El correo llega desde la dirección de siempre del proveedor. La factura es la buena: mismo número de pedido, mismo importe, misma maquetación. Solo ha cambiado una línea, al pie de la página: el IBAN. Un mes después, el verdadero proveedor reclama una factura impagada, y el dinero hace tiempo que salió hacia una cuenta abierta en el extranjero.
En Francia, esta estafa recibe varios nombres: fraude del falso proveedor, fraude del «falso RIB» (el RIB, o relevé d'identité bancaire, es el documento con los datos de la cuenta y el IBAN que los bancos franceses entregan a sus clientes) o, en los informes del Banco de Francia, «sustitución de IBAN». En España se habla de fraude del falso proveedor o de estafa del cambio de IBAN, e INCIBE, el Instituto Nacional de Ciberseguridad, lo incluye entre los fraudes BEC (por business email compromise, el compromiso del correo corporativo). Está en fuerte aumento. Y casi siempre se apoya en un documento que a nadie se le ocurre revisar: un PDF. Las cifras y los trámites que siguen son franceses; la estafa, y la forma de examinar un PDF, son iguales en todas partes. Lo que cambia en España se resume en un recuadro más abajo.
¿Qué dimensión tiene el problema?
Según el informe de 2025 del Observatorio de la Seguridad de los Medios de Pago (OSMP), publicado por el Banco de Francia en septiembre de 2026, el fraude en los medios de pago alcanzó en Francia los 1240 millones de euros. Uno de sus componentes vuelve a crecer con fuerza: el fraude por manipulación —aquel en el que la víctima hace ella misma el pago, engañada por un estafador—, que llega a los 516 millones de euros, un 34 % más en un año (Banco de Francia, nota de prensa). La sustitución de IBAN figura entre las técnicas que cita.
Las empresas lo notan. Según una encuesta a empresas francesas de Allianz Trade y el instituto de sondeos Odoxa, publicada en junio de 2026, el 52 % de las grandes empresas y de las empresas de tamaño intermedio (ETI, la categoría francesa de las que tienen entre 250 y 4999 empleados) ven aumentar los intentos de fraude, y el 40 % de las empresas atacadas ha sufrido al menos un fraude consumado. Y, sobre todo, solo el 41 % vuelve a llamar al cliente o al proveedor cuando cambian sus datos bancarios (Allianz Trade). En Estados Unidos, el FBI contabilizó en 2025 pérdidas de 3000 millones de dólares por el compromiso de correos corporativos, la segunda categoría de ciberdelito más costosa (FBI IC3).
¿Cómo actúan los estafadores?
La Banque Postale, el banco del servicio público de correos francés, describe el esquema más habitual (La Banque Postale). En su versión más elaborada, el estafador se cuela en el correo del proveedor; si no lo consigue, imita su dirección. Lee los intercambios, localiza a los clientes y las facturas pendientes y, desde la dirección real o desde una casi idéntica, envía una factura auténtica acompañada de un «nuevo RIB». No mete prisa a nadie: espera al ciclo normal de pago.
Hay dos variantes. En la primera, la factura está intacta y lo falso es un documento aparte, un «RIB». En la segunda, la propia factura ha sido modificada: el estafador ha abierto el PDF en un editor y ha sustituido el IBAN. Es esta segunda variante la que deja huellas técnicas.
Las filtraciones de datos alimentan directamente estos fraudes. Tras el hackeo de la plataforma francesa de facturación VosFactures, a finales de septiembre de 2026, el proveedor que hay detrás reconoció el robo de IBAN y de datos de clientes (Fakturownia), y la propia VosFactures advirtió a sus clientes contra el fraude del cambio de datos bancarios y de los falsos proveedores (Next). Contamos el caso en VosFactures: una plataforma de facturación hackeada a través de su generador de PDF.
¿Qué delata un PDF modificado?
Un PDF suele guardar memoria de cómo se fabricó. Los especialistas en análisis forense de documentos se apoyan en varios indicios, que hay que leer como pistas y no como pruebas: los metadatos son opcionales y se pueden modificar (PDF Association).
