Guía antiestafas para autónomos y pymes: los seis fraudes más comunes

Si tienes un negocio, los fraudes que más te van a llegar suplantan a alguien con quien ya tratas: Hacienda, la Seguridad Social, la OEPM, Google, tu propio jefe o tu proveedor. Todos buscan lo mismo, que pagues o que entregues una contraseña con prisa, y todos se cortan con la misma regla: no actúes desde el mensaje o la llamada que recibes; verifica tú, por un canal que ya conocías.

Esta guía reúne los seis más habituales, con lo que dice cada organismo oficial y un enlace a la guía detallada cuando la hay.

¿Cómo reconozco un falso aviso de Hacienda?

La Agencia Tributaria mantiene en su sede electrónica una página con ejemplos reales de mensajes fraudulentos, ordenados por año. Allí deja claro que nunca solicita por correo electrónico, SMS o Bizum información confidencial, económica o personal, ni números de cuenta o de tarjeta, y que no adjunta ficheros con datos de facturas.

INCIBE avisó en su sección para empresas de campañas de SMS y correos que suplantaban a la Agencia Tributaria y que afectaban a "cualquier empleado, autónomo o empresa". El cebo era una supuesta devolución y el enlace llevaba a una web que imitaba la real para pedir los datos de la tarjeta.

Qué hacer:

1. No abras el enlace ni el adjunto.
2. Compara el mensaje con los ejemplos de la página de phishing de la Agencia Tributaria.
3. Si tienes dudas, entra tú en la sede escribiendo la dirección, o pregunta a tu gestor.

En plena campaña de la renta estos mensajes se multiplican; lo explicamos en las estafas de la campaña de la renta. Y para comprobar cualquier notificación paso a paso, tienes cómo verificar una notificación de Hacienda o de la Seguridad Social.

¿Y una falsa notificación de la Seguridad Social?

La Seguridad Social publica en su web un aviso de ciberseguridad sobre correos que suplantan a la Tesorería General y que van dirigidos tanto a empresas como a particulares. Piden actuar con urgencia para "validar" un documento. Traen un archivo HTML adjunto que, al abrirlo, muestra un falso portal de la Seguridad Social que pide tus credenciales de acceso.

Lo que hace este fraude más difícil de detectar es que el remitente aparenta ser la dirección legítima de notificaciones, [email protected]. Por eso la dirección no basta: fíjate en el contenido. La Seguridad Social cita como señales las faltas de ortografía, frases sin terminar, logotipos antiguos o pixelados, plazos muy cortos o incorrectos y la presión para actuar rápido, y recuerda que "nunca te va a pedir un correo electrónico y su contraseña como forma de identificación". Ante la duda, recomienda llamar a sus teléfonos oficiales.

Para una empresa, esas credenciales son especialmente valiosas: dan acceso a los trámites de la cuenta de cotización. No las escribas nunca en una página a la que has llegado desde un correo.

¿Debo pagar la carta que me pide una tasa por mi marca?

Casi nunca. La OEPM avisa de correos con títulos de registro falsos que piden pagar tasas por transferencia, y de cartas de sociedades privadas que cobran por incluir tu marca en supuestos registros. La OEPM no cobra por finalizar el registro, no te envía el título adjunto y solo escribe desde direcciones @oepm.es. Lo tienes todo en facturas falsas por registrar tu marca.

¿Llama Google para cobrarme por mi ficha?

No. Google sí llama a negocios para verificar datos o hacer reservas, pero su ayuda oficial dice que nunca te pedirá información de pago por teléfono ni intentará convencerte de que pagues para mantener tu Perfil de Empresa, que es gratuito. Tampoco te pide un código de un solo uso ni un PIN. Te explicamos cómo distinguir la llamada real de la falsa en llaman de Google y dicen que tu ficha va a desaparecer.

¿Qué es el fraude del CEO y por qué ya llega por teléfono?

