La estafa del proveedor falso: cómo el fraude de correo corporativo desvía pagos y cómo verificar un cambio de cuenta
Un correo del “proveedor” que pide nuevos datos de pago es una de las estafas más costosas contra empresas. Vea cómo funciona el fraude, las cifras del FBI y un protocolo de verificación para aplicar antes de pagar.
Referencia histórica: 9 de diciembre de 2025. Publicado en este sitio el 2 de noviembre de 2026. Las fechas del texto identifican el período tratado.
En este artículo
En resumen
- El fraude de correo corporativo (BEC) engaña a la empresa para que pague a un tercero: el estafador se hace pasar por el proveedor o por un ejecutivo y pide nuevos datos de pago.
- El FBI contabilizó US$ 55.500 millones en pérdidas expuestas por BEC entre 2013 y 2023 y 21.442 denuncias solo en 2024.
- La estafa explota el proceso, no la tecnología: prisa, un correo comprometido o parecido y ninguna confirmación por otro canal.
- La defensa es un protocolo simple: ningún cambio de cuenta o billetera vale sin confirmación por un segundo canal ya conocido, con doble aprobación interna.
La empresa tiene un proveedor de larga data, una factura abierta y, la víspera del vencimiento, llega un correo breve: “Cambiamos de banco, use los nuevos datos desde hoy”. El mensaje tiene el tono, la firma e incluso el historial de la conversación. El pago sale y, semanas después, el proveedor verdadero cobra una factura que nunca recibió. Este es el guion estándar del fraude de correo corporativo, conocido por la sigla en inglés BEC (*business email compromise*).
La estafa es anterior a las criptomonedas y vale para cualquier medio de pago: transferencia bancaria, boleto, Pix o billetera de USDT. La diferencia es lo que ocurre después. Un pago confirmado en la blockchain no vuelve, y recuperar una transferencia internacional depende de un plazo corto y de bancos dispuestos a cooperar. Por eso la verificación debe venir antes.
- Pérdidas expuestas por BEC en el mundo entre oct/2013 y dic/2023 (FBI IC3, sep/2024)
- US$ 55.500 M
- Incidentes de BEC en el mismo período, en 186 países
- 305.033
- Denuncias de BEC al IC3 en 2024, con pérdidas de cerca de US$ 2.770 millones (informe de abr/2025)
- 21.442
- Aumento de las pérdidas expuestas globales de dic/2022 a dic/2023
- +9%
Cómo funciona el fraude de correo corporativo
El FBI define el BEC como una estafa sofisticada que afecta a empresas y personas que hacen transferencias legítimas de dinero. El delincuente toma una cuenta de correo verdadera, por ingeniería social o intrusión, o crea una muy parecida. Desde ahí, interviene en una conversación real de cobro o abre una nueva. Hay cuatro variaciones comunes:
Nada de esto depende de software malicioso sofisticado. El fraude se apoya en la prisa, en la jerarquía y en la confianza que la empresa tiene en la conversación ya existente. Es el mismo principio de las estafas de falso soporte descritas en Estafas del falso soporte y de la falsa recuperación de cripto: el delincuente quiere que la propia víctima haga la transferencia.
Qué dicen las cifras del FBI
En septiembre de 2024, el Internet Crime Complaint Center (IC3), del FBI, actualizó la alerta sobre el tema. Entre octubre de 2013 y diciembre de 2023, los incidentes de BEC en el mundo sumaron US$ 55.499.915.582 en pérdidas expuestas. El término “expuesta” incluye pérdidas reales e intentos, por lo que el valor no equivale a dinero efectivamente desviado.
| Categoría | Cantidad | Pérdida expuesta |
|---|---|---|
| Todos los incidentes, en el mundo | 305.033 | US$ 55.500 millones |
| Víctimas en EE. UU. (denuncias) | 158.436 | US$ 20.100 millones |
| Víctimas fuera de EE. UU. (denuncias) | 6.546 | US$ 1.600 millones |
| Cuentas receptoras en EE. UU. | 89.756 | US$ 17.500 millones |
| Cuentas receptoras fuera de EE. UU. | 22.190 | US$ 9.000 millones |
La primera fila abarca todos los países: la alerta del FBI no separa datos de Brasil. También hay un cambio de ruta. En 2023, el IC3 registró más casos en que el dinero fue enviado a instituciones que guardan fondos de procesadores de pago, de servicios de pago entre personas y de casas de cambio de criptomonedas. Los bancos del Reino Unido y de Hong Kong fueron las paradas intermedias más frecuentes, seguidos por los de China, México y los Emiratos Árabes Unidos.
En el informe anual del IC3 divulgado en abril de 2025, el BEC aparece como el 7.º delito más denunciado de 2024, con 21.442 denuncias, pero el 2.º en pérdidas, con cerca de US$ 2.770 millones, solo detrás de los fraudes de inversión. El total de todos los delitos sumó US$ 16.600 millones. De 2022 a 2024, las pérdidas por BEC informadas al IC3 llegaron a casi US$ 8.500 millones, según Nacha, la entidad que define las reglas de la red de pagos ACH de Estados Unidos. Es una estafa de poco volumen y alto valor por caso.
