Transferencias bancarias fraudulentas: lo que las empresas necesitan saber
Transferencias bancarias fraudulentas: lo que las empresas necesitan saber
Escrito por: Lizzie Danielson
Publicado: 2/9/2026
Según el Informe del Centro de Quejas de Delitos en Internet (IC3) del FBI de 2024, el compromiso de correo electrónico empresarial (BEC) se dirige a organizaciones que realizan transferencias bancarias con regularidad y es uno de los delitos en internet más dañinos financieramente que se reportan. Solo en 2024, las quejas de BEC reportadas al IC3 representaron alrededor de $2.77 mil millones en pérdidas ajustadas a nivel mundial. Y una vez que el dinero se mueve, es casi imposible recuperarlo.
Lo que hace que los ataques de BEC sean tan efectivos es que las solicitudes parecen legítimas porque las cuentas de correo electrónico detrás de ellas a menudo lo son. Entender cómo ocurren los ataques es la mejor manera de prevenirlos. Este artículo explica qué significa el fraude de transferencias para las empresas, por qué la seguridad del correo electrónico por sí sola no puede detenerlos una vez que un actor de amenazas compromete una cuenta, y cómo detectar los ataques antes de que el dinero salga de tu organización.
Durante un evento de fraude en transferencias bancarias, los actores de amenazas engañan a una empresa para que envíe dinero directamente a una cuenta distinta a la habitual para pagarle a un tercero por bienes o servicios. El mensaje suele parecer una solicitud de pago rutinaria, una factura de un proveedor o un cambio en los datos de nómina o de la cuenta de pago. La mayoría de las empresas no se dan cuenta del error hasta que el dinero ya desapareció.
Las empresas son blancos principales por varias razones, pero tres destacan. Primero, las transferencias bancarias se mueven rápido, dejando una ventana muy estrecha para detenerlas antes de que se liquiden. Segundo, las transacciones suelen ser grandes, lo que hace que cada ataque exitoso sea muy rentable para los actores de amenazas. Finalmente, los equipos que manejan pagos y operaciones bancarias trabajan bajo presión constante de tiempo: los equipos de finanzas procesan pagos de forma rutinaria, lo que facilita que los atacantes cuelen una solicitud fraudulenta antes de que alguien se detenga a cuestionarla.
Estos son algunos de los ejemplos más comunes de fraude electrónico que atacan a las empresas hoy en día:
La mayoría de los consejos de prevención del fraude asumen que el actor de amenazas es alguien externo. Verificar por teléfono, conseguir un segundo aprobador y negarte a transferir dinero basándote solo en un correo son buenas formas de prevenir el fraude.
Pero durante un ataque BEC impulsado por la toma de control de una cuenta, la cuenta de correo ya está comprometida. La solicitud proviene de la cuenta real, y las herramientas estándar de seguridad de correo no la marcan porque el mensaje viene de una dirección legítima, sin enlaces ni archivos adjuntos maliciosos.
Para cuando llega la solicitud fraudulenta, el actor de amenazas puede llevar semanas dentro de la bandeja de entrada. Aprende los patrones de comunicación, rastrea transacciones pendientes y programa la solicitud para que coincida con lo que el destinatario espera. Los atacantes también configuran reglas de reenvío y eliminación automática para que las respuestas nunca lleguen al verdadero dueño de la cuenta, manteniéndose ocultos hasta que el dinero se mueve.
En la mayoría de los casos, no. Una vez que un banco procesa una transferencia bancaria, los fondos se mueven rápido, por lo general en menos de 24 horas, y los bancos tienen una capacidad muy limitada para recuperarlos. A diferencia de los pagos con tarjeta de crédito, donde los contracargos dan a las empresas un proceso formal de disputa, las transferencias bancarias no tienen una protección equivalente. En cambio, funcionan como efectivo.
La recuperación no es imposible, pero es una carrera contra el tiempo. El IC3 del FBI maneja programas llamados "Domestic Financial Fraud Kill Chain" (D-FFKC)" (D-FFKC) y "International Financial Fraud Kill Chain" (International Financial Fraud Kill Chain). Ambos trabajan con instituciones financieras para congelar los fondos fraudulentos antes de que desaparezcan.
En 2025, el programa D-FFKC manejó 3.574 incidentes con pérdidas de $832 millones. El programa logró retener $507 millones, lo que representa una tasa de éxito del 61%. Pero el plazo para lograrlo es breve.
