Guía en profundidad · Seguridad
Prevenir el fraude en pagos: fraude del CEO, facturas falsas, IBAN cambiado
Actualizado: · Leutrim Miftaraj, FLIORE · Principios editoriales · Otros idiomas: Deutsch · English · Français
Respuesta breve
El fraude en pagos suele llegar por correos o llamadas de apariencia auténtica: supuestas instrucciones de la familia (fraude del CEO), facturas con datos bancarios cambiados o falsos empleados de banco. Bastan unos pocos controles constantes: dos personas para aprobar, devolución de llamada a un número conocido en cada cambio de cuenta, límites y personal formado. Si el dinero ya salió, cada minuto cuenta: llamar al banco.
Los esquemas más frecuentes
| Esquema | Cómo funciona | Señales de alerta |
|---|---|---|
| Fraude del CEO | Un correo o una llamada «del principal» exige un pago urgente y confidencial | Presión de tiempo, secreto, canal inusual, nuevo banco destinatario |
| Fraude de facturas | Una factura auténtica de un proveedor con un IBAN cambiado, a menudo tras tomar el control de un buzón de correo | Aviso de «nuevos datos bancarios», dirección del remitente ligeramente alterada |
| Falso empleado de banco | Una llamada sobre supuestos problemas de seguridad, con petición de códigos o aprobaciones | Petición de revelar credenciales o aprobaciones |
| Voz o vídeo falsificados | Voz de apariencia auténtica de un familiar por teléfono o videoconferencia | Instrucción inusual, presión, petición de una excepción al proceso |
Controles que funcionan
- Ningún pago solo por una instrucción por correo, mensaje o teléfono: cada instrucción pasa por el proceso normal de aprobación.
- Dos personas para introducir y aprobar, con límites por persona.
- Cada cuenta bancaria nueva o modificada se confirma por teléfono a un número ya conocido, nunca con los datos de contacto del propio aviso.
- Cambios en los datos maestros y aprobaciones de pagos a cargo de personas distintas.
- Una palabra clave o una regla de devolución de llamada acordada con la familia para instrucciones inusuales.
- Protección del correo con SPF, DKIM y DMARC, e inicio de sesión con dos factores para todas las cuentas.
- Formación periódica con ejemplos actuales; reconocer cada sospecha comunicada.
Una ayuda nueva en la zona del euro
Desde el 9 de octubre de 2025, los proveedores de servicios de pago de la zona del euro deben comprobar antes de las transferencias en euros si coinciden el nombre y el IBAN del beneficiario (verificación del beneficiario según el Reglamento (UE) 2024/886). Un aviso de discrepancia es una señal fuerte, pero no sustituye los controles propios del family office, entre otras cosas porque solo se aplica a los pagos en euros incluidos en su ámbito.
Medidas inmediatas en caso de emergencia
- Informar de inmediato por teléfono al banco ordenante y pedir la retrocesión del pago; cada minuto cuenta.
- Hacer que el propio banco avise al banco destinatario.
- Presentar denuncia ante la policía; conservar las pruebas: correos con encabezados, facturas, órdenes de pago.
- Comprobar y asegurar los buzones afectados, cambiar las contraseñas, eliminar las reglas de reenvío.
- Informar a la aseguradora y documentar el incidente.
Ejemplo práctico (simplificado)
Un viernes por la tarde, contabilidad recibe un correo «del principal»: hay que asegurar de forma confidencial una participación antes del lunes con 480 000 euros, y un despacho de abogados enviará los detalles. La empleada nota la presión de tiempo y el banco destinatario inusual. Siguiendo la regla acordada, llama al principal a su móvil conocido: no sabe nada. El correo procedía de un dominio parecido. El incidente se comunica, el dominio se notifica al banco como advertencia y el ejemplo se usa en la siguiente formación.
Por qué caen buenos empleados
Los defraudadores no explotan la ignorancia, sino la lealtad y la disposición a ayudar: quien quiere hacer un favor al principal se salta el proceso bajo presión. Por eso la dirección debe decir expresamente que nadie, ni siquiera un miembro de la familia, puede exigir una excepción al proceso de aprobación, y que preguntar nunca es una muestra de desconfianza. Esta actitud es el control más eficaz de todos.
