Saltar al contenido 459 webs falsas activas imitando a marcas españolas1 nueva en las últimas 24 hLa más suplantada esta semana: CorreosSi te piden un código de 6 dígitos, no lo des. Es la llave de tu cuentaTu banco nunca te pide claves ni códigos por SMS ni por teléfonoPara recibir un Bizum no hay que aceptar nada¿Dudas? Llama al 017: gratis y confidencial
Me han hackeado .es
Protocolo EC-16

Fraude del CEO y facturas falsas: han suplantado el correo de mi empresa

Es el fraude que más dinero cuesta a las empresas españolas: una factura con la cuenta bancaria cambiada o un «necesito que hagas esta transferencia hoy, es confidencial». Las primeras horas deciden si el dinero vuelve.

~120 min en total 6 pasos Revisado el 23/10/2026

En 30 segundos

  1. Pide al banco que recupere la transferencia · 10 min
  2. Cierra la puerta del correo · 20 min
  3. Busca reglas de reenvío y aplicaciones conectadas · 20 min
  4. Avisa por teléfono a clientes y proveedores · 20 min
  5. Guarda pruebas y repórtalo · 20 min
  6. Pon doble factor y DMARC · 30 min

Ayuda gratuita y confidencial: 017 de INCIBE. Para denunciar: Policía Nacional (091) o Guardia Civil (062).

Antes de nada

Si ya se hizo la transferencia, llama YA al banco que la emitió y pide que intente recuperarla. Cada hora que pasa, el dinero está más lejos.

¿Cómo sé si me ha pasado?

  • Un cliente dice que te pagó, pero el dinero no ha llegado: pagó a otra cuenta.
  • Alguien pidió por email una transferencia urgente y confidencial en nombre de la dirección.
  • Un proveedor avisa de que «ha cambiado de banco» por correo.

  1. Pide al banco que recupere la transferencia

    10 min

    El banco de quien pagó tiene que pedir la devolución al banco de destino. Cuanto antes, más posibilidades: en horas, a veces el dinero aún no ha salido.

  2. Cierra la puerta del correo

    20 min

    Cambia la contraseña de las cuentas implicadas y cierra todas sus sesiones. Si el buzón de alguien fue comprometido, el atacante puede seguir leyendo para el próximo intento.

  3. Busca reglas de reenvío y aplicaciones conectadas

    20 min

    En Microsoft 365 o Google Workspace, revisa reglas de buzón, reenvíos, permisos delegados y aplicaciones con acceso. Es donde se esconden para ocultar las respuestas de los clientes.

  4. Avisa por teléfono a clientes y proveedores

    20 min

    Por teléfono, no por email: «no paguéis a ninguna cuenta nueva sin confirmarlo llamando». Si el atacante sigue dentro, leerá tu correo de aviso.

  5. Guarda pruebas y repórtalo

    20 min

    Conserva los correos con sus cabeceras, los justificantes y los registros de acceso. Repórtalo a INCIBE-CERT y denuncia.

    INCIBE: fraude por correo comprometido

  6. Pon doble factor y DMARC

    30 min

    Verificación en dos pasos obligatoria para todo el personal y un registro DMARC en tu dominio, para que nadie pueda enviar correos que parezcan tuyos.

No hagas esto

  • No avises del fraude solo por email: si el atacante sigue dentro, lo leerá.
  • No cambies una cuenta bancaria de un proveedor sin confirmarlo por teléfono a un número que ya tuvieras.
  • No borres los correos fraudulentos: son la prueba.

Ahora, blíndalo

  • Toda petición de cambio de cuenta bancaria se confirma por teléfono.
  • Doble factor en todo el correo de la empresa.
  • SPF, DKIM y DMARC configurados en tu dominio.

Preguntas frecuentes

¿Se puede recuperar una transferencia hecha por fraude?

A veces, si se actúa en horas: el banco que la emitió pide la devolución al de destino. Por eso la primera llamada es al banco.

¿Qué es el fraude del CEO?

Un correo que suplanta a alguien de la dirección y pide una transferencia urgente y confidencial. Funciona por la presión y por saltarse los controles habituales.

¿Cómo evito que suplanten el correo de mi empresa?

Con SPF, DKIM y DMARC en el dominio, doble factor en todas las cuentas y la norma de confirmar por teléfono cualquier cambio de cuenta bancaria.

Fuentes oficiales

Publicado por el equipo de inteligencia de QuantumSec (Quantumsec S.L.). Canales oficiales comprobados el 23/10/2026. ¿Ves algo desactualizado? Escríbenos a contacto@quantumsec.es.

Para ir más allá, lee los tipos de phishing corporativo, del equipo de inteligencia de QuantumSec.

Cuando ya estés a salvo

Repórtalo y denuncia

Denunciar sirve aunque creas que no recuperarás nada: el banco y las plataformas te la pedirán, y muchas veces es la misma banda con cientos de víctimas. Reportarlo a INCIBE ayuda a tumbar la web falsa antes de que caiga otra persona.

1 · Pide consejo

017 · INCIBE

Te orientan gratis sobre qué hacer y cómo denunciar. de 8:00 a 23:00, todos los días del año. También por WhatsApp (900 116 117) y Telegram (@INCIBE017).

Llamar al 017
2 · Reporta el incidente

INCIBE-CERT

Es el equipo de respuesta de referencia para empresas en España. Escribe a incidencias@incibe-cert.es o usa su formulario. Si hay datos personales afectados, notifica además a la AEPD en 72 horas.

Reporta tu incidente
3 · Denuncia

Policía Nacional

Por internet en su Oficina Virtual de Denuncias o en cualquier comisaría, abierta 24 horas. La denuncia por internet solo es válida si la firmas en la comisaría que elijas, como mucho 72 horas después.

Denunciar por internet Llamar al 091
3 · O denuncia en

Guardia Civil

Su sede electrónica admite denunciar estafas y cargos fraudulentos por internet. Con firma electrónica (certificado digital), y no hace falta ir después en persona. Adjunta el extracto del banco si hubo cargos. Dudas: 900 101 062.

Denunciar por internet Llamar al 062

¿Está pasando ahora? Llama al 112, al 091 (Policía Nacional) o al 062 (Guardia Civil).

Antes de denunciar, guarda: capturas de los mensajes y de la web (con la dirección visible), el número o el email que te escribió, los justificantes de pago y la hora a la que pasó. No borres la conversación. Guía completa para denunciar →