El país del IBAN difiere del país de IVA

Si una comprobación indicó que el número de IVA está registrado en un país y el IBAN se emitió en otro, lo primero que hay que saber es que esto es habitual y totalmente legal. Lo segundo es que merece treinta segundos de atención.

Por qué normalmente no es nada

Dentro de la zona SEPA, un pago en euros a una cuenta de otro Estado miembro cuesta lo mismo y tarda lo mismo que uno nacional. Una empresa no tiene motivo para mantener una cuenta en cada país desde el que factura, y sí muchos para no hacerlo. Las explicaciones corrientes incluyen:

• Tesorería de grupo. Una filial factura bajo su registro local de IVA mientras el grupo cobra de forma centralizada, a menudo en los Países Bajos, Irlanda o Luxemburgo.
• Proveedores de pago. Wise, Revolut, Stripe, Mollie y Airwallex emiten cuentas donde están autorizados, no donde está el cliente. Un IBAN belga o lituano en una factura de cualquier parte de Europa suele significar esto.
• Factoring. El proveedor ha vendido el crédito, y la factura dirige legítimamente el pago a la cuenta de la empresa de factoring, con frecuencia en el extranjero.
• La empresa cambió realmente de banco y no lo ha mencionado, porque desde su lado no tiene nada de particular.

Nada de esto es una señal de alarma, y precisamente por eso esta herramienta no presenta la diferencia como tal. Una comprobación que señalara cada IBAN transfronterizo se dispararía en una gran parte de las facturas europeas honestas, y un aviso que casi siempre se equivoca es un aviso que la gente aprende a ignorar.

Por qué aun así merece un vistazo

El fraude para el que esto importa no es una empresa falsa. Es un proveedor real, al que ya ha pagado antes, cuya cuenta de correo fue comprometida, y lo único que cambió en la factura es la cuenta bancaria. Su número de IVA sigue siendo válido. Su dominio sigue superando todas las comprobaciones de autenticación de correo. Nada de lo que mira un comprobador de un solo propósito ha cambiado, porque nada del proveedor ha cambiado.

Lo que cambió es la relación entre dos hechos: quiénes son y adónde va ahora el dinero. Esa es la diferencia que informa esta comprobación, y es la razón por la que la herramienta ejecuta las comprobaciones de registro y bancarias juntas y no una por una.

La pregunta que hay que hacer

No necesita interrogar a nadie. En la llamada que va a hacer de todos modos para confirmar los datos bancarios —usando un número de una factura anterior o de sus propios registros, nunca uno del correo que tiene delante— pregunte:

«¿Ha cambiado su cuenta bancaria desde la última factura?»

Si la respuesta es no y el IBAN que tiene delante no es el que pagó la última vez, deténgase y escale. Si la respuesta es sí, pídales que digan en voz alta el país de la cuenta y los cuatro últimos dígitos, y contrástelo con lo que tiene.

Lo que no le dice

Un país coincidente no es tranquilizador. Un atacante que quiere que la transferencia parezca correcta puede abrir una cuenta en el propio país del proveedor, y muchos lo hacen. Que los países coincidan significa que falta una rareza concreta, nada más.

Igualmente, esta comparación solo se ejecuta cuando el registro confirmó el número de IVA y el IBAN superó su dígito de control. Si faltaba alguno, no estaba disponible o era inválido, la comprobación no tiene nada que comparar y no dice nada en absoluto, en lugar de suponer.