La factura parece la de siempre. Logo, dirección, número e importe son correctos. Solo el IBAN es otro. A veces hay una frase: «Tome nota de nuestros nuevos datos bancarios.» Quien paga ahora puede estar transfiriendo el dinero a estafadores, mientras el proveedor real sigue esperando su cobro.
Este artículo describe cómo funciona este fraude en Suiza, en qué se reconoce y qué reglas sencillas protegen su empresa.
Cómo funciona el fraude de los datos bancarios cambiados
La Oficina Federal de Ciberseguridad de Suiza (BACS, antes NCSC) describe el método bajo el nombre de Business E-Mail Compromise: los atacantes obtienen acceso a una cuenta de correo profesional, normalmente la del proveedor. Allí encuentran facturas reales y contactos de clientes reales. Después reenvían facturas ya emitidas con un IBAN modificado, o anuncian que los próximos pagos deben ir a otra cuenta.
El e-mail llega del remitente real o de una dirección que se diferencia en una sola letra. El documento es el original con un solo cambio. Buscar faltas de ortografía o un diseño descuidado no sirve de nada.
Una variante es el fraude del CEO: un supuesto mensaje de la dirección exige una transferencia urgente y confidencial. Según la BACS, este fraude sigue siendo uno de los métodos más denunciados por las pymes suizas (resumen semanal de la BACS, enero de 2026).
Señales de alerta en la factura y en el e-mail
- IBAN nuevo en un proveedor al que paga desde hace tiempo.
- Aviso de cambio de cuenta en el texto del correo o como sello en la factura.
- IBAN de otro país o de otro banco distinto al habitual, con el mismo proveedor suizo.
- Urgencia: «antes de esta tarde», «si no, paramos las entregas».
- Petición de confidencialidad o de saltarse la aprobación habitual.
- Dirección de remitente distinta o dirección de respuesta que no coincide con el dominio del proveedor.
- Sección de pago de la factura QR que no coincide con el membrete: el beneficiario grabado en el código Swiss QR no es el proveedor. En la factura QR suiza, los datos del código también van impresos en texto legible. Compare ambos.
Un IBAN formalmente válido no dice nada sobre el beneficiario. Los IBAN suizos tienen 21 caracteres y un dígito de control; los estafadores usan cuentas reales, así que el dígito de control siempre es correcto.
La regla principal: llamar por un canal conocido
Para solicitudes de pago y cambios en datos maestros, la BACS recomienda verificar por un segundo canal: llame al proveedor al número que ya conoce, no al que figura en el e-mail ni en la factura nueva. Pregunte de forma concreta: «¿Han cambiado de banco? ¿Cuál es el nuevo IBAN?» Pida que le lean el IBAN y compárelo.
Responder por e-mail al mismo mensaje no es una verificación. Si el buzón del proveedor está comprometido, responden los atacantes.
La BACS aconseja a las pymes levantar barreras técnicas y organizativas:
- Principio de los cuatro ojos (dos personas) para los pagos y para cualquier cambio en los datos del proveedor, por ejemplo un IBAN nuevo.
- Sin excepciones, tampoco para instrucciones «de arriba». El fraude del CEO vive precisamente de que un empleado rompa la regla porque supuestamente lo pide el jefe.
- Separar la gestión de datos maestros del pago. Quien cambia un IBAN no debe poder ejecutar el pago al mismo tiempo.
- Llevar un historial. Una lista de los IBAN conocidos por proveedor hace visibles las diferencias.
Qué hacer si el pago ya salió
- Llamar de inmediato al banco. Según la BACS, a veces el pago aún puede detenerse. Cada hora cuenta.
- Informar al proveedor para que haga revisar su correo y avise a sus otros clientes.
- Presentar denuncia en la policía cantonal y notificar el caso a la BACS.
- Cambiar contraseñas y hacer revisar la propia informática si no está claro si la propia cuenta también está afectada.
La obligación de pagar al proveedor real normalmente se mantiene. Por eso la prevención sale más barata que cualquier intento de recuperación.
Lista de comprobación antes de pagar
- ¿El IBAN coincide con las facturas anteriores del mismo proveedor?
- Si no: ¿se hizo y documentó la llamada al número conocido?
- ¿El beneficiario de la sección de pago QR es el mismo que el del membrete?
- ¿Pago y cambio de datos aprobados por dos personas?
- ¿Ningún pago bajo presión de tiempo o con petición de confidencialidad?
Detectar automáticamente un cambio de IBAN
En cada factura subida, Klyrenta compara el IBAN con las facturas anteriores del mismo proveedor en su cuenta. Si hay diferencia, aparece un aviso con la indicación de llamar al proveedor a un número conocido. Además se comprueban el dígito de control del IBAN, el formato del número UID (número de identificación de empresa suizo), los duplicados, los tipos de IVA y los importes. Cada factura recibe OK, Aviso o Error con el motivo; los resultados se exportan a Excel.
Klyrenta no paga nada ni contabiliza nada. La decisión sigue siendo suya. Los datos se alojan en Suiza en Infomaniak y los archivos se borran a los 90 días.
10 facturas gratuitas. Más información sobre el control de facturas para pymes. Ver también: Detectar facturas duplicadas.
Comprobado con las fuentes oficiales citadas en el texto.