Una vez que los actores de amenazas mueven los fondos a una cuenta secundaria (o los convierten en criptomoneda), la probabilidad de recuperación cae de forma drástica. Para la mayoría de las empresas, cuando el fraude sale a la luz, el dinero ya desapareció. Si sospechas de una transferencia fraudulenta, presenta un informe a tu banco y presenta una queja ante el IC3 de inmediato. ¡Cada minuto cuenta!
La mejor protección contra el fraude de transferencias bancarias empieza por detectar a tiempo el compromiso de la cuenta. Eso significa rastrear comportamientos sospechosos dentro de tu entorno de correo electrónico en tiempo real. Cuando un actor de amenazas obtiene acceso a una cuenta, deja señales, como un inicio de sesión desde un país inusual minutos después de un inicio de sesión doméstico, un intento de autenticación desde una dirección IP sospechosa, o el uso de credenciales a horas extrañas.
Estos son algunos de los primeros indicadores de que un ataque de BEC ya está en marcha, y aparecen antes de que la solicitud de transferencia fraudulenta llegue a la bandeja de entrada de tu equipo de finanzas. Detectarlos a tiempo puede marcar la diferencia entre detener el fraude antes de que ocurra y hacer control de daños después de que el dinero ya desapareció.
Aquí es donde las herramientas tradicionales de seguridad de correo electrónico se quedan cortas. Los filtros de spam y las pasarelas de correo detectan mensajes maliciosos, no comportamientos maliciosos dentro de una cuenta. Prevenir el fraude de transferencias bancarias desde el origen requiere visibilidad de alto nivel sobre la actividad dentro de tu entorno de correo electrónico.
La mayoría de los fraudes de transferencia bancaria empiezan igual: un actor de amenazas accede a una cuenta de correo empresarial, configura reglas de bandeja de entrada para ocultar su actividad y envía una solicitud de pago fraudulenta. Para cuando alguien lo nota, el dinero ya desapareció.
Huntress Managed ITDR detiene a los actores de amenazas apenas obtienen acceso a una cuenta. El Centro de Operaciones de Seguridad de Huntress (SOC), impulsado por IA y disponible las 24 horas, vigila la actividad de Microsoft 365 y Google Workspace todo el tiempo, buscando señales de que una cuenta fue tomada. Cuando aparecen esas señales, el SOC de Huntress actúa rápido, investigando y respondiendo a tomas de control de cuentas verificadas. Esa rapidez importa porque el fraude por transferencia depende de que los atacantes tengan tiempo para operar sin ser detectados dentro de una cuenta comprometida. Si se reduce esa ventana, las probabilidades de fraude bajan considerablemente.
Eso fue exactamente lo que pasó cuando el SOC de Huntress detectó un inicio de sesión sospechoso desde una dirección IP de Nigeria en la cuenta de Microsoft 365 de una empresa de logística de EE. UU. El SOC rastreó la actividad, confirmó que era maliciosa y descubrió que los actores de amenazas habían creado reglas de bandeja de entrada para interceptar las comunicaciones con proveedores. Su objetivo era manipular los números de ruta y desviar fondos hacia cuentas bajo su control. El SOC de Huntress detectó y contuvo la amenaza antes de que se realizara un solo pago fraudulento.
El valor de prevenir aunque sea un solo incidente de fraude por transferencia de alto valor puede superar fácilmente el costo de Managed ITDR, y el respaldo del SOC que lo acompaña no requiere nada de tu equipo interno.
La mayoría de las organizaciones asume que el fraude de transferencias bancarias es un problema de capacitación; entrenar a los empleados para verificar solicitudes, confirmar por teléfono y cuestionar cualquier cosa urgente. Estos son buenos hábitos, pero no detienen a un actor de amenazas que ya está dentro de una cuenta. La única solución confiable es detectar el compromiso a tiempo.
El Huntress SOC vigila tus entornos de Microsoft 365 y Google Workspace todo el día. Nuestro equipo detecta las primeras señales de compromiso de cuenta y responde en minutos, antes de que se envíe una solicitud de pago fraudulenta.
Inicia hoy una prueba gratuita de Huntress Managed ITDR.
Recursos adicionales
Descubre cómo la ASPM da visibilidad de seguridad continua a lo largo del ciclo de vida del desarrollo de software, ayudando a las organizaciones a priorizar riesgos y agilizar la remediación.
Aprende qué es Google Dorking, cómo los hackers usan operadores de búsqueda avanzados para encontrar información sensible, y los pasos para proteger tu negocio de este riesgo de ciberseguridad.
Descubre qué es un LAN ID, su propósito en la autenticación de red y cómo fortalece la ciberseguridad en redes locales.
