Blog
Fraude del cambio de cuenta bancaria: cómo cerrarle el paso
El fraude por correo corporativo dejó pérdidas reportadas ante el FBI por más de USD 3.000 millones en 2025, y la IA puede volverlo más creíble. La tecnología sola no basta para frenarlo: hace falta control en el proceso de pagos.
Llega un correo que parece del proveedor de siempre: «cambiamos de banco, por favor actualicen la cuenta». Tesorería actualiza los datos y paga. Semanas después, el proveedor reclama que no ha recibido nada. Es el fraude conocido como compromiso del correo corporativo, o BEC por sus siglas en inglés, y un antivirus no basta para frenarlo, porque el pago lo hace la propia empresa.
La magnitud del problema
El Centro de Denuncias de Delitos en Internet del FBI (IC3) recibe denuncias sobre todo de Estados Unidos, aunque también de más de 200 países. Según su informe de 2025, el BEC dejó pérdidas reportadas por 3.047 millones de dólares ese año, con 24.768 denuncias, frente a 2.770 millones en 2024. Fue la segunda modalidad con más pérdidas, solo detrás del fraude de inversión (FBI-IC3). En ese mismo informe, Colombia aparece como el noveno país fuera de Estados Unidos con más denuncias, 2.222 de todo tipo.
Aquí las cifras también son elocuentes. Los incidentes que gestionó el ColCERT pasaron de 1.427 en 2024 a 697 en 2025, y en esos dos años el fraude representó el 79,83 % de los casos, con 835 de phishing y 784 de uso no autorizado de cuentas de correo (MinTIC). Y según la Policía Nacional, en 2025 el hurto por medios informáticos, el acceso abusivo y la violación de datos personales representaron el 88 % de las denuncias por delitos informáticos, con un total de 62.299 (Policía Nacional).
La inteligencia artificial lo vuelve más creíble
El informe del FBI advierte que los generadores de texto pueden producir correos con tono oficial que imitan a los directivos de una empresa, y que la clonación de voz puede usarse para pedir transferencias. No todo BEC usa inteligencia artificial, pero en 2025 las empresas reportaron pérdidas por más de 30 millones de dólares en fraudes de este tipo con participación de IA.
Por eso, la mala ortografía ya no sirve como señal de alerta. Hay que desconfiar, más bien, de la combinación de urgencia, confidencialidad y un cambio en los datos de pago.
Un problema de proceso
Este fraude aprovecha un hueco entre quien recibe la solicitud, quien actualiza los datos y quien aprueba el pago. Si una sola persona puede hacer las tres cosas a partir de un correo, la empresa depende de que esa persona nunca se equivoque.
La buena noticia es que el hueco se puede cerrar con controles sencillos. Todo cambio de datos bancarios debería entrar como una solicitud registrada, nunca como un simple correo, y confirmarse por otro canal: una llamada al número que ya se tiene registrado del proveedor, no al que trae el mensaje. El propio FBI recomienda usar canales secundarios o autenticación de dos factores para verificar estos cambios (FBI).
También ayuda separar funciones, de modo que quien registra el cambio no sea quien lo aprueba, y que ninguno de los dos ejecute el pago. El primer pago a una cuenta nueva merece una revisión adicional y una confirmación de recibo con el proveedor. La autenticación multifactor debería estar activa en el correo y en la banca empresarial de todos los que intervienen en pagos. Y cada cambio debería dejar rastro: quién lo pidió, quién lo verificó, por qué canal, cuándo y con qué evidencia.
Si el pago ya salió
El tiempo es decisivo. En 2025, el equipo de recuperación del IC3 atendió 3.900 fraudes de todo tipo, la mayoría en Estados Unidos, y logró congelar 679 millones de dólares de los 1.164 millones que se intentaron robar, una tasa del 58 %.
Si su empresa cae en este fraude, llame de inmediato a su banco para pedir que bloquee o reverse la transferencia, conserve los correos, los registros de acceso y los comprobantes, y denuncie ante la Fiscalía o la Policía Nacional. Revise también si hubo datos personales comprometidos, porque eso activa obligaciones de reporte.
Un pago es el último paso de un proceso. Cuando cada cambio queda registrado, verificado y aprobado por personas distintas, el fraude necesita engañar a varios a la vez, y eso es mucho más difícil.
Fuentes
- FBI, Internet Crime Complaint Center: informe anual 2025, abril de 2026.
- FBI: anuncio de servicio público I-091124-PSA sobre BEC, 11 de septiembre de 2024.
- MinTIC: balance de incidentes gestionados por el ColCERT, actualizado el 2 de abril de 2026.
- Policía Nacional: recomendaciones de prevención digital y cifras de 2025, 16 de enero de 2026.