Fraude en la factura electrónica alemana: el canal de correo es el punto débil

El KSeF polaco autentica la factura en el nodo estatal. El modelo español de cinco vértices pone una plataforma, y una copia a la AEAT, en cada envío B2B. Alemania autenticó el formato y dejó el transporte al mercado. El mercado eligió el correo.

Esa es ahora la superficie de ataque.

Qué hacen de verdad los atacantes

La carga útil sigue siendo una factura que el comprador espera. El delito es la sustitución, no la invención.

Interceptación del buzón. Se compromete el buzón del proveedor o una regla de reenvío. Las facturas salientes se desvían. El comprador recibe un archivo que parece el ZUGFeRD del proveedor: logotipo, líneas, vencimiento. El IBAN es el del atacante. Como ZUGFeRD muestra una capa PDF, la persona lee el PDF. Pocos administrativos de cuentas a pagar abren el XML. Si el XML y el PDF no coinciden, el PDF gana el pago.

Dominios de imitación. rechnung@lieferant-gmbh.com no es rechnung@lieferantgmbh.com. SMTP entregará ambos. El adjunto puede ser una XRechnung de aspecto válido con un IBAN distinto en PaymentMeans (BT-84) y un nombre de beneficiario distinto.

Archivos estructurados falsos. Desde el 1 de enero de 2025 toda empresa alemana debe aceptar archivos EN 16931. Los atacantes saben que al equipo de cuentas a pagar le dijeron que el XML es la factura de verdad. Una XRechnung bien formada que no falle ningún control de esquema puede nombrar al acreedor equivocado. La validez de esquema no es identidad.

Fraude de segundo correo sobre un envío real. Llega la factura genuina. Un segundo mensaje, minutos después, "corrige los datos bancarios" por una "auditoría" o un "nuevo socio de factoring". El segundo correo es el delito. El primero fue el cebo.

Es la misma familia que la sustitución de datos bancarios en facturas PDF polacas, descrita en nuestra nota anterior sobre ese patrón. El giro alemán es que la factura legal ahora es dato estructurado, así que el IBAN vive en un campo que el software de cuentas a pagar importará encantado.

Lo que no es un control

Los procedimientos de control interno, una firma electrónica cualificada o un acuerdo EDI son los métodos que lista la Cámara Federal de Asesores Fiscales (BStBK) para autenticidad e integridad. Peppol añade una identidad de participante en el punto de acceso. El correo no añade ninguno de esos, salvo que usted los incorpore.

Deberes del receptor que de verdad mueven el dinero

La deducción del IVA soportado sigue exigiendo una factura correcta. Pagar al IBAN equivocado es su pérdida, no la de la administración tributaria. Incorpore la comprobación en cuentas a pagar, no en una diapositiva de formación.

1. Pague contra datos maestros, no contra la factura. El IBAN de la factura es una propuesta. El IBAN de la ficha de proveedor aprobada es la instrucción. Un cambio de BT-84 o del nombre del beneficiario es una solicitud de cambio de proveedor. Necesita un segundo canal: un teléfono ya conocido, una actualización de metadatos Peppol, no una respuesta al correo de la factura.
2. Compare el XML, no el PDF. En ZUGFeRD, compare PaymentMeans del XML incrustado con la ficha del proveedor. Si solo mira la capa PDF, está leyendo el anuncio.
3. Buzón de facturas dedicado, sin reenvío público. rechnungen@ con dos personas que lo tienen a cargo. No deje que las facturas aterricen en un Gmail compartido y en una bandeja personal "por rapidez".
4. Retenciones en el primer pago y en el cambio de beneficiario. Proveedores nuevos y cambios de IBAN esperan. Las facturas recurrentes a un IBAN sin cambios pueden contabilizarse en automático.
5. Peppol o EDI para quien usted pague cada mes. Si un proveedor representa más que una fracción trivial de sus desembolsos, sáquelo de SMTP.

Los emisores tienen un deber simétrico. Ponga los medios de pago en los campos estructurados, alinéelos con la capa PDF y no envíe "datos bancarios actualizados" desde un buzón de marketing. Si cede créditos a factoring, el nuevo beneficiario debe aparecer como una cesión documentada, no como una nota al pie en un correo.

Por qué un portal o un punto de acceso reduce la ventana

Un envío Peppol se dirige a un ID de participante, no a una bandeja que internet puede adivinar. La relación con el punto de acceso es contractual. Seguir cambiando BT-84 es posible si el emisor está comprometido, pero el atacante ya no intercepta el tráfico entre dos alojamientos de correo de consumo. El EDI es la misma idea con infraestructura más antigua.

El correo seguirá usándose en 2027 y 2028 para contrapartes pequeñas. Trátelo como un canal de baja garantía: retenciones extra, ningún cambio de IBAN por ese hilo, comparación del XML con los datos maestros. No compre un producto cuya única historia de fraude sea "rastrearemos si abrieron el correo".

Plandesk guarda los IBAN del beneficiario en la ficha del proveedor, los escribe en la factura electrónica desde ese registro y marca un envío cuando los medios de pago estructurados no coinciden. La elección de canal es por comprador. El seguimiento de apertura no forma parte del expediente de evidencias.

Este material es información de carácter general y no constituye asesoramiento legal ni fiscal. Para una situación concreta, verifique la normativa vigente o consulte a un asesor cualificado.