Fraude del desvío de nómina: cómo suplantan a un empleado por correo para cobrar su sueldo (y cómo evitarlo en tu empresa)

12 de noviembre de 2026. En apenas una semana, la Guardia Civil ha dado a conocer dos casos muy parecidos: dos empresas españolas, una de Zaragoza y otra de Vallecas (Madrid), pagaron la nómina de un empleado en una cuenta bancaria que no era suya. Nadie entró por la fuerza en sus sistemas ni cifró sus ordenadores. Bastó un correo electrónico, aparentemente del propio trabajador, que pedía con naturalidad cambiar el número de cuenta. Es el llamado fraude del desvío de nómina, una variante del fraude BEC que cualquier pyme o autónomo con empleados puede sufrir este mismo mes.

Qué ha pasado: dos casos en pocos días

El primer caso lo difundió la Guardia Civil el 4 de noviembre. Una empresa de Zaragoza recibió un correo que parecía enviado por uno de sus trabajadores y en el que se solicitaba modificar la cuenta donde cobraba su salario. La empresa hizo lo que muchas consideran suficiente: pidió un certificado de titularidad bancaria. El documento llegó y parecía acreditar que la nueva cuenta pertenecía al empleado. El 30 de diciembre de 2025 se ingresaron casi 3.000 euros en esa cuenta. Más tarde, el trabajador reclamó su sueldo porque nunca lo había recibido. La investigación de la CiberComandancia, con apoyo del Equipo @ de Huelva, terminó con tres personas investigadas, con domicilio en Huelva y Tarragona, por estafa, blanqueo de capitales y falsificación de documento privado. Los agentes detectaron además conexiones con Nigeria, tanto en el origen de las comunicaciones como en el movimiento del dinero.

El segundo caso se conoció el 11 de noviembre. Una empresa con sede en Vallecas recibió una petición similar por correo. Comunicó el cambio a su asesoría, que abonó la nómina en la nueva cuenta sin detectar nada raro. Cuando el empleado avisó de que no había cobrado, Recursos Humanos revisó el mensaje y comprobó que la dirección de correo no coincidía con la que el trabajador usaba habitualmente. La empresa denunció por la Sede Electrónica de la Guardia Civil y la investigación permitió identificar a una presunta responsable residente en Cáceres.

Por qué este fraude funciona tan bien

El fraude BEC (Business Email Compromise, compromiso del correo empresarial) no se basa en un fallo técnico, sino en un fallo de procedimiento. El delincuente se aprovecha de algo cotidiano: los empleados cambian de banco, y pedir que la nómina se ingrese en otra cuenta es una gestión normal que nadie cuestiona.

Varios factores juegan a su favor:

• Es un trámite rutinario. En una pyme, el cambio de cuenta suele hacerse con un simple correo, sin más comprobaciones.
• Hay intermediarios. La empresa recibe la petición y la reenvía a la gestoría o asesoría, que confía en que la empresa ya lo ha verificado. Nadie comprueba realmente.
• Los documentos se falsifican con facilidad. El caso de Zaragoza demuestra que un certificado de titularidad aportado por la misma vía que la petición no garantiza nada: si el correo es falso, el documento adjunto también puede serlo.
• El engaño se descubre tarde. El fraude solo sale a la luz cuando el trabajador reclama su sueldo, días o semanas después. Para entonces, el dinero suele haber pasado por varias cuentas.
• La información es fácil de conseguir. Nombres, cargos y formato de correo de una empresa aparecen a menudo en su web, en redes profesionales o en firmas de correos anteriores.

Cómo suele desarrollarse el engaño

Sin entrar en detalles que puedan servir de manual, el patrón que describen estos casos es reconocible:

1. El estafador identifica a un empleado de la empresa y a la persona que gestiona las nóminas.
2. Envía un correo haciéndose pasar por el trabajador, normalmente desde una dirección gratuita con su nombre o desde una dirección muy parecida a la habitual.
3. Solicita el cambio de cuenta con un tono natural y, a veces, con algo de prisa ("antes del cierre de nóminas").
4. Si la empresa pide un justificante, aporta un certificado bancario falsificado o una cuenta abierta a nombre de un tercero.
5. El salario se ingresa en la cuenta controlada por los delincuentes y se mueve rápidamente.

Es la misma lógica que el clásico fraude del CEO o el cambio de cuenta de un proveedor: la víctima no es el empleado, sino la empresa, que tendrá que volver a pagar la nómina y gestionar la denuncia.

Señales de alerta que deberían hacerte parar

• La petición llega desde una dirección distinta de la que el empleado usa siempre (por ejemplo, un correo personal nuevo en lugar del corporativo).
• Se pide el cambio cerca de la fecha de pago o se insiste en que sea "para este mes".
• El mensaje pide discreción o evita que hables del tema con el trabajador por otros medios.
• El texto tiene un estilo diferente al habitual de esa persona: saludo, firma, idioma o errores raros.
• La nueva cuenta es de una entidad o país poco habitual, o el titular no coincide exactamente con el nombre del empleado.
• Al responder, contestan muy rápido pero evitan cualquier llamada telefónica.

