28 de agosto de 2026

Nos han estafado: qué hacer en las primeras 24 horas

En este blog hemos hablado mucho de cómo detectar las estafas: la voz clonada del proveedor, la videollamada que no era él, el correo perfecto y sin una sola falta. Falta la parte que nadie quiere necesitar y mucha gente acaba necesitando: qué haces cuando te das cuenta de que ya ha pasado.

Y aquí la diferencia no la marca lo sofisticada que fuera la estafa. La marca el reloj. El dinero de una transferencia se puede bloquear mientras sigue en tránsito; unas horas después suele haber saltado ya a una segunda cuenta y el rastro se complica muchísimo.

Primero: cómo te das cuenta

Las estafas a pymes casi nunca llegan con un cartel. Las señales más habituales de que algo ha ido mal:

Un proveedor de siempre reclama una factura que tú ya has pagado. O has hecho un pago a un número de cuenta nuevo que te comunicaron por correo o WhatsApp.

Un cliente dice que ha pagado y a ti no te ha llegado nada.

Alguien del equipo ya no puede entrar al correo o al gestor, o ve sesiones abiertas que no reconoce.

Aparecen reglas en el correo que mueven o borran mensajes solas: señal clásica de acceso no autorizado.

El banco avisa de un movimiento que nadie de la casa reconoce.

Si ves una, no esperes a confirmarla del todo. Actúa como si fuera real y ya lo desmentirás después.

Hora 0 a 1: para la hemorragia

Llama al banco, no le escribas. Pide explícitamente la retención o la retrocesión de la transferencia. Si es internacional, el término que buscas es recall SWIFT. Apunta la hora de la llamada y el nombre de quien te atiende.

Cambia las contraseñas desde otro dispositivo, no desde el que sospechas comprometido. Empieza por el correo: quien controla el correo puede recuperar el resto de tus cuentas.

Cierra todas las sesiones abiertas. Todos los gestores de correo tienen la opción de cerrar sesión en todos los dispositivos. Aprovecha y activa la verificación en dos pasos donde aún no la tengas.

Avisa al equipo por un canal distinto del que puede estar comprometido. Si el correo está tocado, llámales por teléfono.

Hora 1 a 4: guarda las pruebas

El instinto es borrar el correo de la estafa por pura rabia. No lo hagas: es tu prueba.

Haz capturas con la fecha visible y conserva los correos originales sin reenviarlos, porque al reenviar se pierde información técnica que la policía sí utiliza. Anota en un único documento el IBAN de destino, los importes, las fechas y horas, los teléfonos y quién autorizó cada paso. Y comprueba si hay más pagos pendientes hacia esa misma cuenta para pararlos.

Hora 4 a 24: denuncia y comunica

Denuncia ante la Policía Nacional, la Guardia Civil o los Mossos d'Esquadra, según dónde estés. En muchos casos el banco no tramitará una reclamación seria sin el número de atestado.

Llama al 017 del INCIBE: es gratuito, atiende a empresas y te concreta los pasos técnicos según tu caso.

Confirma la reclamación al banco por escrito, aunque ya hayas hablado con ellos por teléfono. Que quede registro.

Avisa al proveedor o al cliente real. Si te han suplantado a ti, hay más gente de tu lista recibiendo ese mismo correo ahora mismo.

Si hay datos personales afectados (clientes, trabajadores), el RGPD te da 72 horas para notificarlo a la Agencia Española de Protección de Datos. Es un plazo corto y empieza a contar cuando te enteras, no cuando terminas de investigarlo.

Un caso concreto

Una asesoría de Terrassa recibió un correo de su proveedor informático con un cambio de número de cuenta y una factura de 8.400 €. El correo era impecable: misma firma, mismo tono, mismo hilo de conversación. Pagaron un jueves a las 10 de la mañana.

A las 10:40, la administrativa llamó al proveedor por otro asunto y salió el tema. Llamada inmediata al banco: se bloquearon 5.900 € que aún no se habían movido. El resto se perdió. Cuarenta minutos valieron casi seis mil euros.

Cuatro cosas que no debes hacer

No respondas al estafador, ni para confirmar nada ni para amenazar. Solo le confirmas que la cuenta está viva.

No pagues a nadie que prometa «recuperar» el dinero. Es la segunda estafa, y a menudo la hace la misma gente.

No se lo ocultes al equipo. La estafa que no se cuenta se repite con la persona de al lado.

No te quedes en el parche. Si han entrado una vez, revisa por dónde.

Y la semana siguiente

Dos medidas sencillas evitan la gran mayoría de estos casos. La primera: ningún cambio de número de cuenta se acepta por correo, se verifica siempre llamando al teléfono de siempre, nunca al que aparece en el mensaje. La segunda: cualquier pago por encima de un importe que decidas tú necesita dos personas.

No hace falta tecnología. Hace falta que esté escrito y que todo el mundo lo sepa.