Los fraudes bancarios contra empresas han evolucionado. Ya no se limitan al clásico acceso no autorizado a una cuenta o al robo directo de claves. Cada vez son más frecuentes los supuestos en los que el fraude se construye mediante ingeniería social, suplantación de identidad, manipulación documental y cambio fraudulento de datos bancarios.
Uno de los escenarios más habituales es el siguiente: una empresa recibe una comunicación aparentemente legítima de un proveedor, colaborador o acreedor habitual. En esa comunicación se informa de un cambio de cuenta bancaria o de un nuevo IBAN para realizar pagos futuros. La empresa, confiando en la apariencia de normalidad de la relación comercial, ordena una transferencia. Días después descubre que el proveedor real nunca cambió su cuenta y que el dinero ha terminado en manos de un tercero fraudulento. La reacción inicial suele ser de resignación: “hemos autorizado nosotros la transferencia”. Pero jurídicamente la cuestión es más compleja.
No todo pago realizado por la empresa equivale a consentimiento válido.- En este tipo de fraudes, la empresa no pretende pagar a un delincuente ni transferir fondos a una cuenta ajena. Lo que existe es una voluntad viciada por engaño: el ordenante cree que está cumpliendo una obligación legítima frente a su proveedor real.
Por eso, en determinados casos, la reclamación no debe limitarse a perseguir penalmente al autor del fraude. También debe analizarse la posible responsabilidad de las entidades bancarias intervinientes: banco emisor, banco receptor, cuenta beneficiaria y mecanismos de prevención, control y trazabilidad.
El enfoque correcto no es solo penal. Debe ser bancario, probatorio y civil.
El banco no puede limitarse a decir que la transferencia fue ordenada.- En muchos expedientes la entidad bancaria responde de forma automática:
“La operación fue autorizada por el cliente.”
“No existió fallo técnico.”
“El cliente introdujo sus credenciales.”
“El banco ejecutó correctamente la orden.”
Esta respuesta puede ser insuficiente.
La normativa de servicios de pago exige analizar si la entidad actuó diligentemente, si existieron alertas, si la operación era anómala respecto del perfil del cliente, si el beneficiario presentaba indicios de riesgo, si hubo mecanismos eficaces de supervisión y si el banco conservó adecuadamente la prueba técnica.
La ejecución técnica de una transferencia no agota el debate jurídico.
El papel de la cuenta receptora.- En los fraudes por cambio de IBAN, la cuenta receptora es clave. Si el dinero llega a una cuenta abierta en una entidad española o europea, deben analizarse varias cuestiones:
- quién era el titular real de la cuenta;
- cuándo se abrió la cuenta;
- qué actividad económica declaró;
- si había movimientos compatibles con una cuenta mula;
- cuánto tiempo permanecieron los fondos;
- si fueron retirados inmediatamente;
- si la entidad receptora pudo detectar una operativa sospechosa;
- si hubo incumplimientos de prevención de blanqueo, control antifraude o diligencia bancaria.
En muchos casos, la cuenta receptora no es un elemento neutro. Puede ser la pieza que permite dirigir una estrategia frente a la entidad que recibió los fondos, especialmente cuando no bloqueó, no reaccionó o no conservó adecuadamente la trazabilidad.
Fraudes empresariales cada vez más sofisticados.- La suplantación de proveedor suele estar bien preparada. Los delincuentes pueden conocer facturas reales, nombres de empleados, importes habituales, correos previos, sociedades vinculadas y fechas de pago. A veces acceden previamente a una cuenta de correo corporativa o interceptan comunicaciones internas.
Esto hace que el error de la empresa no pueda calificarse automáticamente como negligencia grave.
Debe analizarse el contexto: apariencia de la comunicación, relación previa con el proveedor, existencia de avisos de seguridad, cuantía, urgencia, cambios en el patrón de pagos y reacción del banco ante una transferencia anómala.
Qué debe hacer una empresa afectada.- Cuando una empresa detecta que ha pagado a una cuenta fraudulenta, debe actuar de forma inmediata:
- Solicitar bloqueo y retrocesión urgente de fondos.
- Requerir al banco emisor y al banco receptor.
- Pedir conservación de logs, trazabilidad y datos técnicos.
- Presentar denuncia penal con identificación de la cuenta beneficiaria.
- Solicitar diligencias sobre el titular de la cuenta receptora.
- Revisar si la operación era anómala para el perfil de la empresa.
- Activar una reclamación formal frente a la entidad bancaria.
- Preparar, si procede, reclamación ante Banco de España y demanda judicial.
Una simple llamada al banco no es suficiente. Hay que construir prueba desde el primer momento.
La importancia de una reclamación técnicamente diseñada.- Una reclamación eficaz debe ir más allá de pedir la devolución del dinero. Debe obligar a la entidad a pronunciarse sobre:
- autenticación de la operación;
- alertas generadas;
- análisis de riesgo;
- perfil histórico del cliente;
- expediente antifraude;
- medidas de bloqueo;
- trazabilidad de fondos;
- cuenta beneficiaria;
- comunicación con la entidad receptora;
- conservación de prueba técnica;
- actuación posterior al aviso del cliente.
Cuanto más genérica sea la reclamación, más fácil será para el banco rechazarla con una respuesta estándar.
Cómo trabaja LeyCiber estos asuntos.- En LeyCiber abordamos los fraudes por suplantación de proveedor y cambio fraudulento de IBAN desde una estrategia combinada:
- reconstrucción cronológica de los hechos;
- análisis de correos, facturas, justificantes y comunicaciones;
- identificación de banco emisor y banco receptor;
- reclamación formal con valor MASC;
- solicitud de conservación de prueba;
- requerimiento de trazabilidad bancaria;
- ampliación penal con diligencias concretas;
- preparación de reclamación ante Banco de España;
- estudio de demanda civil frente a entidades intervinientes.
No se trata solo de denunciar. Se trata de construir un expediente útil para recuperar el dinero o, al menos, para exigir responsabilidad a quienes pudieron evitar, detectar o bloquear la operación.
Conclusión: Si su empresa ha sufrido un fraude por cambio de IBAN, suplantación de proveedor o transferencia a cuenta fraudulenta, no debe asumir automáticamente que la pérdida es irreversible. La clave está en analizar la operativa bancaria, la cuenta receptora, la trazabilidad de los fondos y la actuación de las entidades intervinientes.
En LeyCiber estudiamos este tipo de fraudes con enfoque bancario, penal y probatorio para valorar la viabilidad de una reclamación seria y técnicamente preparada.