Qué hacer paso a paso ante una petición de cambio de cuenta

1. No respondas al mismo correo para verificar. Si el mensaje es falso, quien contestará será el estafador.
2. Confirma por una segunda vía. Llama al trabajador a su número conocido, el que ya tienes en su ficha, o habla con él en persona. Es la principal recomendación de la Guardia Civil en ambos casos.
3. Exige que la petición salga del canal oficial. Por ejemplo, desde el correo corporativo o desde el portal del empleado, nunca desde una dirección nueva.
4. No te fíes solo del certificado. Pídelo, pero como complemento de la verificación directa, no como sustituto.
5. Avisa al empleado por su canal habitual cuando se aplique el cambio: "hemos modificado tu cuenta de nómina". Si no lo pidió, lo sabrás antes del pago.
6. Si ya has pagado, contacta de inmediato con tu banco para intentar retener o recuperar la transferencia, conserva el correo original con sus cabeceras y denuncia ante la Guardia Civil (su Sede Electrónica funciona las 24 horas) o la Policía Nacional.
7. Revisa tu correo. Si el mensaje llegó desde la cuenta real del empleado, puede que esa cuenta esté comprometida: cambia la contraseña y activa la verificación en dos pasos.

Para negocios: el protocolo que deberías tener por escrito

Este fraude se frena con organización más que con tecnología cara. Si tienes empleados, aunque sean dos o tres, conviene dejar por escrito un procedimiento sencillo:

1. Regla de doble verificación

Ningún cambio de datos bancarios (de empleados, proveedores o clientes) se aplica sin una confirmación por un canal distinto al de la petición. Sin excepciones, ni siquiera "por esta vez".

2. Un canal único para datos bancarios

Define cómo deben comunicar los empleados un cambio de cuenta: formulario firmado, portal del empleado o presencialmente. Cualquier petición fuera de ese canal se rechaza de entrada.

3. Coordinación con la gestoría

Acuerda con tu asesoría quién verifica qué. Lo ideal es que la gestoría no aplique un cambio de cuenta sin una confirmación expresa de la empresa de que se ha comprobado con el trabajador.

4. Protección del correo electrónico

• Verificación en dos pasos en todas las cuentas de correo.
• Configuración de SPF, DKIM y DMARC en tu dominio para dificultar que suplanten tus direcciones.
• Avisos visibles en los correos que llegan desde fuera de la organización.

5. Formación breve y periódica

Quien gestiona nóminas y pagos debe conocer este fraude. Diez minutos con estos dos casos reales sirven más que cualquier manual teórico. Si quieres profundizar en cómo se combinan estos engaños con otras técnicas, en el blog explicamos cómo funcionaba la estafa DUTT por WhatsApp, otro ejemplo de ingeniería social bien organizada.

Preguntas frecuentes

¿Quién asume la pérdida si la empresa paga en una cuenta falsa?

En la práctica, la empresa sigue debiendo el salario al trabajador y suele tener que abonarlo de nuevo. La recuperación del dinero desviado depende de la rapidez con la que se actúe con el banco y de la investigación. Cada caso concreto debe valorarlo un profesional jurídico.

¿Un certificado de titularidad bancaria no es suficiente?

No, si llega por la misma vía que la petición sospechosa. En el caso de Zaragoza, la empresa lo pidió y aun así el pago se desvió. La verificación directa con el empleado es lo que marca la diferencia.

¿Esto solo pasa en empresas grandes?

No. Precisamente las pymes son objetivo frecuente porque tienen menos controles y la gestión de nóminas suele recaer en una sola persona o en una gestoría externa.

¿Puede ocurrir lo mismo con proveedores?

Sí, y suele implicar cantidades mayores: un correo que imita a un proveedor y anuncia que "hemos cambiado de banco". La protección es la misma: confirmar siempre por teléfono a un número que ya tuvieras.

¿Dónde puedo pedir ayuda?

Puedes llamar gratis al 017, la línea de ayuda en ciberseguridad de INCIBE, y denunciar ante la Guardia Civil o la Policía Nacional. Si necesitas revisar tus procedimientos o la seguridad de tu correo, te respondo lo antes posible en cuanto recibo tu WhatsApp o tu correo, con servicio en remoto en toda España. También puedes ver cómo trabajo el soporte urgente para autónomos y pymes.

Conclusión

Los dos casos esclarecidos por la Guardia Civil esta semana no exigieron ningún conocimiento técnico avanzado por parte de los delincuentes: solo un correo convincente y una empresa sin un paso de verificación. La buena noticia es que la defensa también es sencilla y casi gratuita. Una llamada al número de siempre antes de cambiar una cuenta bancaria habría evitado ambos fraudes. Si gestionas nóminas o pagos, conviértelo hoy en una norma de tu negocio.

Fuentes: Diario de Huelva: tres investigados por desviar una nómina de 3.000 euros; La Portada de Extremadura: la Guardia Civil esclarece una estafa BEC que desvió una nómina a Cáceres; elEconomista: la Guardia Civil esclarece una estafa de suplantación de un trabajador.

Artículo divulgativo. No constituye asesoramiento profesional para un caso concreto.

Manuel Marco Sánchez · Ciberseguridad para autónomos y pymes

¿Quieres saber si tu negocio está expuesto a ataques como este?

Auditoría de ciberseguridad con informe claro y priorizado por 297 € y 1 mes de monitorización gratis. Servicio en remoto en toda España.

Solicitar mi auditoría Consultar por WhatsApp