Ciberestafas a empresas

Qué hacer en las primeras 24 horas y quién paga la pérdida

Las ciberestafas a empresas no suelen forzar ningún sistema. Engañan a una persona: la que paga. Un correo que parece del consejero delegado, una llamada con su voz, una factura de un proveedor de siempre con una cuenta bancaria nueva. El empleado, engañado, hace la transferencia con sus propias claves. Por eso la ley trata el pago como válido y la pérdida, casi siempre, se queda en la empresa.

La delincuencia tradicional ha mutado al ritmo de la sociedad: aparecen nuevas figuras y nuevas formas de ejecución, y la persecución de los delitos tiene que evolucionar con ellas. Hoy, el mejor abogado es el que combina el conocimiento de cómo opera el delincuente con la práctica procesal y con un problema que todos conocemos: lo que tarda en llegar una respuesta judicial. Por eso contamos con peritos informáticos, detectives privados y abogados especializados en cibercrimen.

Las cuatro formas más frecuentes

1. Fraude del CEO. Alguien se hace pasar por el consejero delegado o un directivo y ordena una transferencia urgente y confidencial. Hoy la voz puede estar clonada con inteligencia artificial. Lo contamos en Caso abierto.
2. Cambio de IBAN del proveedor. Un correo, a veces desde el buzón real del proveedor, comunica una cuenta nueva para cobrar una factura auténtica. Es el fraude que más veces vemos en pymes.
3. Desvío de nóminas. Un correo «del empleado» pide cambiar la cuenta donde cobra. La empresa paga el sueldo a la cuenta del estafador.
4. Falso abogado o falso asesor. Una segunda persona, supuestamente de un despacho que lleva la operación, dicta las instrucciones y pide que nadie más lo sepa.

En todas ocurre lo mismo: urgencia, secreto y un cambio respecto de la forma habitual de pagar.

Las primeras 24 horas

El dinero se recupera, cuando se recupera, por rapidez. Este es el orden.

1. Llame al banco, al teléfono de fraude, y confírmelo por escrito: pida que intente la devolución de la transferencia y que la entidad de destino retenga los fondos. Es una petición, no un derecho: que el banco retenga o no el dinero depende de él, y no se le puede exigir.
2. Denuncie el mismo día, ante la Policía Nacional o la Guardia Civil, con el justificante de la transferencia, la cuenta de destino, los correos y el registro de llamadas. Los cuerpos de seguridad pueden pedir información al banco y acudir al juez. Solo un juez puede ordenar el bloqueo de una cuenta con efectos obligatorios.
3. Conserve la prueba. No borre correos ni mensajes; guarde los originales y anote horas y números.
4. Avise a la aseguradora dentro del plazo de la póliza. Un aviso tardío es el primer motivo para discutir el pago.
5. Proteja al empleado. Es el testigo principal. Si teme las consecuencias, tardará en contarlo, y aquí cada hora cuenta.

Actuar a tiempo sirve. En un caso de abril de 2026, la Guardia Civil consiguió el bloqueo preventivo de seis transferencias por más de 2,2 millones de euros en menos de 24 horas desde que se ordenaron, gracias a una denuncia telemática. Era un fraude de smishing (un SMS que suplantaba al banco), no del CEO, pero la lección es la misma ^[2].

¿Quién paga la pérdida?

Primero hay que saber si la operación estaba autorizada. La ley de servicios de pago obliga al banco a devolver de inmediato, como máximo al final del día hábil siguiente a la comunicación del cliente, si lo comunica sin demora, una operación no autorizada (art. 45 del Real Decreto-ley 19/2018) ^[4]. El Tribunal de Justicia de la Unión Europea ha aclarado, en su sentencia de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka), que el banco no puede negarse a ese reembolso inmediato alegando negligencia grave del cliente: debe devolver primero y, si prueba esa negligencia, reclamar después. Eso protege a quien sufre un phishing ^[1].

Pero en el fraude del CEO y en el cambio de IBAN nadie suplanta a la empresa ante el banco: la orden la da la empresa, por medio de su empleado, con sus claves. Para la ley, esa operación está autorizada (art. 36) y la regla de devolución inmediata no se aplica ^[4].

Si ha pagado a un proveedor, ¿qué ocurre con la deuda?

Depende de cómo llegó el dinero a la cuenta equivocada.

