Phishing y fraude del cambio de cuenta: cómo proteger la secretaría del centro

Octubre es el Mes Europeo de la Ciberseguridad, que en España coordina el Instituto Nacional de Ciberseguridad (INCIBE). Las cifras explican por qué conviene dedicarle un rato en secretaría: INCIBE gestionó 122.223 incidentes en 2025, un 26 % más que el año anterior. El fraude online fue la amenaza principal, con 45.445 casos, cuatro de cada diez, y el phishing la técnica más frecuente, con 25.133. Su línea de ayuda gratuita, el 017, atendió 142.767 consultas, un 44,9 % más.

Un colegio, una escuela infantil o una academia son un objetivo atractivo por una razón práctica: por secretaría pasa dinero todos los meses, en las dos direcciones, y llegan mensajes de muchos remitentes distintos. Este artículo repasa los fraudes que más se ven en ese contexto y las medidas que los frenan sin necesidad de un departamento de informática.

Los fraudes que llegan a un centro educativo

• El cambio de cuenta del proveedor. Llega un correo del catering, de la empresa de transporte o de la editorial avisando de que ha cambiado de banco. A veces viene de un dominio casi idéntico al real y otras de la cuenta auténtica del proveedor, que ha sido robada. Si se actualiza el IBAN sin comprobarlo, el siguiente pago desaparece.
• El falso director. Un mensaje urgente que parece de la titularidad o de la dirección pide una transferencia, la compra de tarjetas regalo o un pago "confidencial". Es el llamado fraude del CEO y se apoya en la prisa y en la jerarquía.
• La factura que nadie pidió. Facturas de servicios nunca contratados, como la inclusión en un supuesto directorio o la renovación de un dominio, enviadas con la esperanza de que se paguen sin revisar.
• El robo de credenciales. Una página que imita la entrada del correo o de una plataforma pide usuario y contraseña. Con ese acceso, el atacante envía los fraudes anteriores desde una cuenta real del centro.
• La suplantación del centro ante las familias. SMS o mensajes que dicen venir del colegio y avisan de un recibo devuelto, con un enlace para pagar. La familia no sospecha porque espera recibos del centro.

La regla que frena casi todo: comprobar por otro canal

La mayoría de estos fraudes caen con una sola costumbre: cualquier petición que mueva dinero o cambie datos bancarios se confirma por un canal distinto del que la ha traído. En la práctica:

1. Cambios de IBAN de proveedores: se confirman llamando a un teléfono que ya estaba en tu ficha, nunca al del mensaje, y hablando con una persona conocida.
2. Doble aprobación: dos personas del centro validan cualquier cambio de datos bancarios y cualquier pago fuera de lo habitual.
3. Registro de cambios: quién cambió el dato, cuándo y cómo se verificó. Si algo sale mal, ese registro es lo primero que pedirá el banco.
4. Sin excepciones por urgencia: si la dirección pide algo urgente por correo, se confirma por teléfono o en persona. Pactarlo de antemano evita que confirmar parezca desconfianza.

Medidas técnicas al alcance de cualquier centro

• Doble factor de autenticación en el correo y en la plataforma de gestión. Es la medida que más dificulta el robo de cuentas.
• Dominio propio protegido: pide a quien gestione tu correo que configure los registros SPF, DKIM y DMARC, que dificultan que otros envíen correos haciéndose pasar por tu dominio.
• Avisos de remitente externo: muchos servicios de correo permiten marcar los mensajes que vienen de fuera de la organización, lo que ayuda a detectar un falso director.
• Contraseñas distintas y un gestor de contraseñas, sobre todo en las cuentas de secretaría y administración.
• Formación breve y repetida: INCIBE ofrece materiales gratuitos sobre phishing, smishing y vishing. Quince minutos en un claustro o en una reunión del personal de administración valen más que un curso al año.

Las familias también son objetivo

Las familias no pueden saber cómo cobra el centro si nadie se lo ha explicado. Un aviso a principio de curso, por el canal oficial, ahorra muchos disgustos:

• Cómo cobra el centro: por domiciliación bancaria, por la app o en secretaría, y nunca mediante un enlace en un SMS.
• Qué no pedirá nunca: contraseñas, códigos de verificación o datos de tarjeta por mensaje.
• Dónde comprobar: en la app del centro o llamando a secretaría.

Cuanto más concentrados estén los cobros y los avisos en un único canal oficial, más fácil es que la familia reconozca un mensaje que no encaja. Por eso los grupos de mensajería informales son un riesgo añadido, como explicamos en los grupos de WhatsApp de padres.

Si el fraude ya ha ocurrido

1. Llama al banco de inmediato. Cuanto antes se pida la retención o la devolución de una transferencia, más opciones hay de recuperarla.
2. Cambia las contraseñas de las cuentas afectadas y cierra las sesiones abiertas.
3. Denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica, y guarda los correos y justificantes.
4. Pide orientación al 017, la línea gratuita de INCIBE.
5. Valora si hay una brecha de datos personales. Si el atacante accedió al correo o a la plataforma con datos de familias o alumnos, el centro puede tener que notificarlo a la AEPD en 72 horas. Lo explicamos, junto con el resto del plan de respuesta, en el plan de respuesta ante un ataque.

Conclusión

El phishing que llega a un centro educativo rara vez es sofisticado: funciona porque llega en un momento de prisa y a una persona que tiene permiso para pagar. Confirmar por otro canal cualquier cambio de cuenta, exigir dos aprobaciones, activar el doble factor y explicar a las familias cómo cobra el centro reduce la mayor parte del riesgo sin gastar nada.

Si quieres que los cobros a las familias vayan siempre por un canal conocido, con domiciliación SEPA y el recibo visible para la familia en la app, conoce la facturación de Edena o pide una demo.