Imagínalo: tu contable paga una factura de 48.000 dólares de un proveedor con el que trabajas desde hace años. El hilo de correo es real. El número de factura coincide. Lo único distinto es una breve nota que dice que el proveedor cambió de banco, con nuevas instrucciones de transferencia adjuntas. Tu contable envía el dinero y este aterriza en la cuenta de un estafador. Cuando llamas al banco, descubres lo peor: como tú autorizaste la transferencia, el banco no está obligado a devolverte ni un solo dólar.
Eso es el fraude de pago push autorizado, o fraude APP, y es la forma de robo empresarial que crece más rápido. A diferencia del fraude con tarjeta de crédito, no hay un número de tarjeta robado ni un cargo no autorizado que disputar. Alguien te engaña para que pulses el botón tú mismo. Deloitte estima que las pérdidas por fraude APP en Estados Unidos alcanzaron los 8.300 millones de dólares en 2024 y podrían llegar a 14.900 millones en 2028, o 18.200 millones si las estafas impulsadas por IA superan las defensas de la sociedad. El Centro de Denuncias de Delitos en Internet del FBI registró 24.768 denuncias por compromiso de correo empresarial solo en 2025, con un total de 3.050 millones de dólares en pérdidas reportadas. Y el 79 % de las organizaciones sufrió intentos o casos reales de fraude en pagos en 2024, según la Association for Financial Professionals, que situó el compromiso de correo empresarial como el vector de ataque más común.
Si llevas una pequeña empresa, este no es un problema del departamento financiero de otro. Tú eres el departamento financiero. Aquí tienes cómo funciona la estafa, por qué el dinero es tan difícil de recuperar y los controles que realmente la detienen.
Cómo funciona la estafa: el manual de la factura del proveedor
Las estafas de suplantación de empresas fueron el tipo de fraude APP más denunciado en 2024, con más de 360.000 casos reportados. La versión dirigida a pequeñas empresas suele seguir el mismo guion en tres actos.
Acto 1: la preparación — una bandeja de entrada secuestrada que no puedes ver
El atacante compromete una cuenta de correo —a veces la tuya, más a menudo la de tu proveedor— y luego guarda silencio. Durante semanas, reglas de la bandeja de entrada reenvían automáticamente cada mensaje que contiene palabras como "factura", "pago" o "transferencia" al estafador, que estudia tus ritmos de pago: quién aprueba qué, a qué proveedores se les paga y cuándo, y cómo es un hilo de factura normal. Nada parece ir mal porque aún nada va mal. Los criminales solo están leyendo.
Acto 2: el cambio — nuevos datos bancarios en un hilo real
Cuando vence una factura real, el estafador ataca dentro del hilo de correo genuino, ya sea desde la cuenta comprometida o desde un dominio similar (tu-proveedor.com frente a tuproveedor.com). El mensaje es breve y creíble: "Hemos cambiado de banco; utiliza las instrucciones adjuntas para este y futuros pagos". La factura en sí es legítima. El importe es el esperado. Lo único que cambió es adónde va el dinero.
Esto funciona porque llega exactamente cuando esperas pagar, de alguien en quien confías, sobre un importe que reconoces. Tu escepticismo habitual nunca se activa. Muchas víctimas solo descubren el fraude semanas después, cuando el proveedor real llama para preguntar por qué la factura sigue sin pagarse.
Acto 3: la mejora con IA — falsificaciones impecables a escala
La IA generativa ha eliminado todos los indicios que antes delataban estas estafas. El inglés deficiente desapareció. Los estafadores ahora clonan la voz de un contacto del proveedor para una "llamada rápida de confirmación", generan vídeo deepfake para reuniones de verificación virtual y despliegan agentes de IA que mantienen decenas de conversaciones fraudulentas personalizadas a la vez. Deloitte señala las estafas de inversión como el mayor motor del crecimiento del fraude APP —multiplicadas por catorce desde 2020 hasta unos 4.600 millones de dólares estimados en 2024—, pero las mismas herramientas de IA apuntan directamente a los pagos empresariales, donde una sola transferencia redirigida puede valer decenas de miles de dólares.
Por qué tu banco probablemente no te dejará indemne
Aquí está la asimetría que todo dueño de negocio debe entender. Cuando alguien roba el número de tu tarjeta de crédito, la ley federal limita tu pérdida y el banco asume el resto. Cuando alguien te engaña para que le transfieras dinero, tú lo enviaste. La transferencia fue autorizada —por ti, bajo engaño— y las transferencias autorizadas son brutalmente difíciles de revertir una vez que los fondos salen, sobre todo por transferencias y rieles de pago en tiempo real que se liquidan en segundos.
