Facturas falsas por email: cómo identificar el fraude antes de pagar

Te llega un email con una factura adjunta de un proveedor que conoces. El importe cuadra, el logo es perfecto, hasta el número de cuenta parece legítimo. Y sin embargo, acabas de caer en una de las trampas más rentables del cibercrimen. Las facturas falsas son el pan de cada día de los estafadores digitales, y el factura phishing se ha convertido en una industria multimillonaria. Según el FBI, las pérdidas por estafa factura email (conocida como BEC, Business Email Compromise) superaron los 2.700 millones de dólares solo en 2023. El fraude facturación no discrimina: autónomos, pymes y grandes corporaciones caen por igual. Y lo peor es que una factura fraudulenta bien hecha puede pasar todos los filtros humanos sin despeinarse. Menos mal que existen filtros no humanos — como nosotros, claro.

Anatomía de una factura falsa: así te la cuelan

Antes de enseñarte a detectarlas, necesitas entender cómo funcionan. Los ciberdelincuentes que envían facturas falsas no son aficionados mandando PDFs hechos en Paint. Son operaciones organizadas que investigan a sus víctimas antes de atacar.

El proceso típico sigue estos pasos:

1. Reconocimiento: El atacante investiga tu empresa. Busca proveedores reales en LinkedIn, en tu web, en registros públicos. Necesita saber con quién trabajas para que la factura sea creíble.
2. Suplantación del remitente: Crea un dominio casi idéntico al de tu proveedor real. Si tu proveedor es serviciosweb.com, registra servlciosweb.com (con una L minúscula en lugar de la I). Sutil, ¿verdad?
3. Fabricación del documento: Genera una factura con el logo, la tipografía y el formato exacto del proveedor real. Muchas veces obtienen facturas reales de filtraciones de datos o de empleados comprometidos.
4. El cambiazo de cuenta bancaria: La factura es perfecta en todo... excepto en el número de cuenta. Ahí va el IBAN del estafador, normalmente en un banco de otro país.
5. Timing perfecto: Envían la factura cuando esperarías recibirla, justo antes del cierre de mes o en periodo de facturación habitual.

Y aquí viene lo que más rabia da: el dinero transferido a una cuenta fraudulenta rara vez se recupera. Una vez que haces el pago, el atacante mueve los fondos en cuestión de horas a través de múltiples cuentas en diferentes jurisdicciones. Es como intentar recuperar un cubito de hielo que has lanzado al Mediterráneo en agosto.

Si te interesa este tema, te recomendamos leer nuestro artículo sobre Fraude del CEO: la estafa que puede arruinar a tu empresa, donde profundizamos en aspectos clave relacionados.

Las 7 señales de alerta de una factura fraudulenta

Ahora que sabes cómo opera el fraude facturación, vamos a lo práctico. Estas son las señales que deberían activar tus alarmas antes de pagar cualquier factura recibida por email:

• Cambio de cuenta bancaria: La señal número uno. Si un proveedor habitual te pide que pagues a un IBAN diferente, LLAMA por teléfono (al número que ya tenías, no al que aparece en el email) para confirmar. El 90% de las estafas factura email se basan en este truco.
• Dominio del remitente ligeramente diferente: Revisa la dirección de email carácter por carácter. @empresa.com vs @ernpresa.com, @proveedor.es vs @proveedor.com.es. Los atacantes juegan con tu cerebro, que rellena automáticamente lo que espera ver.
• Urgencia inusual: "Pago inmediato requerido", "Último aviso antes de acciones legales", "Descuento del 5% si pagas hoy". La presión temporal es la mejor amiga del estafador.
• Errores sutiles en el documento: NIF incorrecto, dirección postal con algún error, formato de factura ligeramente diferente al habitual. Compara con facturas anteriores del mismo proveedor.
• Email inesperado o fuera de ciclo: Si tu proveedor factura los día 1 de cada mes y recibes una factura el día 15, sospecha.
• Adjuntos sospechosos: Facturas en formato .exe, .zip con contraseña, o incluso PDFs que piden "habilitar macros". Una factura legítima es un PDF estándar que se abre sin dramas.
• Cabeceras de email sospechosas: Si sabes mirar las cabeceras (headers) del email, comprueba los campos SPF, DKIM y DMARC. Un email que falla estas verificaciones tiene todas las papeletas de ser fraudulento.

Casos reales: cuando la factura phishing hace daño de verdad

Para que no pienses que esto solo le pasa a "los demás", aquí van algunos casos reales de factura phishing que dejaron huella:

El caso de la EMT de Valencia (2019): Una empleada del área financiera de la Empresa Municipal de Transportes de Valencia recibió emails supuestamente de un alto directivo y de asesores legales. Le pidieron transferencias urgentes y confidenciales. Resultado: 4 millones de euros enviados a cuentas en Hong Kong. Se recuperaron... cero euros. El caso acabó en los tribunales y la empleada fue despedida, aunque un juez dictaminó que la empresa también había fallado en sus controles internos.

En 2023, Europol desmanteló una red que había defraudado más de 38 millones de euros a empresas europeas usando exclusivamente facturas fraudulentas. Operaban desde oficinas en varios países, con "empleados" dedicados a investigar proveedores reales de sus víctimas y generar documentación perfecta.

Y no hace falta irse a las grandes cifras. En España, la Policía Nacional reporta miles de denuncias anuales por fraude facturación dirigido a autónomos y pymes. El importe medio ronda los 3.000-15.000 euros: lo suficiente para hacer mucho daño a un negocio pequeño, pero no tanto como para que salga en las noticias.

Si te interesa este tema, te recomendamos leer nuestro artículo sobre Phishing en redes sociales: cómo te roban la cuenta en Instagram y Facebook, donde profundizamos en aspectos clave relacionados.

