Fraude a pymes: el golpe promedio son $260 millones
El fraude digital en Colombia cayó 74%, pero el que ataca empresas subió. Suplantar a un proveedor deja pérdidas de USD 85.000 y la pyme no puede apelar.
En Colombia, un fraude por suplantación de proveedor que sale bien le cuesta a la empresa más de USD 85.000 en promedio. A la tasa de cambio de hoy son unos $260 millones, según cálculos de Economía Santander. Hay casos documentados por encima de USD 500.000 en construcción y servicios.
Y aquí está lo que casi nunca se cuenta: el fraude digital en Colombia viene bajando. En 2025, apenas el 2,3% de los intentos de transacción resultaron sospechosos, frente al 8,9% de 2024 —una caída del 74%— y por debajo del promedio mundial de 3,8%, según el informe de fraude digital de TransUnion.
Las dos cosas son ciertas a la vez, y esa es la nota: hay menos intentos, pero los que pegan pegan más duro y apuntan cada vez más a las empresas.
¿Qué creció y qué bajó en 2026?
| Modalidad | Cómo se movió |
|---|---|
| Intentos sospechosos, en general | −74% (de 8,9% a 2,3%) |
| Tiendas en línea falsas | +91% en el primer semestre |
| Estafas de soporte técnico | +26% en el primer semestre |
| Pérdida mediana por víctima | $5,8 millones |
Un dato ayuda a dimensionar el volumen: Asobancaria registró más de 218.000 reclamaciones por suplantación de identidad en canales financieros en apenas seis meses.
Le contamos: Inversión inmobiliaria en Bucaramanga: el mapa de los fondos
¿Por qué la pyme queda peor parada que el ciudadano?
Por una razón que no es técnica sino contractual, y es la más importante de esta nota.
Cuando a una persona le clonan la tarjeta, tiene un camino de reclamación bastante rodado ante su banco. Cuando a un comercio pequeño le hacen una compra fraudulenta, la historia es otra: los pequeños y medianos comercios no cuentan con las herramientas técnicas para apelar las disputas ante los bancos adquirentes, así que asumen la pérdida directa de la mercancía que ya despacharon.
Es decir: el comerciante entrega el producto, el banco reversa el pago, y el comerciante se queda sin el producto y sin la plata.
Solo por ese mecanismo —el chargeback en compras en línea con tarjeta— las pérdidas en Colombia podrían llegar a USD 48 millones en 2026.
¿Cómo funciona la suplantación de proveedor?
Es el fraude más caro y el menos conocido. No hay virus ni hackeo espectacular: hay paciencia.
Uno. El delincuente entra al correo de un proveedor real de la empresa. No al de la empresa: al del proveedor, que suele estar peor protegido.
Dos. No hace nada. Lee. Se queda semanas entendiendo cómo se hablan, cómo facturan, cada cuánto pagan, quién autoriza.
Tres. Espera una transacción legítima que ya venía en camino. Y en ese momento, en el hilo de correo de siempre, con el mismo tono y la misma firma, cambia el número de cuenta.
Cuatro. El pago sale. A nombre del proveedor de siempre, por un monto esperado, aprobado por quien siempre aprueba. Nadie sospecha hasta que el proveedor real llama a preguntar por qué no le han pagado.
Para entonces el dinero ya se movió por varias cuentas.
¿Qué hacer en las primeras 24 horas?
Este es el dato que casi nadie publica, y el que decide si se recupera algo.
1. Llame al banco de inmediato y bloquee. Antes que a nadie. Cada minuto cuenta porque el dinero se dispersa rápido.
2. Reporte al CAI Virtual de la Policía, que atiende las 24 horas por su página web o por la línea 123.
3. Ponga la denuncia formal ante la Fiscalía, por el sistema ADenunciar. Sin denuncia, el banco tiene menos margen para actuar.
4. Radique la reclamación por escrito ante su entidad, con número de radicado. No sirve la llamada: sirve el papel.
5. Si la respuesta no lo satisface, escale al Defensor del Consumidor Financiero de la entidad y luego a la Superintendencia Financiera, que tiene su propio canal de quejas.
No espere a "ver si aparece". La ventana en que el dinero todavía está localizable se mide en horas.
¿Y qué sí sirve para prevenirlo?
Tres cosas concretas, en orden de cuánto evitan por lo poco que cuestan:
Confirme por otro canal todo cambio de cuenta bancaria. Si un proveedor le escribe que cambió de cuenta, llámelo al número que usted ya tenía, no al que aparece en ese correo. Esta sola regla desactiva el fraude de los USD 85.000.
Ponga doble autenticación en los correos de la empresa. El ataque no empieza en el banco: empieza en un correo con contraseña débil.
Defina quién autoriza pagos y por encima de qué monto. Que una sola persona pueda mover plata sin un segundo par de ojos es lo que hace posible el golpe grande.
Siga viendo: Wiltech: el taller en Bucaramanga que desafió a Apple y se volvió una marca en 9 países
Lo que esto significa para Santander
El departamento tiene justo el perfil que estos fraudes buscan: tejido de micro y pequeña empresa, mucha operación por WhatsApp y transferencia, y poca infraestructura de seguridad.
Los talleres del clúster de calzado y marroquinería, donde más del 94% tiene menos de cinco empleados, negocian y cobran por chat. Los 6.444 vendedores que trabajan en la calle en Bucaramanga reciben por billetera digital. Y el sector de la construcción —donde están los casos de más de USD 500.000— mueve pagos grandes a proveedores, que es exactamente el terreno del fraude más caro.
Ninguna de esas empresas tiene un área de ciberseguridad. Casi ninguna tiene un protocolo de pagos escrito.
Y esa, no la tecnología del delincuente, es la puerta que sigue abierta.
Cifras de TransUnion, Asobancaria y Superintendencia Financiera. La conversión de USD 85.000 a pesos es un cálculo de Economía Santander con la TRM del 25 de agosto de 2026.