Para las empresas, la brecha de protección es aún mayor que para los consumidores. Los derechos de resolución de errores de la Regulación E cubren cuentas de consumidores, no cuentas empresariales, y en cualquier caso se redactaron para transferencias no autorizadas. Las transferencias empresariales generalmente se rigen por el derecho comercial estatal, donde la cuestión es si el banco siguió procedimientos de seguridad "comercialmente razonables", no si a ti te engañaron. Si tu banco siguió sus procedimientos acordados y tú autenticaste el pago, la pérdida es presuntamente tuya.
Otros países han empezado a cerrar esta brecha. Desde octubre de 2024, los bancos del Reino Unido están obligados a reembolsar a las víctimas de fraude APP hasta 85.000 libras por reclamación, con el coste repartido a partes iguales entre la entidad emisora y la receptora. Estados Unidos no tiene una norma equivalente. Un proyecto de ley bipartidista, la TRAPS Act, crearía un grupo de trabajo federal sobre estafas de pago digital, pero es legislación en fase temprana, no una red de seguridad. Hasta que cambie la ley, tus controles internos son tu única póliza de seguro, y a diferencia del seguro, son gratis.
Los controles que realmente lo detienen
No necesitas un departamento antifraude empresarial. Cada control a continuación está dimensionado para un negocio donde el dueño aprueba pagos entre todo lo demás. Impleméntalos en orden; solo los dos primeros habrían evitado la mayoría de las pérdidas en los datos de denuncias del FBI.
1. Verifica cada cambio de datos bancarios por un canal alternativo, sin excepciones
Convierte esto en tu única regla no negociable: ningún cambio en instrucciones de pago se acepta jamás solo por correo electrónico. Cuando cualquier proveedor —incluso uno de confianza en un hilo conocido— envíe nuevos datos bancarios, alguien llama a un número de teléfono conocido y guardado previamente de ese proveedor (no a un número del correo) y confirma el cambio verbalmente. Luego una segunda persona vuelve a verificar los importes por encima de tu umbral antes de que salga la transferencia.
Escribe la regla, avisa a tus proveedores de antemano y da a tu contable permiso explícito para retrasar cualquier pago que se haya saltado la verificación. Los estafadores fabrican urgencia ("esto tiene que salir hoy o se detiene el envío"); tu política debe fabricar calma. Un proveedor con un cambio bancario genuino sobrevivirá a un retraso de verificación de 24 horas. Un estafador no sobrevivirá a la llamada telefónica.
2. Exige dos pares de ojos en cada pago por encima de un umbral
La segregación de funciones suena a jerga corporativa, pero a escala de pequeña empresa es simple: la persona que introduce un pago no puede ser la única que lo aprueba. Elige un umbral que se ajuste a tu volumen —muchas pequeñas empresas usan 1.000 o 2.500 dólares— y exige una segunda aprobación por encima de él. Si sois una empresa de dos personas, el segundo aprobador es quien no introdujo el pago. La mayoría de las plataformas bancarias empresariales admiten la doble autorización de forma nativa; actívala.
Este único control derrota tanto a los estafadores externos como al incómodo riesgo interno del que nadie quiere hablar: un solo empleado con autoridad exclusiva para crear proveedores, introducir facturas y liberar pagos puede robar sin ningún hacker. Dos pares de ojos te protegen en ambas direcciones.
3. Blinda las cuentas de correo que mueven dinero
Como estas estafas empiezan con una bandeja de entrada comprometida, la higiene del correo es seguridad de pagos:
- Activa la autenticación multifactor en cada buzón que envía facturas, aprueba pagos o recibe datos bancarios de proveedores. Este es el paso de mayor impacto de esta lista.
- Audita el reenvío automático y las reglas de la bandeja de entrada cada trimestre. Los atacantes esconden reglas que reenvían correo relacionado con finanzas a direcciones externas y marcan sus propios mensajes como leídos. Revisa la lista de reglas de cada buzón de finanzas; elimina cualquier cosa que no hayas creado tú.
- Registra dominios similares al nombre de tu propia empresa para que los estafadores no puedan usarlos contra tus clientes y proveedores, y enseña a tu equipo a pasar el cursor sobre las direcciones del remitente. Los nombres mostrados mienten; los dominios no.
