Cómo comprobar que los datos de transferencia no están falsificados
Un IBAN inventado suele fallar el control mod-97 incorporado. El verdadero riesgo hoy es el fraude de redirección de facturas: un IBAN real que pertenece a un delincuente que ha interceptado la factura. Así verificas los datos antes de enviar.
Cómo se construye un IBAN
El International Bank Account Number se define en ISO 13616. Empieza por el código ISO de dos letras del país, dos dígitos de control y luego el BBAN, específico de cada país — por ejemplo 24 caracteres en España, 27 en Italia, 22 en Alemania. La longitud total es fija por país.
Los dos dígitos de control usan el algoritmo mod-97: mover país y control al final, sustituir letras por números (A=10 … Z=35) y calcular el módulo 97. Un IBAN válido siempre da resto 1. Por eso una cadena aleatoria o un carácter cambiado casi nunca pasa. Esto no prueba que la cuenta exista, solo que el número está bien formado.
El BIC (código SWIFT) identifica al propio banco: 8 u 11 caracteres para entidad, país y sucursal. Dentro de SEPA el BIC es opcional desde 2016 — basta el IBAN — pero para transferencias SWIFT fuera de SEPA sigue siendo necesario.
La amenaza real: redirección de facturas
El fraude que cuesta a las empresas europeas cientos de millones de euros al año no es un IBAN erróneo, es el Business Email Compromise (BEC), también llamado fraude de cambio de cuenta o al CEO/proveedor. Los atacantes acceden a un buzón (del pagador o del proveedor), vigilan facturas pendientes y envían un correo casi idéntico anunciando 'cambio de datos bancarios'. El nuevo IBAN es auténtico y pasa cualquier control — pero es del defraudador.
El patrón se reconoce: el correo llega tarde en el proceso, casi siempre la semana previa a un pago grande. El dominio es un lookalike (una letra extra, .com por .es). El tono presiona por urgencia y pide no llamar, solo responder por correo. A menudo el empleado real del proveedor está en copia pero nunca recibe el mensaje.
Checklist de verificación
Aplica estos seis pasos antes de cualquier primera transferencia y ante cualquier cambio de datos bancarios:
1. El IBAN debe superar el control mod-97 — la mayoría de apps de banca online lo hace automáticamente. Si falla, rechazar de inmediato.
2. Verifica el nombre del titular con la Verificación del Beneficiario cuando esté disponible (obligatoria en la zona del euro para transferencias en euros desde el 9 de octubre de 2025).
3. Si el beneficiario acaba de cambiar de datos bancarios, llámale a un teléfono obtenido por otra vía — su web, una factura antigua — nunca el del nuevo correo.
4. Para pagos grandes, envía primero una pequeña transferencia de prueba y espera la confirmación.
5. Revisa el dominio del remitente carácter a carácter y pasa el cursor sobre los enlaces para ver la URL real.
6. No apruebes nunca un cambio de datos bancarios con un solo correo, aunque venga de una dirección conocida — exige doble validación.
Frequently asked questions
- Un dígito de control definido por ISO 13616: reordenas el IBAN, sustituyes letras por números y calculas módulo 97. Un IBAN válido da siempre 1. Los IBAN aleatorios o mal tecleados casi nunca lo cumplen — un primer filtro gratis.
Related on Banks.eu
Informational purpose only. Rates and product terms change frequently — always verify with the issuing institution before opening an account. Some links may be affiliate or partner links and never influence editorial rankings.