Señales de alerta antes de pagar
- Pedido de cambio de cuenta, banco o billetera hecho solo por correo o mensaje.
- Urgencia inusual, con pedido de confidencialidad o de pago “todavía hoy”.
- Dirección de correo con una diferencia mínima: una letra cambiada, un dominio como .co en lugar de .com, o el nombre correcto con un dominio distinto.
- Cuenta bancaria en otro país, a nombre de un tercero, o billetera distinta de la usada antes.
- Negativa a hacer una llamada o videollamada para confirmar.
- Cambio de tono, de idioma o de firma respecto de los mensajes anteriores.
Un dato de pago nuevo, en cualquier formato, es el momento de detenerse. Un proveedor legítimo acepta la confirmación: quien se incomoda con ella merece desconfianza, no prisa.
Protocolo de verificación por un segundo canal
El FBI recomienda confirmar cualquier pedido de cambio de datos por un canal secundario o con autenticación en dos factores. Para convertirlo en rutina, las empresas pueden adoptar un procedimiento escrito, con pocas etapas:
- Registre el cambio como excepción: ningún pago a datos nuevos sale sin pasar por el procedimiento, incluso con un monto pequeño.
- Confirme por un canal ya conocido, como el teléfono del contrato o del registro anterior, nunca por el número o enlace que vino en el mismo correo.
- Pida el dato nuevo en un documento formal firmado por la persona autorizada por el proveedor, y compare el nombre del beneficiario con el del contrato o de la factura.
- Exija doble aprobación interna: quien registra el dato no es quien libera el pago.
- Haga un pago de prueba de monto bajo y pida confirmación de la recepción antes de liberar el total.
- Guarde el registro de la confirmación (fecha, persona, canal) junto con la factura.
Para pagos en USDT, la etapa 3 incluye verificar la dirección TRC-20 carácter por carácter, por dos canales, y revisar el historial en el explorador de bloques, como muestra la guía Cómo verificar una transacción de USDT en Tronscan. Quien copia direcciones del historial también corre el riesgo descrito en Envenenamiento de direcciones en USDT.
Si el pago ya salió
El tiempo decide el resultado. El FBI orienta a contactar de inmediato a la institución financiera para pedir el recall de los fondos y los documentos de indemnización, y a registrar la denuncia en ic3.gov cuanto antes, sea cual sea el monto, para intentar congelar el dinero. En Brasil, la empresa también debe avisar al banco y registrar una denuncia policial (boletim de ocorrência). En la blockchain no hay contracargo: la única posibilidad es avisar rápido a la casa de cambio que recibió el monto o al emisor de la stablecoin, que pueden congelar el saldo mientras no haya salido de allí.
Preguntas frecuentes
¿Qué es el fraude de correo corporativo (BEC)?
Es una estafa en la que el delincuente vulnera o imita el correo de un proveedor, de un ejecutivo o de un socio para inducir a la empresa a hacer una transferencia legítima a una cuenta o billetera que él controla. El FBI lo describe como una estafa sofisticada contra empresas y personas que hacen transferencias de dinero.
¿Cómo confirmar un cambio de cuenta de un proveedor?
Llame al número ya registrado en el contrato o en el sistema, nunca al que vino en el correo, y pida la confirmación por escrito de una persona autorizada. Compare el nombre del beneficiario con el contrato, exija doble aprobación interna y haga un pago de prueba antes del monto total.
¿Cuánto perjuicio causa la estafa de BEC?
El FBI IC3 registró US$ 55.500 millones en pérdidas expuestas entre 2013 y 2023, en todo el mundo. En 2024, el IC3 recibió 21.442 denuncias de BEC, con pérdidas de cerca de US$ 2.770 millones.
¿Se puede recuperar un pago enviado al estafador?
En una transferencia bancaria, a veces, si se avisa pronto al banco y el dinero aún está en la cuenta de destino. En USDT, la transacción confirmada es irreversible, y la única posibilidad es avisar rápido a la plataforma que recibió el monto para intentar bloquear el saldo.
¿Te resultó útil? Compártelo con quien paga a proveedores en el exterior.
Fuentes
- Business Email Compromise: The $55 Billion Scam (Alert I-091124-PSA) · FBI Internet Crime Complaint Center (IC3), 11 sept 2024
- Internet Crime Report 2024 · FBI Internet Crime Complaint Center (IC3), 23 abr 2025
- FBI's IC3 Finds Almost $8.5 Billion Lost to Business Email Compromise in Last Three Years · Nacha, 24 abr 2025
Contenido informativo, sin recomendación de inversión. Las marcas de terceros citadas pertenecen a sus titulares; la mención es periodística y no indica asociación ni vínculo con Swapo Finance.
Pagos internacionales con la velocidad del Pix y las reglas del Banco Central.
Convierte reales en USDT y envíalos al proveedor en la red TRON. Tarifa única mostrada antes, política de segregación patrimonial, atención humana. Activo virtual sin cobertura del FGC; solicitud de autorización presentada ante el BCB.
