O teu provedor pídeche cambiar a conta bancaria: pagarías esta factura?

É xoves. Tes varias facturas pendentes, dúas chamadas sen devolver e alguén preguntando se «o dos pagamentos» queda listo antes de xantar.

Entra un correo dun provedor co que levades anos traballando:

Bos días:

Achegámosvos a factura deste mes. Cambiamos de entidade bancaria, así que, por favor, realizade o ingreso na conta que aparece no documento.

Grazas e desculpade as molestias.

O importe encaixa, estabades esperando a factura e aparecen o logo, a sinatura e o nome da persoa de sempre. Que fas?

Se a resposta é «actualizar a conta e pagar», hai algo que revisar, sen dramas, antes de abrir a aplicación do banco. Pregúntannolo a miúdo: como saber se o cambio de conta o pediu de verdade o provedor. É unha dúbida razoable, porque cando coñeces a empresa e esperas esa factura, a mensaxe encaixa no día sen ningunha fricción. Por iso convén ter un procedemento que non dependa da intuición dese xoves.

O truco está en cambiar o destino

Este tipo de engano coñécese como fraude do correo empresarial, ou BEC, porque aparentemente non podemos explicar nada en ciberseguridade sen engadir unhas siglas.

Unha das súas variantes consiste en facerse pasar por un provedor e modificar as instrucións de pagamento para que o diñeiro termine nunha conta controlada polos delincuentes.

A mensaxe pode chegar desde un enderezo moi parecido ao auténtico. Noutros casos, o atacante conseguiu acceder a unha conta de correo real e aproveitar conversas existentes. INCIBE explica este escenario de suplantación de provedores.

Que a factura che resulte familiar é só contexto. A pregunta útil é outra: como sabes que o provedor autorizou esa conta nova.

«Pero se vén no mesmo fío»

Precisamente por iso pode resultar convincente.

Adoitamos imaxinar os correos fraudulentos con faltas de ortografía, logotipos deformados e un príncipe que necesita sacar diñeiro dalgún sitio. Unha factura que esperabas esixe bastante menos imaxinación.

A túa cabeza xa ten media tarefa resolta:

• Coñeces o provedor.
• Recoñeces o servizo.
• O importe ten sentido.
• Só hai que cambiar un dato.

E ese dato decide onde acaba o diñeiro.

Administración non ten que converterse nun equipo de investigación; abonda con que cambiar unha conta bancaria teña o seu propio procedemento.

A chamada que si serve

Ante un cambio de conta, confírmao co provedor usando un contacto que xa tiveses verificado, como o teléfono gardado na súa ficha.

Non uses o número que acaba de aparecer no correo nin o da súa nova sinatura. Se a mensaxe é falsa, ese teléfono tamén podería selo. Verificar os cambios de pagamento mediante un contacto coñecido é unha das recomendacións do FBI para previr esta fraude.

A conversa pode ser así de sinxela:

«Chegounos unha solicitude para cambiar a vosa conta de cobramento. Antes de actualizala, necesitamos confirmar que a enviastes vós e revisar os novos datos».

Non abonda con preguntar se enviaron «unha factura». O que estás verificando é o cambio de conta.

E se algo non termina de cadrar, compróbao por máis dunha vía: outra chamada a un contacto coñecido, a revisión dun compañeiro ou unha reunión con quen xestiona habitualmente estes pagamentos. Sobre todo se a cantidade é alta.

Iso si: tres respostas dentro do mesmo correo sospeitoso seguen sendo unha soa fonte. A graza está en comprobalo por vías independentes, non en preguntarlle tres veces ao posible estafador se é de fiar. Se organizades unha reunión, contactade coas persoas coñecidas polas vosas canles habituais.

Se non localizas a persoa adecuada, deixas o cambio pendente. A urxencia non debería converterse nunha forma alternativa de aprobación.

Un procedemento que caiba nunha páxina

En CyberShibaSec formulariámolo así:

1. Recíbese a solicitude. Rexístrase o cambio, sen dalo aínda por válido.
2. Confírmase por unha canle independente. Cunha persoa autorizada do provedor e un contacto previamente verificado.
3. Déixase constancia. Quen o comprobou, con quen falou, cando e que datos confirmou.
4. Revísase internamente. Cando o tamaño do equipo o permita, unha segunda persoa comproba a validación antes de aprobar o cambio e o pagamento.

A segunda revisión necesita contido. Dúas persoas premendo «aceptar» sobre o mesmo correo seguen confiando no mesmo correo.

E unha norma importante: quen detén un pagamento para verificalo debe ter o respaldo de dirección. Se o procedemento di «comproba», pero o xefe di «paga xa», o equipo recibe dúas instrucións incompatibles.

E o antivirus?

Segue tendo o seu traballo. Pero unha mensaxe que pide unha transferencia pode non necesitar ningún ficheiro malicioso. Contámolo con máis detalle no artigo sobre o antivirus.

Protexer o correo, activar a verificación en dous pasos e formar o equipo axuda a reducir o risco. Aínda así, verificar os cambios de conta segue sendo necesario: a seguridade da túa empresa tamén depende de como autoriza os pagamentos. O FBI recomenda combinar protección das contas e comprobación das solicitudes.

Antes de comprar outra ferramenta, eu faríame unha pregunta bastante menos vistosa: quen pode modificar a conta dun provedor e que necesita para facelo.

Se xa pagaches e sospeitas

Contacta inmediatamente co teu banco polas súas canles oficiais, explica que sospeitas dunha fraude e solicita que intenten deter ou recuperar a transferencia. Actuar rápido importa, pero non garante recuperar o diñeiro.

Conserva o correo orixinal, a factura e o xustificante de pagamento. Avisa o provedor por unha canle verificada e o responsable de IT para investigar o ocorrido. Presenta denuncia; tamén podes pedir orientación a INCIBE no 017. Son pasos recollidos nas súas recomendacións ante a fraude do correo comprometido.

Buscar culpables pode esperar. Avisar do ocorrido, non.

Antes de cambiar un IBAN

• A solicitude cambia unha conta ou unhas instrucións de pagamento?
• Confirmámolo cunha persoa autorizada mediante un contacto previamente verificado?
• Comprobamos os novos datos, ademais da existencia da factura?
• Se quedan dúbidas, contrastamos a solicitude por outra vía independente?
• Queda constancia da verificación?
• Realizouse a revisión interna correspondente?

Se mañá o voso provedor habitual pide cambiar a súa conta bancaria, quen o comproba antes de que saia o diñeiro?