Reglas para la familia
Los defraudadores no solo apuntan al equipo, sino también a la familia: mensajes falsos a familiares, supuestas emergencias de hijos en el extranjero, falsas ofertas de inversión. Por eso el family office debería acordar con la familia unas pocas reglas sencillas y dejarlas por escrito. Las instrucciones al family office solo llegan por canales acordados. Ante instrucciones inusuales o urgentes, el family office siempre devuelve la llamada, y la familia lo entiende no como desconfianza, sino como protección.
Para las excepciones existe una palabra clave que nunca se transmite por correo ni por mensaje. Los miembros de la familia informan al family office si su correo o su teléfono se han visto comprometidos o si llegan peticiones sospechosas. Para la siguiente generación, a menudo menos familiarizada con estos esquemas, una breve introducción tiene su lugar en el programa familiar.
En FLIORE
FLIORE impone el principio de los cuatro ojos para los pagos con roles separados, registra los cambios en los datos de los beneficiarios y admite el inicio de sesión con dos factores para todos los usuarios. A posteriori, la pista de auditoría muestra por completo quién introdujo, modificó y aprobó cada pago.
De un vistazo
| Esquemas más frecuentes | Fraude del CEO, factura falsa con IBAN cambiado, falsas llamadas del banco |
|---|---|
| Control más eficaz | Devolución de llamada a un número conocido en cada cambio de cuenta, aprobación a cuatro ojos |
| Zona del euro | Verificación del beneficiario desde el 9 de octubre de 2025 (Reglamento (UE) 2024/886) |
Términos de esta página
- Principio de los cuatro ojos
- Principio de control según el cual las operaciones importantes, como los pagos, son revisadas y aprobadas por una segunda persona autorizada.
- Registro de auditoría
- Registro inalterable que recoge quién creó, modificó, aprobó o eliminó qué datos y cuándo.
Preguntas frecuentes
¿Qué es el fraude del CEO?
Los defraudadores se hacen pasar por el principal, un familiar o la dirección y exigen un pago urgente y confidencial. El objetivo es saltarse el proceso normal bajo presión de tiempo.
¿Puede recuperarse un pago desviado?
A veces, si se informa al banco muy rápido y el dinero aún no se ha transferido a otra cuenta. Por eso la llamada inmediata al banco va primero.
¿Basta la verificación del beneficiario del banco?
No. Solo se aplica a las transferencias en euros incluidas en su ámbito y no detecta todos los fraudes. Los controles propios del family office siguen siendo imprescindibles.
¿Cómo protegerse de las voces falsificadas?
Con reglas de proceso en lugar de reconocimiento de voz: devolución de llamada a un número conocido, palabra clave para las excepciones y ningún pago fuera del proceso de aprobación.
¿Quién responde en caso de fraude?
Depende del caso, de los acuerdos con el banco y de la diligencia observada. Unos controles documentados mejoran mucho la posición del family office.
¿Con qué frecuencia hay que formar al personal?
Al menos una vez al año y, además, cuando se conocen nuevos esquemas. Los casos prácticos breves funcionan mejor que las charlas largas.
¿Deben aplicarse límites también a las instrucciones de la familia?
Sí. Los límites protegen a la familia frente al fraude en su nombre y al equipo frente a la presión en situaciones excepcionales.
¿Están especialmente expuestos los criptoactivos?
Sí, porque las transacciones por lo general no pueden revertirse. Por eso a los criptoactivos se aplican reglas de aprobación especialmente estrictas, direcciones de destino verificadas y pequeñas transferencias de prueba antes de las grandes.
Fuentes
- Reglamento (UE) 2024/886 (transferencias inmediatas, verificación del beneficiario) – EUR-Lex
- Oficina Federal de Ciberseguridad de Suiza (NCSC/BACS)
- Oficina Federal de Seguridad de la Información de Alemania (BSI)
- Europol – fraude del CEO y fraude en órdenes de pago
- DMARC.org – autenticación del correo electrónico (SPF, DKIM, DMARC)
Esta página sirve de orientación y no sustituye el asesoramiento jurídico o fiscal. Las fuentes legales citadas prevalecen en su versión aplicable.
Más información
Más sobre Operación, seguridad y tecnología
FLIORE en su family office
Vea estructuras, cumplimiento y patrimonio consolidado con sus propias preguntas, en una demostración personal.