Si pagó por error (se equivocó de cuenta o de importe), puede reclamar el reintegro a quien lo recibió: quien recibe algo que no tenía derecho a cobrar y que se le ha entregado por error está obligado a restituirlo (art. 1895 del Código Civil). Si, advertido el error, no lo devuelve y dispone del dinero, comete un delito de apropiación indebida en su modalidad residual (art. 254 del Código Penal), que el Tribunal Supremo aplica a quien recibe dinero por error del transmitente y, una vez advertido, se niega a devolverlo o no lo devuelve ^[3]. Por eso conviene enviarle cuanto antes un requerimiento fehaciente: la ley no lo exige expresamente, pero acredita que conocía el error y no devolvió. Y no espere: es un delito leve y prescribe al año, de modo que el camino civil y el penal deben ponerse en marcha pronto.

Si pagó por engaño (un estafador le dio una cuenta falsa en nombre de su proveedor), el pago no libra a su empresa: su proveedor, que no ha cobrado, puede seguir reclamándole la deuda, porque el pago debe hacerse a la persona en cuyo favor estuviese constituida la obligación o a otra autorizada para recibirlo en su nombre (art. 1162 del Código Civil). Su empresa pierde el dinero pagado y sigue debiéndolo. Con las nóminas pasa algo parecido.

Por eso conviene hablar con el proveedor el mismo día y por teléfono, antes de que lo haga un abogado de la otra parte.

¿Qué delito es?

Estafa (art. 248 del Código Penal). La pena básica va de seis meses a tres años de prisión; de uno a seis años y multa si lo defraudado supera los 50.000 euros, y de cuatro a ocho años y multa si supera los 250.000 (art. 250). Quien presta su cuenta para recibir el dinero comete blanqueo (art. 301): de seis meses a seis años si sabía que el dinero era de origen delictivo y de seis meses a dos años si actuó por imprudencia grave. Que la voz esté clonada con IA no cambia el delito: solo hace más creíble el engaño ^[4].

Cómo protegerse: siete reglas que caben en una página

1. Dos personas para cada pago relevante. Quien lo prepara no lo aprueba.
2. Devolver siempre la llamada a un número que ya constaba en la empresa, nunca al que da el correo o la propia llamada.
3. Cuenta nueva, pago aplazado. Todo alta o cambio de cuenta se verifica por otro canal y espera un plazo fijo antes del primer pago.
4. La urgencia y el secreto no eximen de comprobar, tampoco cuando la orden viene del primer ejecutivo. Por escrito: nadie será sancionado por colgar y comprobar.
5. Límites pactados con el banco: tope por operación y por día, firma mancomunada a partir de un importe y aviso de cada beneficiario nuevo. Y no renunciar a la verificación del beneficiario que los bancos de la zona euro hacen desde octubre de 2025, tampoco en los pagos en lote (Reglamento (UE) 2024/886).
6. La voz ya no identifica a nadie. Una pregunta de control acordada de antemano para cualquier orden de pago por teléfono o videollamada.
7. Un simulacro al año y, el mismo día, releer la póliza.

Preguntas frecuentes

Si ya ha ocurrido

Llame al banco y después a nosotros: 916 26 63 93 o a través del formulario de contacto. Cuéntenos qué ha pasado, a qué hora ordenó el pago y a qué cuenta fue. No hace falta traer nada para la primera llamada.

Fuentes

1. Tribunal de Justicia de la Unión Europea, sentencia de 15/10/2026, asunto C-70/25 (Tukowiecka), comunicado de prensa n.º 147/26 (en inglés). Enlace
2. Guardia Civil, «La Guardia Civil evita una estafa de 2,2 millones de euros gracias a una denuncia telemática», 08/04/2026. Enlace
3. Tribunal Supremo, Sala de lo Penal: sentencias 30/2015, de 22 de enero (rec. 1219/2014); 403/2015, de 19 de junio (ECLI:ES:TS:2015:3175); 119/2021, de 11 de febrero (ECLI:ES:TS:2021:598), y 575/2023, de 10 de julio (ECLI:ES:TS:2023:3099), que califica el art. 254 como delito leve con prescripción de un año.
4. Código Penal (LO 10/1995), arts. 248, 250, 254 y 301 (BOE); Código Civil, arts. 1162 y 1895 (BOE); Real Decreto-ley 19/2018, de servicios de pago, arts. 36 y 45 (BOE); Ley de Sociedades de Capital, art. 225; Reglamento (UE) 2024/886.

Penal y compliance · Caso abierto: «Le llamó su consejero delegado. No era él.»