«BBVA Confirming – Aviso de pago». Para cualquier empresa o autónomo que trabaje con proveedores, es un asunto que no despierta sospechas: parece la notificación de un cobro. Una empresa colaboradora del despacho recibió uno el 9 de noviembre de 2026 y lo hemos analizado. No es de BBVA, y el «documento» que adjunta no es un PDF: es un programa diseñado para infectar el ordenador.
El correo: así llega a tu bandeja
- Asunto: «BBVA Confirming – Aviso de pago | [NOMBRE DE TU EMPRESA] 11:31 AM». Incluye el nombre de la empresa destinataria para dar sensación de mensaje personal.
- Remitente visible: «BBVA Notifcaciones» (sí, con la errata).
- Texto: «Muy Sres. Nuestros: Nos complace adjuntar información relativa a su pago. Reciban un cordial saludo.»
- Lo que parece un adjunto: el icono de un PDF con el nombre «BBVA_Confirming_Documentos10451.pdf».
- Aviso legal: copiado casi literalmente de los correos reales del banco, incluidos sus teléfonos de atención y la advertencia de que BBVA nunca pide claves por correo.
El tono es seco y administrativo, como el de un aviso automático real. No hay urgencia, ni amenazas, ni nada que pedir. Precisamente por eso funciona: solo invita a abrir un documento.
Lo que hay detrás del «PDF»
El icono del PDF no es un adjunto. Es una imagen dentro del correo con un enlace que apunta a una dirección como esta:
online-cnatel.com/Factura/BBVA_Confirming_pdf101891.js
Fíjate en el final: .js, no .pdf. Es un archivo de JavaScript. En Windows, si haces doble clic sobre un .js descargado, el sistema no lo abre en el navegador ni en un lector de documentos: lo ejecuta directamente, como si fuera un programa. Este tipo de archivos actúa como «descargador»: en segundos baja e instala el verdadero malware, normalmente un troyano bancario que roba contraseñas y datos de acceso a la banca online, o la puerta de entrada a un ataque de ransomware que cifra los archivos de la empresa.
Además, Windows oculta por defecto las extensiones de los archivos, de modo que en la carpeta de descargas el fichero puede aparecer simplemente como «BBVA_Confirming_pdf101891», que a primera vista parece un PDF.
Nuestro diagnóstico: las señales de que es falso
1. El remitente no es de BBVA
La dirección real es bbva.confirming.notificaciones@finances-accounting.com. Que la parte de antes de la arroba diga «bbva» no significa nada: cualquiera puede ponerla. Lo que cuenta es el dominio, lo que va después de la arroba, y finances-accounting.com no tiene ninguna relación con BBVA. Los correos reales del banco proceden de dominios de BBVA.
2. Atención: este correo sí supera los controles de autenticidad
En el caso anterior que analizamos, el falso aviso de suscripción de almacenamiento en la nube, el correo fallaba los controles SPF, DKIM y DMARC. Este no: los supera los tres. ¿Significa que es legítimo? No. Esos controles solo garantizan que el mensaje lo ha enviado de verdad el dueño del dominio del remitente. Y el dueño de finances-accounting.com es el propio estafador, que ha configurado su dominio correctamente.
La lección es importante: que un correo pase los filtros técnicos no lo convierte en legítimo. Hay que mirar siempre de qué dominio viene.
3. Dominios recién creados
Según los registros públicos de dominios, finances-accounting.com se registró en agosto de 2026 y se modificó la noche anterior al envío. El dominio que aloja el archivo malicioso, online-cnatel.com, se creó en junio de 2026. Ninguno tiene relación con BBVA. Los delincuentes compran dominios nuevos con nombres genéricos para cada campaña y los abandonan cuando los bloquean.
4. El enlace apunta a un archivo .js
Un banco nunca envía un justificante de pago como archivo de JavaScript. Si al pasar el ratón por encima de un «documento» ves que el enlace termina en .js, .exe, .vbs, .hta, .msi, .scr o .zip, es malware casi con total seguridad.
5. Errores y un mensaje genérico
El remitente dice «Notifcaciones», el correo no menciona importe, número de factura ni ordenante, y el texto no se refiere a ninguna operación concreta. Un aviso real de Confirming identifica el pago.
6. Es una campaña conocida
El Instituto Nacional de Ciberseguridad (INCIBE) lleva años alertando de correos con asuntos como «Confirming – Aviso de pago» o «BBVA-Confirming Facturas Pagadas al Vencimiento» que distribuyen troyanos. La campaña reaparece periódicamente con nuevos dominios y pequeñas variaciones en el texto.
Qué hacer si recibes este correo
- No pulses el icono del PDF ni ningún otro enlace del mensaje.
- Márcalo como spam o phishing y bórralo.
- Si esperabas un pago real por Confirming, compruébalo entrando tú en la banca online de BBVA o llamando a tu oficina, nunca desde el correo.
- Avisa a quien gestione el correo de tu empresa: estas campañas suelen llegar a varias direcciones a la vez, y basta con que una persona pulse.
Qué hacer si descargaste o abriste el archivo
- Desconecta el ordenador de la red (cable y wifi) de inmediato, para cortar la comunicación con el atacante y evitar que el ataque se extienda a otros equipos de la oficina.
- No introduzcas ninguna contraseña en ese equipo, y menos la de la banca online.
- Desde otro dispositivo limpio, cambia las contraseñas de la banca online, del correo y de cualquier servicio al que hayas accedido desde ese ordenador.
- Llama a tu banco para que vigile la cuenta y bloquee operaciones sospechosas.
- Haz que un técnico revise el equipo. Un análisis con el antivirus no siempre basta: este tipo de malware puede pasar desapercibido. Lo más seguro suele ser reinstalar el sistema.
- Si eres empresa, valora si el equipo infectado contenía datos personales de clientes o empleados: podría tratarse de una brecha de seguridad que hay que notificar a la Agencia Española de Protección de Datos en un plazo de 72 horas.
- Pide ayuda: la línea gratuita de ayuda en ciberseguridad de INCIBE es el 017.
- Conserva el correo y presenta denuncia ante la Policía o los Mossos d’Esquadra, sobre todo si ha habido movimientos en la cuenta.
Por qué este tipo de estafa funciona
El Confirming es un servicio habitual en empresas y autónomos que cobran de grandes clientes, y los avisos de pago llegan con frecuencia. Un correo que dice «le adjuntamos información sobre su pago» es una buena noticia, no una amenaza, y nadie desconfía de una buena noticia. Si además aparece el nombre de tu empresa en el asunto, el aviso legal es idéntico al del banco y el correo supera los filtros técnicos, el engaño es muy convincente.
La regla que lo evita: los justificantes de pago se consultan en la banca online, no se abren desde un correo. Y antes de pulsar cualquier documento, mira a dónde apunta el enlace.
Asesoramiento legal ante fraudes online
Si tu empresa ha sufrido una infección, cargos no autorizados o una posible fuga de datos de clientes, conviene actuar con asesoramiento desde el primer momento: la denuncia, la reclamación al banco y, si procede, la notificación a la Agencia de Protección de Datos tienen plazos. En BQ Abogados te ayudamos a gestionarlo. Puedes consultar nuestro servicio de asesoría informática, de Internet y ciberseguridad.
