Tu proveedor te pide cambiar la cuenta bancaria: ¿pagarías esta factura?

Es jueves. Tienes varias facturas pendientes, dos llamadas sin devolver y alguien preguntando si «lo de los pagos» queda listo antes de comer.

Entra un correo de un proveedor con el que lleváis años trabajando:

Buenos días:

Os adjuntamos la factura de este mes. Hemos cambiado de entidad bancaria, así que, por favor, realizad el ingreso en la cuenta que aparece en el documento.

Gracias y disculpad las molestias.

El importe encaja, estabais esperando la factura y aparecen el logo, la firma y el nombre de la persona de siempre. ¿Qué haces?

Si la respuesta es «actualizar la cuenta y pagar», hay algo que revisar, sin dramas, antes de abrir la aplicación del banco. Nos lo preguntan a menudo: cómo saber si el cambio de cuenta lo ha pedido de verdad el proveedor. Es una duda razonable, porque cuando conoces a la empresa y esperas esa factura, el mensaje encaja en el día sin ninguna fricción. Por eso conviene tener un procedimiento que no dependa de la intuición de ese jueves.

El truco está en cambiar el destino

Este tipo de engaño se conoce como fraude del correo empresarial, o BEC, porque aparentemente no podemos explicar nada en ciberseguridad sin añadir unas siglas.

Una de sus variantes consiste en hacerse pasar por un proveedor y modificar las instrucciones de pago para que el dinero termine en una cuenta controlada por los delincuentes.

El mensaje puede llegar desde una dirección muy parecida a la auténtica. En otros casos, el atacante ha conseguido acceder a una cuenta de correo real y aprovechar conversaciones existentes. INCIBE explica este escenario de suplantación de proveedores.

Que la factura te resulte familiar es solo contexto. La pregunta útil es otra: cómo sabes que el proveedor ha autorizado esa cuenta nueva.

«Pero si viene en el mismo hilo»

Precisamente por eso puede resultar convincente.

Solemos imaginar los correos fraudulentos con faltas de ortografía, logotipos deformados y un príncipe que necesita sacar dinero de algún sitio. Una factura que esperabas exige bastante menos imaginación.

Tu cabeza ya tiene media tarea resuelta:

• Conoces al proveedor.
• Reconoces el servicio.
• El importe tiene sentido.
• Solo hay que cambiar un dato.

Y ese dato decide dónde acaba el dinero.

Administración no tiene que convertirse en un equipo de investigación; basta con que cambiar una cuenta bancaria tenga su propio procedimiento.

La llamada que sí sirve

Ante un cambio de cuenta, confírmalo con el proveedor usando un contacto que ya tuvieras verificado, como el teléfono guardado en su ficha.

No uses el número que acaba de aparecer en el correo ni el de su nueva firma. Si el mensaje es falso, ese teléfono también podría serlo. Verificar los cambios de pago mediante un contacto conocido es una de las recomendaciones del FBI para prevenir este fraude.

La conversación puede ser así de sencilla:

«Nos ha llegado una solicitud para cambiar vuestra cuenta de cobro. Antes de actualizarla, necesitamos confirmar que la habéis enviado vosotros y revisar los nuevos datos».

No basta con preguntar si han enviado «una factura». Lo que estás verificando es el cambio de cuenta.

Y si algo no termina de cuadrar, compruébalo por más de una vía: otra llamada a un contacto conocido, la revisión de un compañero o una reunión con quien gestiona habitualmente estos pagos. Sobre todo si la cantidad es alta.

Eso sí: tres respuestas dentro del mismo correo sospechoso siguen siendo una sola fuente. La gracia está en comprobarlo por vías independientes, no en preguntarle tres veces al posible estafador si es de fiar. Si organizáis una reunión, contactad con las personas conocidas por vuestros canales habituales.

Si no localizas a la persona adecuada, dejas el cambio pendiente. La urgencia no debería convertirse en una forma alternativa de aprobación.

Un procedimiento que quepa en una página

En CyberShibaSec lo plantearíamos así:

1. Se recibe la solicitud. Se registra el cambio, sin darlo todavía por válido.
2. Se confirma por un canal independiente. Con una persona autorizada del proveedor y un contacto previamente verificado.
3. Se deja constancia. Quién lo comprobó, con quién habló, cuándo y qué datos confirmó.
4. Se revisa internamente. Cuando el tamaño del equipo lo permita, una segunda persona comprueba la validación antes de aprobar el cambio y el pago.

La segunda revisión necesita contenido. Dos personas pulsando «aceptar» sobre el mismo correo siguen confiando en el mismo correo.

Y una norma importante: quien detiene un pago para verificarlo debe tener el respaldo de dirección. Si el procedimiento dice «comprueba», pero el jefe dice «paga ya», el equipo recibe dos instrucciones incompatibles.

¿Y el antivirus?

Sigue teniendo su trabajo. Pero un mensaje que pide una transferencia puede no necesitar ningún archivo malicioso. Lo contamos con más detalle en ¿Necesitas un antivirus en tu ordenador personal?.

Proteger el correo, activar la verificación en dos pasos y formar al equipo ayuda a reducir el riesgo. Aun así, verificar los cambios de cuenta sigue siendo necesario: la seguridad de tu empresa también depende de cómo autoriza los pagos. El FBI recomienda combinar protección de las cuentas y comprobación de las solicitudes.

Antes de comprar otra herramienta, yo me haría una pregunta bastante menos vistosa: quién puede modificar la cuenta de un proveedor y qué necesita para hacerlo.

Si ya has pagado y sospechas

Contacta inmediatamente con tu banco por sus canales oficiales, explica que sospechas de un fraude y solicita que intenten detener o recuperar la transferencia. Actuar rápido importa, pero no garantiza recuperar el dinero.

Conserva el correo original, la factura y el justificante de pago. Avisa al proveedor por un canal verificado y al responsable de IT para investigar lo ocurrido. Presenta denuncia; también puedes pedir orientación a INCIBE en el 017. Son pasos recogidos en sus recomendaciones ante el fraude del correo comprometido.

Buscar culpables puede esperar. Avisar de lo ocurrido, no.

Antes de cambiar un IBAN

• ¿La solicitud cambia una cuenta o unas instrucciones de pago?
• ¿Lo hemos confirmado con una persona autorizada mediante un contacto previamente verificado?
• ¿Hemos comprobado los nuevos datos, además de la existencia de la factura?
• Si quedan dudas, ¿hemos contrastado la solicitud por otra vía independiente?
• ¿Queda constancia de la verificación?
• ¿Se ha realizado la revisión interna correspondiente?

Si mañana vuestro proveedor habitual pide cambiar su cuenta bancaria, ¿quién lo comprueba antes de que salga el dinero?