Pagué la factura a una cuenta falsa y mi proveedor me sigue reclamando

El correo llega desde la dirección de siempre, con el mismo formato y la misma firma. Anuncia un cambio de cuenta por una incidencia con la entidad anterior y adjunta la factura con el IBAN nuevo. Se paga. Tres semanas después el proveedor llama porque no ha recibido nada, y a los pocos días entra un burofax reclamando el importe íntegro.

A partir de ahí hay dos empresas que no se han quedado con el dinero y una cantidad que ha desaparecido. Las dos son víctimas y las dos lo saben, pero eso no reparte la pérdida. El reparto depende de a quién correspondía cobrar, de cómo se comportó cada parte antes de la transferencia y de qué puede probar cada una ahora que han pasado semanas. Mientras tanto hay un plazo corriendo y decisiones que, tomadas mal en los primeros días, cierran opciones que después no se recuperan.

¿El pago a la cuenta del estafador cancela la deuda?

La intuición de quien pagó es que ya cumplió y que el problema pertenece al proveedor, que tenía el buzón comprometido. El Código Civil parte de lo contrario. El pago extingue la deuda cuando llega al acreedor o a alguien autorizado por él para cobrar, y el dinero que entra en la cuenta del defraudador no llega a ninguno de los dos. La obligación sigue viva y el proveedor conserva su derecho.

Hay una excepción, y es la que sostiene la defensa del pagador: quien paga de buena fe a quien está en posesión del crédito queda liberado. La apariencia tiene que ser objetivamente verosímil y la buena fe se mide por la diligencia empleada, no por el convencimiento de quien pagó. Los tribunales aplican ese estándar con bastante más rigor a las empresas que a los consumidores, porque presumen en ellas un circuito de pagos ordenado y capacidad de verificar antes de mover una cantidad relevante.

Conviene separar dos preguntas que suelen mezclarse. Una es si lo ocurrido es estafa o incumplimiento contractual, que determina la vía frente al defraudador y casi nunca sirve para recuperar el dinero. Otra es quién soporta la pérdida entre cliente y proveedor, que se decide en el terreno civil con independencia de lo que pase con la denuncia.

¿Qué decide quién soporta la pérdida?

Tres cuestiones concentran casi todo el peso del asunto.

De dónde salió realmente el correo. Hay diferencia entre un mensaje enviado desde el buzón auténtico del proveedor, que estaba intervenido, y otro enviado desde un dominio parecido o con el nombre visible manipulado. En el primer caso el fallo se produjo dentro de la esfera de control del proveedor y su posición se debilita. En el segundo, la empresa que pagó tenía delante un indicio visible y no reparó en él. Esto no se determina leyendo el correo reenviado, sino con las cabeceras del mensaje original, que registran el servidor de salida y el resultado de las comprobaciones de autenticación del dominio.

Si hubo verificación por un canal distinto. Un cambio de cuenta comunicado por correo es un aviso, no una instrucción ejecutable. La verificación que cuenta es la que no depende del canal comprometido: una llamada al teléfono que ya figuraba en el contrato o en facturas anteriores, nunca al que venía en el mensaje nuevo. La ausencia de esa comprobación es el elemento que con más frecuencia inclina la balanza contra quien pagó.

Qué hizo el banco. Desde octubre de 2025 las entidades de la zona euro tienen que ofrecer un servicio de verificación del beneficiario que contrasta el nombre facilitado con el titular real de la cuenta y avisa cuando no coinciden. Para clientes que no son consumidores ese servicio puede excluirse, y muchas empresas que pagan por fichero lo tienen desactivado sin saberlo. Si la advertencia apareció y la orden se confirmó igualmente, la posición del pagador queda muy comprometida. Si el banco debía prestarlo y no lo hizo, se abre una reclamación distinta contra la entidad, con su propio recorrido. Antes de esa obligación los tribunales venían resolviendo que el banco ejecuta contra el identificador de la cuenta y no responde de que el nombre no case, y el Tribunal Supremo apuntó que la nueva norma podía alterar ese reparto.

Con estos tres elementos una empresa puede documentar su caso por su cuenta hasta un punto razonable: exportar el correo original con sus cabeceras, reunir el histórico de facturas pagadas a la cuenta antigua, guardar la orden de pago y el resultado de la verificación del beneficiario, y pedir a su entidad el registro completo de la operación. Lo que no puede hacer sola es el informe pericial sobre el origen del mensaje y sobre el alcance del sistema comprometido, que es la prueba que decide los casos discutidos.

Una advertencia sobre expectativas. Las Audiencias Provinciales no resuelven estos supuestos de forma uniforme: algunas mantienen el criterio estricto de que el pago no libera, otras admiten la apariencia de titularidad cuando la suplantación fue difícil de detectar, y algunas han llegado a condenar a la entidad de destino. Quien prometa un resultado seguro en cualquiera de las dos posiciones está vendiendo algo que no tiene.

¿Qué hay que hacer en los primeros días?

Avisar al banco por escrito y de inmediato, pidiendo la retrocesión de la transferencia. La ventana útil se mide en horas, porque las cuentas mula se vacían el mismo día del ingreso. Aunque el dinero ya no esté, la petición documentada tiene valor probatorio después.

Denunciar. Interesa a las dos empresas, y no por la expectativa de recuperar el importe, que es baja, sino porque el atestado y las diligencias fijan hechos que luego se discuten en el pleito civil.

Requerir por escrito a la otra parte. Quien reclama debe identificar la factura, el importe y la propuesta concreta. Quien recibe la reclamación debe contestar sin admitir responsabilidad y sin proponer aplazamientos o pagos parciales que equivalgan a reconocer la deuda como pendiente antes de haber valorado su posición.