- Adopta una palabra clave interna o frase de verificación para las aprobaciones de pago solicitadas por teléfono o vídeo. Una voz clonada puede decir cualquier cosa excepto un secreto que nunca le contaron.
4. Activa los controles bancarios que ya estás pagando
Tu cuenta bancaria empresarial probablemente incluye herramientas antifraude que están desactivadas por defecto. Llama a tu banquero y pide:
- Positive pay para cheques, y su equivalente para ACH: el banco solo honra los pagos que coinciden con una lista que apruebas previamente.
- Bloqueos y filtros de adeudos ACH, para que solo los originadores autorizados puedan retirar de tu cuenta operativa.
- Devoluciones de llamada para transferencias y control dual, donde el banco telefonea a un firmante autorizado antes de liberar transferencias por encima de un importe determinado.
Estos servicios a veces conllevan una pequeña comisión. Compárala con una sola pérdida media por BEC —muy por encima de 100.000 dólares por denuncia en los datos de 2025 del FBI— y las cuentas se responden solas.
5. Frena los pagos en tiempo real a propósito
Los rieles de pago instantáneo son maravillosos para el flujo de caja y terribles para recuperar fraudes: una vez que los fondos se liquidan en segundos, no hay nada que recuperar. Introduce una pausa deliberada en tu proceso para beneficiarios nuevos e instrucciones modificadas; incluso una verificación telefónica el mismo día supera a la ejecución instantánea. La velocidad es una característica del riel, no un requisito de tu negocio. Nada legítimo se rompe porque el primer pago a un proveedor nuevo salga el jueves en lugar del martes.
6. Conoce tu protocolo de las primeras 24 horas antes de necesitarlo
Las probabilidades de recuperación se desploman después del primer día, así que ensaya esta secuencia ahora:
- Llama inmediatamente al departamento antifraude de tu banco —no a la sucursal, al equipo antifraude— y solicita una revocación o intento de reversión de la transferencia.
- Presenta una denuncia ante el IC3 del FBI en ic3.gov y contacta con tu oficina local del FBI; las marcas de tiempo importan para rastrear los fondos.
- Conserva todo: encabezados completos del correo, los archivos originales de los mensajes, facturas y confirmaciones de transferencia. No borres los correos del estafador.
- Alerta al proveedor suplantado por un canal de confianza para que pueda avisar a sus otros clientes y proteger sus propios sistemas.
Coloca esta lista donde quien gestiona los pagos pueda encontrarla en un momento de pánico. No estarás pensando con claridad; la lista sí lo hará.
Una buena contabilidad es un control antifraude
Fíjate en cuántas de estas estafas sobreviven gracias a hábitos descuidados de oficina: datos bancarios de proveedores actualizados desde un correo sin rastro de aprobación, facturas pagadas sin cotejarlas con un registro de compra, conciliaciones bancarias hechas cada trimestre en lugar de cada semana, de modo que un pago faltante se esconde durante meses. Unos libros ordenados cierran esas brechas.
Mantén un archivo maestro de proveedores bajo control: cada proveedor nuevo y cada cambio bancario registrados con quién lo verificó, cómo y cuándo. Coteja las facturas con los registros de respaldo antes de pagar en lugar de pagar solo desde el correo. Concilia tus cuentas operativas al menos semanalmente para que una factura "pagada" y sin pagar aparezca en días, no a fin de trimestre; revisar tu posición de efectivo visualmente hace que las anomalías sean más difíciles de pasar por alto. Y como cada decisión de pago debe dejar un rastro de auditoría, guarda tu libro mayor en un lugar transparente y con control de versiones, donde un beneficiario cambiado o un importe inusual destaque en lugar de diluirse en una caja negra.
Mantén tus pagos —y tus libros— resistentes al fraude
El fraude APP funciona porque se esconde dentro de procesos legítimos: una factura real, un proveedor de confianza, un pago que pretendías hacer. La defensa consiste en hacer que esos procesos sean visibles y verificables: aprobaciones dobles, registros de proveedores verificados y libros que realmente puedas auditar. Beancount.io ofrece contabilidad en texto plano que te da total transparencia y control sobre tus datos financieros, para que los pagos inusuales destaquen y cada cambio deje un rastro. Empieza gratis y descubre por qué los desarrolladores y los profesionales de las finanzas se están pasando a la contabilidad en texto plano.
