedor suele usar.
- Si el país del IBAN coincide con el del proveedor.
- Si el texto pide urgencia o discreción.
- Si el cambio llega justo antes de un vencimiento o de un pago grande.
- Si hay una petición similar a otros proveedores en los mismos días.
Una vez detectado, el agente no decide si es fraude ni si el cambio es legítimo. Se limita a frenar y a avisar, que es justo lo que permite ganar tiempo.
El protocolo de confirmación, paso a paso
Es el tipo de procedimiento que aplican muchas empresas grandes, y se puede copiar sin necesitar su tamaño:
- Para el pago. Mientras no haya confirmación, no se paga a la cuenta nueva.
- Llama al teléfono que ya tenías. El que figura en tu ficha desde hace tiempo, nunca el que aparece en el correo del cambio. Habla con alguien que conozcas del proveedor.
- Pide el cambio por escrito. Una comunicación firmada por una persona con capacidad en la empresa proveedora, y un documento del banco que acredite que la cuenta es suya.
- Que lo apruebe una segunda persona. Quien lo recibió y quien lo autoriza no deberían ser la misma.
- Actualiza la ficha con constancia. Anota quién cambió el IBAN, cuándo y con qué comprobación.
- Solo entonces, paga.
- Si algo no cuadra, no pagues. Guarda el correo original, avisa a tu banco y, si procede, a las autoridades. Si el pago ya salió, contacta con el banco de inmediato, porque el tiempo cuenta.
Este protocolo es hermano del que explicamos para las órdenes de pago por teléfono, en deepfakes de voz: cómo comprobar una orden de pago urgente.
Qué hace el agente y qué sigue haciendo una persona
| El agente | La persona |
|---|---|
| Compara el IBAN de cada factura con el de la ficha | Llama al proveedor por el teléfono de siempre |
| Frena el pago y marca la factura como pendiente | Decide si el cambio es legítimo |
| Avisa con un resumen de las señales de alerta | Aprueba el cambio, junto con una segunda persona |
| Recuerda los pasos de verificación que faltan | Autoriza el pago desde el banco |
| Deja un registro de qué se comprobó y cuándo | Avisa al banco y a las autoridades si hay un intento de fraude |
La idea de fondo es que el agente no confirma la identidad de nadie ni paga nada: prepara, bloquea y avisa. La autorización de una transferencia es siempre de una persona.
Qué cuidar al montarlo
- Que la ficha inicial esté verificada. Si cargas en el sistema IBANs que ya eran falsos, el agente los dará por buenos. Haz una revisión de los proveedores principales antes de empezar.
- Que el cambio de ficha tenga control. Quien puede modificar un IBAN no debería ser quien ejecuta el pago, y cada cambio debe quedar anotado.
- Que tus proveedores lo sepan. Avísales de que verificarás cualquier cambio de cuenta. Los legítimos lo agradecerán y evitarás fricciones.
- Que no sea el único control. El agente ayuda a que el protocolo no se olvide un viernes por la tarde, pero las personas deben saber aplicarlo si falla el sistema.
- Que se proteja la información. Los IBAN de autónomos son datos personales: acceso limitado y registro de quién los consulta.
- Que lo revises con profesionales. Los límites de importe, los mandatos bancarios y las responsabilidades conviene definirlos con tu banco y tu gestor.
Si quieres ver el resto de la cadena de pagos, puedes leer cómo automatizar la gestión de pagos a proveedores y la ficha de verificación antes del primer pedido. Y para entender el contexto general de ciberseguridad en una empresa pequeña, cómo planificar la ciberseguridad de una pyme.
Conclusión
El fraude del cambio de IBAN se basa en un correo creíble y en las prisas. La defensa es un procedimiento: comparar cada factura con la cuenta registrada, frenar cuando no coincide y confirmar por un canal que ya conocías antes de pagar. Un agente de IA puede aplicar ese control en todas las facturas, siempre, y dejar constancia, mientras la decisión y el pago los mantienen las personas.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, con los controles de pago que tu empresa necesite, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.