Llamada de comprobación antes de cambiar un RIB
Un proveedor o un directivo exige un nuevo RIB o una transferencia urgente: llame a un número que ya tenga y haga validar la solicitud.
En 30 segundos
- Dónde ocurre
- Mediante un mensaje falso, un SMS o una llamada telefónica que imita a un tercero de confianza1.
- Qué quiere el atacante
- Obtener datos bancarios o personales haciéndose pasar por un tercero de confianza1.
- El reflejo
- No haga clic en nada y no llame a ningún número que aparezca en el mensaje; busque otra forma de contactar con la persona2.
- Si ya lo ha hecho
- Avise de inmediato a las personas afectadas de la organización y a la entidad financiera3.
De qué se trata
Un mensaje pide cambiar el RIB (los datos bancarios) de un proveedor, o hacer una transferencia inmediata para un directivo. Si el remitente es un estafador, el empleado que ejecuta la solicitud paga en su lugar. En ambos casos, el autor se hace pasar por un tercero de confianza, el esquema que Cybermalveillance.gouv.fr describe para el phishing: engañar a la víctima para obtener datos bancarios o personales1.
La CISA aconseja no llamar al número del mensaje sospechoso y ponerse en contacto con la empresa o con la persona por otro medio2. Esta ficha explica por qué funciona este gesto y qué trampas lo eluden.
Preguntas directas
¿Qué es una solicitud fraudulenta de cambio de RIB?
Es una solicitud que parece venir de un proveedor o de un directivo y que busca modificar datos bancarios o provocar una transferencia urgente. Las fuentes citadas aquí no tratan este caso por su nombre: describen el phishing en general. Según Cybermalveillance.gouv.fr, se trata de un mensaje falso, un SMS o una llamada telefónica, presentado como procedente de un tercero de confianza, para obtener datos personales o bancarios1. El objetivo es utilizarlos de forma fraudulenta1.
¿Por qué llamar a un número que ya está registrado?
Porque los datos de contacto del mensaje son los que ha elegido el estafador. La CISA pide no hacer clic en ningún enlace, no llamar a ningún número que figure en el mensaje sospechoso y contactar con la empresa o con la persona por otro medio2. Aconseja tomar los datos de contacto de un sitio verificado, o contactar con la persona por otro canal para saber si realmente ha escrito2.
Un segundo texto de la CISA va en el mismo sentido: en caso de duda, se contacta con la empresa directamente, sin usar los datos de contacto de un sitio vinculado a la solicitud y buscándolos en documentos anteriores (extractos, cartas)3.
¿Por qué la solicitud siempre es urgente?
La urgencia es una señal de alerta. La CISA incluye entre las señales habituales un lenguaje urgente o cargado de emoción, en particular los mensajes que anuncian graves consecuencias si no se responde de inmediato2. MITRE señala que el phishing destinado a recopilar información suele recurrir a varios mensajes de apariencia urgente4.
¿Es fiable un correo que llega de la dirección correcta?
No. MITRE describe atacantes que comprometen cuentas de correo para usarlas después en phishing5. Una cuenta ya conocida por la víctima puede generar confianza, y el atacante puede desviar intercambios existentes5. La dirección que aparece no prueba, por tanto, que el autor sea el verdadero titular.
¿Qué hacer si el pago ya se ha realizado?
Avisar sin esperar. La CISA recomienda comunicar a la persona adecuada de la organización, incluidos los administradores de red, cualquier información sensible revelada, y contactar de inmediato con la entidad financiera si hay cuentas que puedan estar comprometidas3. Cybermalveillance.gouv.fr añade que hay que conservar las pruebas, en particular el mensaje recibido, y presentar una denuncia en caso de cargos fraudulentos1.
1Cómo funciona1 min
La contrallamada se basa en un principio sencillo: el estafador controla el mensaje, no el expediente. El número registrado antes de la solicitud no lo facilitó el autor del mensaje. La CISA recomienda además no usar los datos de contacto de una página vinculada a la solicitud, sino buscarlos en documentos anteriores3.
