¿El proveedor cambió sus datos bancarios por correo electrónico? Detente y verifica

October 18, 2026

Una nueva cuenta bancaria en el correo electrónico de un proveedor es una de las formas más comunes de robar pagos comerciales. Cómo funciona la estafa, las señales de advertencia y qué hacer.

Respuesta breve: si un proveedor te envía por correo electrónico nuevos datos bancarios, no pagues hasta haber confirmado el cambio por teléfono o videollamada, en un número que ya tuvieras. En muchos casos, el correo electrónico procede realmente de la dirección del propio proveedor, porque el buzón del proveedor ha sido hackeado.

Cómo funciona la estafa

Alguien entra en un buzón. Normalmente el del vendedor, a veces el del comprador, mediante una página de inicio de sesión falsa o una contraseña robada.
Leen en silencio y esperan. No ocurre nada hasta que vence una factura o un pago.
Envían datos bancarios "actualizados". El motivo suena rutinario: la cuenta habitual está "siendo auditada", "bajo inspección fiscal" o "cerrada por mantenimiento". El correo electrónico procede de la dirección real, o de una dirección similar con una letra cambiada.
El dinero se mueve rápido. La cuenta receptora pertenece a un intermediario, y los fondos suelen transferirse en cuestión de horas o días.

Qué magnitud tiene el problema

El FBI llama al compromiso de correo electrónico empresarial "la estafa de los 55.000 millones de dólares": esa es la pérdida expuesta que contabilizó en todo el mundo desde octubre de 2013 hasta diciembre de 2023. Solo en 2024, el Centro de Denuncias de Delitos en Internet del FBI recibió 21.442 denuncias de este tipo, con pérdidas declaradas de 2.770.151.146 dólares.

Qué han decidido los tribunales y los reguladores

Bélgica, 2021. Una empresa recibió un correo electrónico, aparentemente de su proveedor, en el que se le pedía pagar en una cuenta diferente y extranjera. El correo del proveedor había sido hackeado. La empresa cuestionó el cambio internamente, pero pagó de todos modos. El Tribunal de Empresas de Bruselas (27 de octubre de 2021) dictaminó que no podía ampararse en el correo fraudulento y que seguía obligada a pagar al proveedor, más intereses y daños y perjuicios. Una decisión anterior del Tribunal de Apelación de Amberes (5 de septiembre de 2019) llegó a la misma conclusión aunque el correo procedía de la dirección habitual del vendedor.
Reino Unido. Un director de empresa pagó £12.000 después de que un segundo correo, enviado desde el buzón real pero hackeado del proveedor, indicara que la cuenta habitual estaba «siendo auditada». El Defensor del Pueblo Financiero determinó que la advertencia de fraude del banco no explicaba cómo funciona este tipo de estafa, y ordenó al banco reembolsarle íntegramente.

La lección: recuperar o no el dinero depende de tu país, tu banco y los hechos. En muchos lugares, pagar en la cuenta equivocada no cancela lo que debes a tu proveedor real.

Señales de advertencia

La nueva cuenta está en un país diferente al del proveedor.
El nombre de la cuenta no coincide exactamente con el vendedor nombrado en tu contrato.
El correo apremia: «paga hoy o se detiene la producción».
Una razón que suena rutinaria: auditoría, inspección fiscal, mantenimiento bancario.
La dirección de correo, o la dirección de respuesta, difiere en una letra o un dominio.
Te piden mantener el cambio en confidencialidad, o dividir el pago.

Cómo proteger tus pagos

Incluya los datos bancarios del vendedor en el contrato firmado y acuerde que solo puedan modificarse mediante una enmienda firmada.
Nunca acepte un cambio solo por correo electrónico. Llame o haga una videollamada a una persona que ya conozca, a un número que ya tuviera.
Compruebe que el nombre de la cuenta coincide con el vendedor de su contrato, carácter por carácter.
Un pequeño pago de prueba solo demuestra que la cuenta existe, no quién es su titular.
Active el inicio de sesión en dos pasos para sus propias cuentas de correo electrónico.

Para consultar la lista completa de 10 puntos, vea Cómo comprar acero de China sin ser estafado.

Si ya ha pagado

Llame a su banco de inmediato. Pídale que recupere el pago y que contacte con el banco receptor. Las horas importan: en 2024, el Recovery Asset Team del FBI intentó congelar fondos en 3.020 casos e informó de una tasa de éxito del 66%.
Denúncielo a la policía. En Estados Unidos, preséntelo también en ic3.gov.
Conserve las pruebas: los correos electrónicos con las cabeceras completas, las facturas y los registros de pago.
Avise a su proveedor real a través de un canal de confianza y cambie las contraseñas de su propio correo electrónico.
Consulte a un abogado sobre su situación según su contrato. Esta página es información general, no asesoramiento jurídico.

Cómo funciona cuando su contrato es con SinoAli

Su contrato indica la cuenta bancaria de la empresa SinoAli, y SinoAli nunca le pedirá que pague a una cuenta personal. Si recibe un mensaje en el que se le pide cambiar la cuenta bancaria, no pague. Verifíquelo primero con su gestor de cuenta de SinoAli por teléfono o videollamada.

Lea cómo funciona el pago

Preguntas que hacen los compradores

El correo provenía de la dirección real de mi proveedor. ¿Es seguro? No. En los casos anteriores el correo provenía de la dirección real, porque el buzón había sido hackeado. Confírmalo por teléfono o videollamada a un número que ya tuvieras.

¿Puedo recuperar mi dinero? A veces, si actúas en cuestión de horas o días. Una vez que el dinero ha salido de la cuenta receptora, la recuperación es poco frecuente.

¿Seguiré debiendo dinero a mi proveedor? A menudo, sí. En los casos belgas el comprador tuvo que pagar de nuevo. Depende de tu contrato y de tu país.

¿Un pequeño pago de prueba demuestra que la cuenta es auténtica? No. Demuestra que la cuenta existe, no de quién es.