El programa que generó el archivo. Un PDF suele indicar el programa de origen («Creator») y el que lo generó o modificó por última vez («Producer»). Si una factura emitida con un programa de facturación tiene como último «Producer» un editor de PDF de uso corriente, probablemente se retocó después.
Las fechas. La fecha de modificación cambia, en principio, con cada edición. Una factura fechada el 2 de octubre, creada el 2 de octubre y modificada el 9, merece una pregunta.
Las versiones sucesivas. Muchos editores no reescriben el archivo: añaden los cambios al final, y la versión anterior sigue dentro. Cada revisión termina con un marcador %%EOF; varios marcadores indican varias versiones. El investigador Didier Stevens ha publicado una herramienta que los cuenta (SANS ISC), y la PDF Association señala que el historial de versiones es una de las mejores formas de entender la intención de los cambios (PDF Association). Ojo: una firma electrónica o un formulario rellenado también crean versiones legítimas, y un archivo optimizado para la visualización web suele tener dos marcadores desde el principio.
Las incoherencias visuales. Un tipo de letra, un tamaño o un espaciado distintos solo en la línea del IBAN; un rectángulo blanco colocado sobre el texto antiguo; un «sello» superpuesto. La empresa de ciberseguridad Group-IB recoge estas señales y también considera que la fecha de modificación, por sí sola, prueba poco (Group-IB).
Para leer esta información sin subir la factura a una web ajena —lleva tus datos bancarios y los de tu proveedor—, basta con el lector de PDF que ya tienes en el ordenador. En Acrobat Reader, Archivo › Propiedades (o Ctrl+D, Cmd+D en Mac) muestra, en la pestaña Descripción, las fechas de creación y de modificación, la «Aplicación» (el Creator) y el «Productor de PDF». En Mac, en Vista Previa, Herramientas › Mostrar inspector enseña los mismos campos. ExifTool, una herramienta libre de línea de comandos, también los lee, junto con los metadatos XMP (ExifTool). Las versiones sucesivas, en cambio, no aparecen en estas ventanas: para eso hace falta una herramienta como la de Didier Stevens. Explicamos lo que pueden revelar los metadatos en Lo que los metadatos de tu PDF dicen de ti.
¿Un PDF limpio demuestra que la factura es auténtica?
No, y esto es lo esencial. Un estafador que controla el correo del proveedor puede enviar una factura perfectamente intacta junto con un RIB falso aparte. También puede generar un PDF nuevo con un programa de facturación cualquiera. Analizar el archivo puede confirmar una sospecha; nunca puede descartarla.
Una factura francesa en regla lleva unas menciones obligatorias —número, fecha, identidad y SIREN (el número de identificación de las empresas francesas) de las partes, detalle de los bienes o servicios, IVA— (LegalPlace). Que estén demuestra que un documento parece una factura, no que venga del emisor correcto.
La única comprobación realmente fiable
Cybermalveillance.gouv.fr, el servicio del Gobierno francés de asistencia a las víctimas de ciberdelitos, lo resume en su ficha sobre el fraude en las transferencias: ante cualquier petición de transferencia a una cuenta nueva, contacta directamente con el acreedor en su número habitual para que te confirme el mensaje y los datos (Cybermalveillance.gouv.fr). Habitual quiere decir un número que ya conoces —el del contrato, el del presupuesto firmado, el de un directorio—, nunca el que aparece en el mensaje. Según la encuesta citada más arriba, casi seis empresas de cada diez no lo hacen.
Otras medidas refuerzan la protección:
- usar la verificación del beneficiario. Desde el 9 de octubre de 2025, los bancos de la zona del euro deben comprobar, antes de cada transferencia SEPA, que el nombre del beneficiario corresponde al IBAN, e indicar si coincide, si coincide en parte o si no coincide (INC). Si sigues adelante pese a un aviso, el banco ya no responde. Esta comprobación no te protege de una cuenta abierta por el estafador a nombre del propio proveedor, con documentos robados, y ante una coincidencia parcial, decides tú;
- activar la verificación en dos pasos en todas las cuentas de correo de la empresa, para cortar la estafa de raíz;
- separar funciones: quien registra un cambio de cuenta bancaria no debe ser quien valida el pago.