Conservar la prueba tal como está. El correo original se exporta desde el buzón en su formato nativo, con las cabeceras completas. Destruyen prueba, en orden de frecuencia: reenviar el mensaje en lugar de exportarlo, borrar el hilo, migrar el buzón o cambiar de proveedor de correo, dejar que caduquen los registros de acceso del servidor y permitir que el informático limpie la cuenta comprometida antes de que nadie la haya examinado. También perjudica, aunque no lo parezca, resolverlo todo por teléfono: lo que no queda escrito no existe cuando el asunto llega al juzgado.

¿Cuándo compensa llevarlo al juzgado y cuándo no?

Antes de demandar hay que acreditar el intento de acuerdo previo que exige la ley. No es un trámite decorativo: sin esa acreditación el juzgado inadmite la demanda, y en un asunto donde la prueba se degrada con el tiempo, volver a empezar cuesta caro.

Los números mandan. Los honorarios de representación completa en juicio civil a precio fijo parten de 2.000 € + IVA. A eso se suman los del procurador, que se facturan por separado y nunca van incluidos en los del despacho, la tasa judicial que abonan las personas jurídicas, de 150 € en verbal y 300 € en ordinario, y el informe pericial informático si el origen del correo se discute. Las costas se imponen a quien pierde, con el límite de un tercio de la cuantía, pero en asuntos con dudas de derecho serias los juzgados suelen no imponerlas, y esta materia entra de lleno en esa categoría.

Con esa estructura de costes, por debajo de unos 10.000 € la vía judicial rara vez sale a cuenta para ninguna de las dos partes: el coste de litigar se come una porción demasiado grande de lo que se discute, y la incertidumbre sobre las costas hace el resto. Entre 10.000 y 15.000 € el asunto se tramita por juicio verbal, más rápido y sin acceso a casación. Por encima de 15.000 € va por ordinario, con más recorrido probatorio y más plazo. La acción para reclamar la cantidad prescribe a los cinco años, margen suficiente sobre el papel y engañoso en la práctica, porque los registros del servidor que sostienen el caso desaparecen mucho antes.

Hay supuestos en los que la respuesta profesional es no litigar. Si quien pagó lo hizo a un dominio visiblemente distinto, sin ninguna comprobación, ignorando una advertencia del banco y los sistemas del proveedor estaban limpios, su posición es débil y el dinero se aprovecha mejor negociando un reparto que financiando un pleito. La situación inversa también existe: un proveedor cuyo buzón llevaba semanas intervenido y que no avisó a sus clientes tiene poco que ganar exigiendo el cien por cien.

Qué hacer con esto

La pérdida se coloca donde estuvo el fallo, y el fallo se prueba con documentos que hoy siguen existiendo y dentro de unos meses no. La secuencia que funciona es corta: fijar el estado del buzón y de los registros antes de tocar nada, reunir el histórico de pagos a la cuenta anterior, pedir al banco el detalle de la operación y el resultado de la verificación del beneficiario, y solo entonces sentarse a valorar la posición propia frente a la de la otra empresa.

Las dos partes suelen llegar al despacho convencidas de que su caso es evidente. Casi nunca lo es. Lo que sí suele estar claro, en la mayoría de estos asuntos, es cuál de las dos tenía delante la señal que permitía detenerlo, y esa respuesta está en las cabeceras del correo y en el registro del pago mucho antes que en la demanda.

Preguntas frecuentes

¿Tengo que pagar dos veces la misma factura?

El punto de partida es que sí, y por eso el asunto se defiende. Si el dinero no llegó a tu proveedor ni a nadie autorizado por él, la deuda no se extinguió y él puede seguir reclamando el importe. La salida está en acreditar que pagaste de buena fe ante una apariencia de titularidad razonable y con la diligencia exigible a una empresa. Cuanto más verificable era el engaño y menos comprobaste, más difícil resulta sostener esa defensa.

Si el correo salió del buzón de mi proveedor, ¿responde él de la pérdida?

Es el escenario que más favorece a quien pagó, aunque no lo resuelve de forma automática. Que el mensaje se enviara desde la cuenta auténtica sitúa el fallo de seguridad en la esfera del proveedor y refuerza la apariencia frente a la que actuaste. Sigue pesando en contra si el importe era alto y no verificaste el cambio de cuenta por un canal independiente.

¿Puedo reclamar al banco que recibió el dinero?

Es una acción distinta y más incierta. Los tribunales han venido entendiendo que la entidad ejecuta contra el número de cuenta y no está obligada a comprobar que el nombre del beneficiario coincida con el titular. La obligación de verificación del beneficiario vigente desde octubre de 2025 cambia el análisis para las operaciones posteriores, sobre todo si el banco no prestó el servicio debiendo hacerlo o no advirtió de una discordancia.

¿Sirve de algo denunciar si el estafador no aparece?

Sirve, aunque no para cobrar. La cuenta de destino se vacía en horas y su titular suele ser una mula sin patrimonio. El valor de la denuncia está en fijar los hechos con intervención policial y en obtener información sobre el destino de los fondos que luego se usa en el procedimiento civil entre las dos empresas.

¿Cuánto tiempo tengo para reclamar?

La acción para reclamar la cantidad prescribe a los cinco años desde que la obligación era exigible, y una reclamación extrajudicial fehaciente interrumpe ese plazo. El límite real es otro: los registros de acceso al correo y del servidor se conservan meses, no años, y sin ellos el elemento que decide el caso deja de ser probable.