Análisis profesional de riesgos
El fraude por manipulación no empieza en los sistemas. Empieza en una orden de pago que encaja demasiado bien en la rutina de la empresa.
Desde el 9 de octubre de 2025, los proveedores de servicios de pago en España y en los demás países cuya moneda es el euro deben ofrecer la verificación del beneficiario: antes de que el ordenante pueda autorizar una transferencia en euros, comprueban si el nombre indicado coincide con el titular del IBAN y le avisan si no es así. Es un cambio relevante frente a la ingeniería social en la empresa, pero no la elimina: el aviso no bloquea el pago, y una empresa que decide continuar asume buena parte del riesgo. El engaño sigue funcionando cuando copia el lenguaje, el momento y la presión real del negocio, y lo que decide la pérdida es si la operativa permite pagar sin una segunda validación y si la póliza contratada cubre ese tipo de fraude.
Así entra el fraude en la operativa diaria
En una industria auxiliar, el engaño puede llegar como una orden urgente de pago que parece venir de gerencia o de un proveedor conocido. En una constructora, como un cambio de cuenta bancaria justo antes de una certificación o de una factura de acopio. En un despacho profesional, como un mensaje de apariencia impecable que pide remitir documentación, validar accesos o ejecutar una transferencia para cerrar una operación ese mismo día.
El riesgo no está en que un empleado haga algo absurdo, sino en que el fraude imite una situación que ya se esperaba. Cuando coincide con cierres de mes, vacaciones, sustituciones o picos de obra, el control interno se relaja justo donde más dinero se mueve. La persona con más experiencia, que lleva años pagando al mismo proveedor y reconoce nombres y rutinas, puede bajar la guardia precisamente porque el mensaje encaja.
Y el perjuicio no termina en la transferencia. En fabricación, si una planta paga por adelantado a una cuenta manipulada, el proveedor real no libera la expedición y la producción se retrasa. En construcción, un cambio falso de cuenta puede afectar a subcontratas, certificaciones y retenciones, y el conflicto posterior obliga a demostrar quién falló en la verificación. En servicios profesionales, una instrucción falsa o una documentación filtrada hace que el cliente cuestione toda la cadena de custodia.
La empresa no pierde dinero porque alguien no supiera informática. Lo pierde porque una orden falsa encaja demasiado bien en una rutina verdadera.
Quién responde cuando la ingeniería social en la empresa termina en una transferencia
El banco, con límites. Bajo el régimen anterior, una transferencia ejecutada conforme al IBAN que facilitaba el ordenante se consideraba correctamente ejecutada aunque el nombre indicado no coincidiera; el banco debía hacer esfuerzos razonables para recuperar los fondos, pero quedaba libre de responsabilidad. Así lo aplicó el Tribunal Supremo en noviembre de 2025, al resolver una transferencia realizada en 2019. Desde octubre de 2025 existe además la obligación específica de verificar al beneficiario: si el proveedor la incumple y ese incumplimiento provoca una operación defectuosamente ejecutada, puede nacer la obligación legal de reembolso; si la cumple, advierte de la discordancia y la empresa decide seguir adelante, la posición jurídica de la empresa empeora significativamente. Conviene comprobar además si la empresa ha renunciado a esa verificación para los pagos que envía en bloque.
La propia empresa, salvo que tenga un seguro que lo cubra. Una transferencia autorizada por un empleado engañado no queda cubierta automáticamente por el hecho de existir una póliza de ciberriesgos. El fraude puede producirse mediante una simple suplantación o estar relacionado con el compromiso de un correo o de unas credenciales; lo determinante desde el punto de vista asegurador es si la póliza cubre expresamente la pérdida financiera derivada de ingeniería social o de fraude en transferencias. Algunas incluyen el fraude por ingeniería social o «fraude del CEO» como garantía específica, con un sublímite propio; otras lo ofrecen como extensión opcional, y otras lo excluyen. El fraude cometido por los propios empleados es otro riesgo distinto, que se cubre con garantías específicas de infidelidad de empleados.
Frente a terceros. Si el incidente compromete datos de clientes, puede ser obligatorio notificar la brecha a la autoridad de protección de datos y a los afectados, y los clientes perjudicados pueden reclamar. Esas consecuencias corresponden a otras garantías: la gestión de incidentes y la responsabilidad frente a terceros de un seguro de ciberriesgos, o la responsabilidad civil profesional cuando se trata de un despacho.
La póliza puede exigir los mismos controles que evitan el fraude
Cuando una póliza cubre el fraude por ingeniería social, puede condicionarlo a que la empresa aplique procedimientos de verificación concretos: confirmar los cambios de cuenta por un canal distinto del que trajo la petición, doble autorización a partir de cierto importe o comprobación telefónica con un contacto ya registrado. Si el procedimiento previsto no se siguió, la cobertura puede discutirse.
Por eso la revisión del seguro y la revisión del procedimiento van juntas. El control que impide el fraude puede ser el mismo que la póliza exige para pagarlo. Y conviene comprobar el sublímite: una cobertura de fraude con un límite muy inferior al volumen ordinario de transferencias deja la mayor parte del riesgo en la empresa.
