Una empresa de Puçol perdió 5.000 euros porque un trabajador fue víctima de una estafa digital sofisticada. No hubo virus ni clics sospechosos: solo un correo electrónico que parecía legítimo. Este caso, investigado por la Guardia Civil en julio de 2026, muestra cómo el Business Email Compromise (BEC) afecta a pymes, trabajadores y departamentos de Recursos Humanos sin que nadie sospeche nada hasta que es demasiado tarde.
El BEC no es un ataque técnico, es un ataque de confianza
El Business Email Compromise no depende de software malicioso ni de explotar vulnerabilidades técnicas. Se basa en suplantar identidades digitales mediante correos electrónicos falsos que imitan con precisión los de empleados, jefes o proveedores. En el caso de Puçol, el estafador creó una dirección casi idéntica a la del trabajador: solo cambió una letra. Esa mínima diferencia pasó desapercibida para el equipo de Recursos Humanos.
Este tipo de fraude explota la rutina administrativa y la urgencia de procesos laborales, como el finiquito. Cuando una persona acaba su contrato, es normal que actualice sus datos bancarios. Esa normalidad es lo que el estafador aprovecha.
Cómo se construye una suplantación BEC
- Se investiga públicamente al objetivo: nombre, cargo, empresa, redes sociales y dominios corporativos.
- Se crea una dirección de correo con dominio similar (por ejemplo, [email protected] en lugar de [email protected]).
- Se envía un mensaje formal, con tono profesional y documentos apócrifos que simulan legitimidad.
- Se aprovecha un contexto creíble: fin de contrato, cambio de banco, reestructuración interna.
Los departamentos de Recursos Humanos son los más vulnerables
Recursos Humanos gestiona información sensible y autoriza transferencias bancarias sin necesidad de segunda validación. En el caso de Guardamar del Segura, el departamento actuó conforme a su protocolo habitual: recibió una solicitud por correo, verificó el nombre del empleado y procesó el cambio. No hubo alerta porque no se cuestionó la procedencia del mensaje, sino solo su contenido.
Esto revela una brecha crítica: la formación en ciberseguridad humana, no solo técnica. Los empleados no necesitan ser expertos en ciberdelincuencia, pero sí deben saber que ningún cambio bancario debe validarse solo por correo.
Qué deben hacer las empresas hoy mismo
- Exigir validación telefónica o presencial para cualquier modificación de datos bancarios, incluso si el correo parece legítimo.
- Implementar autenticación de dos factores (2FA) en todos los correos corporativos.
- Usar herramientas de verificación de dominios (DMARC, SPF, DKIM) para bloquear correos falsos antes de que lleguen a la bandeja de entrada.
El ciudadano también está en la línea de fuego
No solo las empresas sufren las consecuencias. El trabajador de Puçol no recibió su finiquito ni su nómina. Tuvo que intervenir la Guardia Civil para recuperar el dinero —y aún así, no hay garantía de devolución total. En muchos casos, los fondos se transfieren a cuentas offshore o se retiran en efectivo antes de que se active el bloqueo.
Además, el afectado puede verse involucrado en procesos judiciales como testigo o incluso como parte denunciante, con el estrés y la demora que eso implica. Por eso, cualquier trabajador debe revisar sus ingresos bancarios tras finalizar un contrato y contactar inmediatamente con su antigua empresa si algo no coincide.
El marco legal ya castiga con dureza este tipo de fraudes
El investigado de Guardamar del Segura enfrenta dos delitos: estafa informática y blanqueo de capitales, según el Código Penal español. El primero puede conllevar hasta 5 años de prisión; el segundo, hasta 6. Además, la Ley Orgánica 10/1995 y la Directiva Europea NIS2 refuerzan la obligación de las empresas de proteger sus sistemas y reportar incidentes.
La Oficina Nacional de Recepción Electrónica de Denuncias (ONRED) permite denunciar estos hechos en menos de 5 minutos, sin acudir a una comisaría. Pero la clave está en la prevención temprana, no en la reacción tardía.
Lo esencial en 3 puntos
- Nunca valides cambios bancarios solo por correo: exige confirmación telefónica con número oficial de la empresa o persona.
- Revisa el dominio del remitente con lupa: una letra distinta o un guion extra pueden ser la señal de una suplantación BEC.
- Reporta cualquier discrepancia inmediatamente: si no recibes tu nómina o finiquito, contacta con Recursos Humanos y denuncia en ONRED antes de 72 horas.