Alguien se hace pasar por un directivo y pide una transferencia urgente y confidencial. INCIBE lo sitúa entre las diez temáticas más consultadas por empresas en su línea 017 y ha publicado un caso real en el que la voz del falso CEO era, según la víctima, "exactamente igual" a la del jefe, con sospecha de clonación por inteligencia artificial. La defensa es un protocolo de pagos: ninguna transferencia se autoriza por teléfono y toda petición urgente se confirma llamando tú a la persona. Lo detallamos en fraude del CEO por teléfono y voz clonada, y la técnica de clonación en voz clonada con IA.

Mi proveedor me dice que ha cambiado de cuenta: ¿cómo lo compruebo?

Este es el fraude más silencioso porque no hay llamada ni prisa: solo un correo, a veces dentro de una conversación real, con un IBAN nuevo. INCIBE lo llama fraude BEC (Business E-mail Compromise). El delincuente suplanta al proveedor o entra en el buzón de una de las dos empresas y cambia la cuenta de las facturas. En la historia real que publicó INCIBE, el encargado de compras recibió un viernes por la tarde un PDF con los "nuevos datos bancarios" y la firma exacta del proveedor. Lo descubrió cuando el proveedor le dijo que el pago nunca había llegado.

Las medidas que recomienda INCIBE:

1. Confirma cualquier cambio de cuenta por un canal distinto del correo, por ejemplo llamando a un teléfono del proveedor que ya tenías.
2. Si lo confirmas por escrito, abre un correo nuevo a una dirección verificada o a otro contacto conocido; no respondas al mensaje sospechoso.
3. Protege el correo de la empresa: contraseñas únicas, segundo factor de autenticación, revisión periódica de la configuración del buzón y, si gestionas tu dominio, SPF, DKIM y DMARC.

Si ya has pagado, el Banco de España recuerda que una transferencia es irrevocable y que tu banco no puede devolverla sin el consentimiento del beneficiario, pero sí debe hacer esfuerzos razonables para recuperar los fondos contactando con la entidad de destino. Por eso la velocidad es lo que más cuenta. INCIBE añade estos pasos:

1. Contacta con tu banco de inmediato.
2. Reporta el incidente a INCIBE-CERT con el correo y los adjuntos, conservando las cabeceras originales.
3. Denuncia ante la Policía Nacional o la Guardia Civil.
4. Revisa el buzón: elimina reglas de reenvío y filtros que no hayas creado, desactiva usuarios recientes que no reconozcas y cambia la contraseña.
5. Si se han visto afectados datos personales, el RGPD obliga a notificarlo a la autoridad de control (la AEPD o la autonómica) en un plazo de 72 horas.

La regla que sirve para los seis

• Nadie de verdad te exige pagar o dar una clave en el mismo mensaje en que te avisa. Hacienda, la Seguridad Social, la OEPM y Google lo dicen expresamente.
• Cuelga y llama tú, al número que tenías o al que aparece en la web oficial, nunca al que te dan.
• Escribe a mano la dirección de la sede o del portal, no pulses el enlace.
• Prisa y secreto juntos son la señal más fiable. Cuando aparecen, se aplica el protocolo con más rigor, no menos.

¿A quién llamo si ya ha pasado?

Al banco primero si ha salido dinero, después denuncia y, para orientación, al 017 de INCIBE, que tiene una opción para empresas y profesionales (también por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017). Tienes el orden completo en a quién llamar tras una estafa telefónica y cómo conservar las pruebas en cómo guardar pruebas de una llamada o SMS fraudulento.

Fuentes: Agencia Tributaria, "Información sobre casos de phishing"; INCIBE Empresas, aviso sobre SMS y correos que suplantan a la Agencia Tributaria (2022-2023); Seguridad Social, aviso de ciberseguridad sobre falsas notificaciones de la TGSS; OEPM, advertencias; Ayuda de Perfil de Empresa en Google; INCIBE, "Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme" y caso real de deepvoice (9/1/2024); INCIBE Empresas, "Fraude email comprometido" e "Historias reales: suplantaron a mi proveedor y a mi empresa estafaron" (28/8/2018); Banco de España, "Cómo protegerte de la estafa del pago de las facturas" (5/7/2022).

Este contenido es informativo y no constituye asesoramiento jurídico.