¿Y si la transferencia ya ha salido? Avisa de inmediato a tu banco para intentar recuperar los fondos, advierte al proveedor suplantado y revisa las reglas de reenvío de tu correo. En Francia, después se presenta una denuncia y se contacta con Info Escroqueries, el servicio telefónico nacional contra las estafas, en el 0 805 805 817 (gratuito desde Francia) (Cybermalveillance.gouv.fr). Según las normas francesas, en principio, un banco que ejecuta una transferencia conforme al IBAN indicado no es responsable; sin embargo, el 4 de marzo de 2026, la Cour de cassation, el tribunal supremo francés en materia civil y penal, resolvió (recurso n.º 25-11.959) que un banco que había redactado él mismo la orden de transferencia a partir de un RIB claramente falso era responsable y debía indemnizar a su cliente (Eurojuris).
¿Y en España? La verificación del beneficiario funciona igual: desde el 9 de octubre de 2025, los bancos deben ofrecerla gratis en las transferencias en euros, ordinarias o inmediatas, con cuatro respuestas posibles («coincidente», «casi coincidente», «no coincidente» o «no se pudo verificar»); en las transferencias por fichero, las empresas pueden prescindir de ella, y si sigues adelante pese al aviso, el banco no responde (Banco de España). Tampoco aquí hay reembolso asegurado: según el artículo 59 del Real Decreto-ley 19/2018 de servicios de pago, una orden ejecutada con el IBAN facilitado se considera correctamente ejecutada, así que el banco no responde si ese IBAN era el del estafador, aunque debe esforzarse razonablemente por recuperar los fondos y, si no lo consigue, darte por escrito, si se lo pides, la información necesaria para reclamarlos por vía judicial (BOE). Si tu banco no te atiende, reclama primero por escrito a su servicio de atención al cliente y, si no te da la razón o no contesta en 15 días hábiles, al Banco de España (Banco de España). La denuncia se presenta ante la Policía Nacional o la Guardia Civil (que admite en su sede electrónica las estafas cometidas por medios informáticos), y el 017 de INCIBE, gratuito y confidencial, atiende a particulares y empresas de 8:00 a 23:00 todos los días; INCIBE describe además este mismo fraude del proveedor suplantado y aconseja comprobar cualquier cambio de cuenta por un canal ajeno al correo electrónico (Guardia Civil, INCIBE, INCIBE).
¿Resolverá el problema la factura electrónica?
En parte. Desde el 1 de septiembre de 2026, las facturas entre empresas francesas tienen que pasar, de forma progresiva, por plataformas autorizadas (operadores inscritos por la Hacienda francesa), en forma de datos estructurados: todas las empresas deben poder recibirlas, y las grandes empresas y las ETI ya deben emitirlas así (LegalPlace). Una factura recibida por este circuito procede de un emisor identificado, lo que complica colar una factura falsa por correo electrónico. Pero la reforma apunta ante todo al fraude del IVA; las pymes y las microempresas no están obligadas a emitir facturas electrónicas hasta el 1 de septiembre de 2027, y el propio RIB sigue circulando a menudo por correo electrónico. El caso VosFactures demuestra, además, que las plataformas se convierten a su vez en objetivos repletos de IBAN. La llamada de teléfono sigue siendo imprescindible. El calendario completo de la reforma se detalla en Facturación electrónica en Francia: ¿sigue siendo válida tu factura en PDF?
Glosario
Fraude por manipulación: fraude en el que la víctima hace ella misma el pago, engañada por el estafador.
FOVI: faux ordre de virement international («falsa orden de transferencia internacional»), el término que usa la policía francesa para estos fraudes.
Creator, Producer: campos de los metadatos de un PDF que indican el programa de origen y el que lo generó o modificó.
Actualización incremental: modo de guardado que añade los cambios al final del archivo y conserva la versión anterior.
Verificación del beneficiario (VoP): comprobación obligatoria en la zona del euro desde octubre de 2025, que compara el nombre del beneficiario con el IBAN antes de una transferencia.