La identidad de un remitente puede imitarse: MITRE menciona la suplantación de la identidad del remitente, que puede engañar tanto al destinatario como a las herramientas de seguridad automáticas4. La CISA añade que las direcciones suelen imitar las de una empresa real, modificando u omitiendo algunos caracteres3.
2Lo que usted hace1 min
Los pasos siguientes se apoyan en las pautas de verificación de las fuentes citadas aquí. La validación por una segunda persona no figura en ellas: es una regla de procedimiento interno, que debe fijar la empresa.
- No responda al mensaje y no haga clic en ningún enlace ni archivo adjunto de la solicitud2.
- Busque los datos de contacto del solicitante en documentos anteriores, y no en un sitio vinculado a la solicitud3.
- Contacte directamente con la empresa o con la persona para verificar la solicitud3, antes de cualquier cambio de RIB o de cualquier transferencia.
- Haga validar la solicitud por una segunda persona designada antes de ejecutar la operación.
- Si no puede contactar con el solicitante, no pague ni modifique nada. Informe de la solicitud internamente.
- Conserve el mensaje recibido: Cybermalveillance.gouv.fr insiste en la conservación de las pruebas1.
3Las trampas2 min
La urgencia y la confidencialidad
Una solicitud que apremia o que prohíbe hablar de ella impide la contrallamada y la segunda validación. La CISA sitúa la urgencia entre las señales que hay que reconocer2. Las fuentes citadas aquí no describen la petición de confidencialidad: debe tratarse como un motivo más para verificar.
El correo suplantado o pirateado
Una dirección casi idéntica a la verdadera es una señal clásica: la CISA da el ejemplo de una dirección como amazan.com2. Pero una dirección exacta no basta, porque una cuenta pirateada puede servir para escribir a los contactos de su titular5. Las fuentes citadas aquí no dan ninguna razón para fiarse solo del correo.
La regla de reenvío oculta
Un atacante que se ha apoderado de una cuenta puede vigilar el buzón sin ser visto. MITRE describe las reglas de reenvío de correos, que sirven para seguir la actividad de la víctima y robar información6. Estas reglas pueden conservar el acceso a los mensajes incluso después de restablecer las credenciales, y pueden quedar ocultas en algunas herramientas6. Un intercambio que parece normal puede, por tanto, estar vigilado, e incluso desviado.
La solicitud que viene de dentro
Un mensaje de un compañero o de un directivo no es necesariamente seguro. MITRE describe el phishing interno, en el que cuentas comprometidas apuntan a otros miembros de la organización, y cita un grupo que atacó a directivos, a recursos humanos y a informática7. La contabilidad no se nombra allí, pero el principio es el mismo: pertenecer a la empresa no sustituye a la verificación.
La factura falsa
Las fuentes citadas aquí no describen la factura falsa como tal. Un texto de la CISA advierte contra los archivos adjuntos no solicitados3. La CISA menciona las solicitudes de información personal y financiera2. Una factura acompañada de nuevos datos bancarios entra en esta alerta: la contrallamada se aplica igual.
Ficha
- Identificador
- CP-356
- Ala
- 5. Vida en la oficina y reflejos
- Competencia Brain
- Evitar las estafas (handle_scams)
- Reflejo Brain
- cr-080
- Esquema
- G5 · Árbol de decisión del reflejo
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance», 10 de enero de 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultado el 3 de noviembre de 2026)
- CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado el 3 de noviembre de 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1586/002/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Llamada de comprobación antes de cambiar un RIB», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp356_es_2026,
author = {Brain},
title = {Llamada de comprobación antes de cambiar un RIB},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/contrallamada-numero-conocido-cambio-datos-bancarios/},
note = {CC BY 4.0}
}