Seis puntos que revisar en su empresa
- Cómo se autoriza un cambio de cuenta de un proveedor y si se confirma por un canal distinto del que trajo la petición.
- Quién puede ordenar un pago fuera del circuito normal y con qué límites.
- Si los límites internos de autorización se han actualizado al volumen actual de transferencias.
- Qué hace la empresa cuando el banco avisa de que el nombre no coincide con el IBAN, y si ha renunciado a esa verificación en pagos por lotes.
- Si su póliza de ciberriesgos incluye el fraude por ingeniería social, con qué sublímite y con qué procedimientos exigidos.
- Qué protocolo se aplica en vacaciones o sustituciones, cuando cambian las personas que validan los pagos.
Un cambio de cuenta en la semana de cierre
Suponga que administración recibe, el día antes de la remesa mensual, un correo de un proveedor conocido con su firma, su logotipo y un tono reconocible. Comunica un cambio de cuenta bancaria y adjunta un certificado de titularidad. El responsable de pagos está de vacaciones y quien le sustituye tiene prisa por cerrar.
¿Existe un procedimiento escrito que obligue a confirmar el cambio por teléfono con un contacto ya registrado?
¿Qué haría quien ordena el pago si el banco avisara de que el nombre no coincide con el IBAN?
¿Cubriría su póliza esa transferencia si resultara fraudulenta, y con qué límite?
Preguntas frecuentes
¿En una constructora el mayor riesgo está en la transferencia o en el cambio de cuenta del proveedor?
Van juntos: el cambio de cuenta es el mecanismo y la transferencia es la consecuencia visible. El fraude aprovecha momentos de obra con urgencia documental, en los que nadie quiere frenar un pago que puede parar un tajo o deteriorar la relación con una subcontrata. Por eso el control debe estar en el cambio de cuenta, antes del pago.
¿Basta con formar al personal de administración?
No. La formación ayuda, pero la pérdida nace de un fallo de proceso, no solo de atención. Si compras, producción y tesorería trabajan con prisa sobre un suministro crítico, lo que evita el daño es una validación cruzada que no pueda saltarse por urgencia. Ese mismo procedimiento puede ser una condición de la póliza.
¿Puede haber reclamaciones de clientes en un despacho aunque el dinero salga de la cuenta de la empresa?
Sí, si el incidente compromete instrucciones, documentación o plazos y el cliente acredita un perjuicio. Si se ven afectados datos personales, puede haber además obligación de notificar la brecha. Y el daño reputacional pesa: la pérdida más seria puede ser la salida silenciosa de clientes en los meses siguientes.
El desfase entre la escala de la empresa y sus controles
La ingeniería social en la empresa no explota un fallo técnico, sino una rutina que nadie discute. Cuanto más normalizada está, más fácil resulta que una orden falsa la atraviese. La consecuencia más cara no es el primer pago indebido: es descubrir que un negocio con buenos clientes y años de oficio seguía tomando decisiones críticas con verificaciones pensadas para otra escala, y con una póliza que no cubría ese fraude o lo cubría con un límite insuficiente. Ese desfase se paga, y se paga con tesorería propia.
Determinada la protección que su operativa exige, trabajar con acceso a más de 95 compañías amplía el universo desde el que buscar y contrastar, entre las entidades que ofrecen soluciones adecuadas, coberturas de fraude por ingeniería social, sublímites, procedimientos exigidos y precio. La aceptación y las condiciones dependen de la actividad, del volumen de transferencias, de los controles internos y de los criterios de suscripción de cada entidad.
La revisión de sus seguros no tiene coste y no implica obligación de contratar. Es un servicio que ofrecemos siempre de forma gratuita, también cuando la conclusión es que su póliza actual está bien planteada.
Mateo Molina · Molina López — Análisis y Optimización de Seguros
Información de carácter general que no sustituye el análisis de su caso, el asesoramiento jurídico ni el condicionado de su póliza. Verificación del beneficiario en transferencias en euros: Reglamento (UE) 2024/886 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, aplicable desde el 9 de octubre de 2025. Ejecución de órdenes conforme al identificador único: artículo 59 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, y Sentencia del Tribunal Supremo 1733/2025, de 27 de noviembre, que resolvió una transferencia efectuada en 2019 conforme al régimen entonces aplicable. Notificación de violaciones de seguridad de datos personales: artículos 33 y 34 del Reglamento (UE) 2016/679, General de Protección de Datos. Las coberturas de fraude por ingeniería social, sus sublímites, los procedimientos de verificación exigidos y las exclusiones son los pactados en cada contrato y varían entre entidades; deben verificarse en sus condiciones generales, particulares y especiales. Ante un fraude, comuníquelo de inmediato a su banco, a su aseguradora y a las autoridades.
¿Cubriría su póliza una transferencia fraudulenta?
Revisamos si su empresa tiene cubierto el fraude por ingeniería social, con qué sublímite y con qué procedimientos exigidos, frente a su volumen real de pagos y a sus controles internos.
Solicitar la revisión de los seguros de mi empresa