Cómo protegerte: protocolo anti-factura falsa

Ya está bien de meter miedo. Aquí tienes un protocolo práctico que puedes implementar hoy mismo, seas autónomo o gestiones los pagos de una empresa. Contra la estafa factura email, la mejor defensa es un proceso bien definido:

Verificación de identidad

• Establece un canal de verificación fuera del email con cada proveedor. Si recibes una factura por email, confirma por teléfono o WhatsApp (usando el número que ya tienes guardado, nunca el que aparezca en el email sospechoso).
• Implementa una política de "doble firma" para pagos superiores a cierto importe. Que al menos dos personas autoricen transferencias grandes.
• Mantén un registro actualizado de los IBANs de tus proveedores. Cualquier cambio requiere confirmación verbal obligatoria.

Protección técnica

• Activa SPF, DKIM y DMARC en tu dominio de email. Si no sabes lo que es, tu informático sí — y si no tiene informático, estamos en 2026, consigue uno.
• Usa un filtro de email con IA que analice patrones de factura phishing. Uno que detecte dominios similares, analice adjuntos y marque cambios de cuenta bancaria. Casualmente, conocemos uno bastante bueno (guiño, guiño).
• Verifica las cabeceras de emails sospechosos en herramientas como MXToolbox o Google Admin Toolbox.
• Analiza adjuntos sospechosos en VirusTotal antes de abrirlos. Es gratuito y te dirá si el PDF esconde algo desagradable.

Formación del equipo

• El eslabón más débil siempre es el humano. Forma a todo el personal que gestione pagos sobre las señales de facturas falsas.
• Realiza simulacros de phishing periódicos. Envía facturas falsas controladas y mide quién pica. Sin señalar con el dedo, sino para mejorar.
• Crea un canal interno donde cualquier empleado pueda reportar emails sospechosos sin sentirse ridículo por "molestar".

Qué hacer si ya has pagado una factura fraudulenta

Si estás leyendo esto con el estómago encogido porque acabas de hacer una transferencia sospechosa, respira y actúa rápido. El tiempo es crítico cuando se trata de fraude facturación:

1. Contacta a tu banco INMEDIATAMENTE. Literalmente ahora. Cada minuto cuenta. Los bancos pueden intentar una "orden de retrocesión" si la transferencia no se ha completado. Pasadas 24-48 horas, las probabilidades de recuperar el dinero caen en picado.
2. Denuncia ante la Policía Nacional o Guardia Civil. Guarda todos los emails, cabeceras, facturas y comprobantes de transferencia. La denuncia es imprescindible para cualquier reclamación posterior.
3. Reporta al INCIBE (017 o a través de su web). El Instituto Nacional de Ciberseguridad puede asesorarte y tu caso ayudará a alertar a otras potenciales víctimas.
4. Notifica a tu proveedor real. Es posible que su email haya sido comprometido y no lo sepa. Avisarle puede evitar que otros clientes suyos caigan en la misma trampa.
5. Revisa todos los pagos recientes. Si un atacante ha tenido acceso suficiente para enviarte una factura fraudulenta convincente, puede que no sea la primera ni la última.

Preguntas frecuentes

¿Puedo recuperar el dinero si he pagado una factura falsa?

Depende de la velocidad de reacción. Si contactas a tu banco en las primeras horas, hay posibilidades de bloquear la transferencia, especialmente si es una transferencia SEPA dentro de la UE. Pasadas 48 horas, las probabilidades son muy bajas. Según datos del IC3 del FBI, solo se recupera el 29% de los fondos en casos de BEC, y eso en el mejor escenario. Moraleja: llama al banco antes que a tu madre.

¿Cómo sé si el email de mi proveedor ha sido hackeado?

Si recibes una factura legítima en formato y contenido pero con un IBAN diferente desde la dirección real de tu proveedor (no una suplantada), es probable que su cuenta de email haya sido comprometida. Avísale por otro canal. También puedes comprobar si su dominio aparece en filtraciones conocidas usando Have I Been Pwned. Si el email viene de un dominio parecido pero no idéntico, no es un hackeo sino una suplantación — igual de peligrosa, pero diferente técnicamente.

¿Las facturas falsas solo llegan por email?

Principalmente sí, pero no exclusivamente. Se han documentado casos de facturas falsas enviadas por correo postal, por WhatsApp Business e incluso por plataformas de facturación comprometidas. El email sigue siendo el canal estrella porque es fácil de suplantar y difícil de verificar para el receptor medio. También se han visto ataques donde el estafador intercepta una conversación real por email (man-in-the-middle) y sustituye la factura legítima por la fraudulenta en tiempo real.

¿Mi seguro cubre las pérdidas por fraude de facturación?

Depende de tu póliza. Los seguros de ciberriesgo (cada vez más comunes) suelen cubrir pérdidas por ingeniería social, incluido el fraude facturación. Pero ojo con la letra pequeña: muchas pólizas exigen que tengas "controles razonables" implementados. Si no tenías ningún protocolo de verificación, la aseguradora podría rechazar la reclamación. Consulta con tu corredor y, ya puestos, contrata un ciberseguro si manejas pagos regularmente.

Las facturas falsas no van a desaparecer. De hecho, con la inteligencia artificial generativa, cada vez serán más convincentes y difíciles de detectar a simple vista. Pero con un protocolo de verificación sólido, las herramientas adecuadas y un equipo formado, puedes convertir tu bandeja de entrada en una fortaleza. Y si quieres una capa extra de protección automática que analice cada email antes de que llegue a tus ojos — bueno, ya sabes dónde encontrarnos. Explora el resto del blog para más guías prácticas sobre cómo mantener a los estafadores donde les corresponde: lejos de tu dinero.